弁護士が語る！経営者が知っておきたい法律の話（第107回）法律面から見たサプライチェーンのセキュリティ（前編）

　企業やその経営者が損害賠償義務を負う主なリスクに関し、①企業と取引先、②企業と情報漏えいの被害者、③企業と経営者という観点から説明します。

　例えば、自社がマルウエア（不正かつ有害な動作を行う目的で作成されたソフトウエア）に感染し、取引先企業の機密情報やサービス利用者の個人情報が漏えいするとともに、取引先もランサムウエアなどのマルウエアに感染するといった事案が想定されます。

　まず、「①企業と取引先」についてです。サプライチェーンの観点からは、自社がマルウエアに感染し取引先にも侵入された場合、取引先での対応費用も損害賠償請求される可能性があります。取引先との間では秘密保持契約（NDA）が締結され、取引基本契約に秘密保持条項が定められていることが通常であり、自社のセキュリティ対策が不十分であったため取引先企業の機密情報が漏えいした場合には、これらの義務違反として損害賠償請求をされる可能性があります。

　損害賠償額は個別具体的な事案により異なりますが、対応費用に関し、調査・復旧だけで数千万円以上にもなる場合が多く、これに営業損失なども追加されると莫大（ばくだい）な金額を請求されることも考えられます。例えば、新製品の開発情報が漏えいし、その結果として開発が中止されたような場合には賠償額が高額化する可能性が高いでしょう。なお、取引先との間では継続的な取引関係がある場合が多いので、裁判手続にはならず訴訟外の和解による解決が通常と考えられます。

　次に「②企業と情報漏えいの被害者」についてです。マルウエアに感染した企業は自社が被害者という側面もある一方、情報漏えいしてしまった個人との関係では、情報の安全管理に過失があったとして、加害者になる場合も多いでしょう。このため、企業は当該個人に対して損害賠償として慰謝料等を支払う必要があります。

　最後に「③企業と経営者」に関してです。自社のセキュリティ対策が不十分である場合、経営者を含む役員等は、善管注意義務（民法644条）に違反したとして、自社や取引先から責任を追及される可能性があります（会社法423条1項、429条）。なお、経済産業省とIPAが2023年3月に公表した「サイバーセキュリティ経営ガイドラインVer.3.0」では、サイバー攻撃から企業を守る観点で経営者が認識する必要のある「3原則」として、以下の事項が示されています。

1．経営者のリーダーシップが重要

2．サプライチェーン全体にわたる対策への目配り

3．社内外関係者との積極的なコミュニケーション

　こうしたポイントを認識して、自社の情報セキュリティ対策について日頃から意識し、行動していないと、セキュリティインシデントが発生した場合、経営者自身も責任を追及されるリスクが増大します。中小企業でもサプライチェーンの一翼を担う以上、早急に対策を講じる必要があります。