Crisis Management
サイバー事故の第一報・続報――自社から顧客・取引先への説明と更新
サイバー事故が起きると、当局への報告や本人への通知とは別に、取引先や顧客企業から問合せが届きます。「当社のデータに影響はあるか」「いつ復旧するか」「調査結果を示してほしい」といったものです。これらは回答の期限が短く、契約上の通知義務と重なることもあります。本記事では、契約上の事故通知と個別の質問への回答をどう分け、どの範囲まで答え、新たな事実が判明したときに誰へどう訂正・追加説明するかを扱います。
監修：吉川 景司（弁護士・弁理士／第一東京弁護士会）
目次
本記事の射程：当局への報告、本人への通知、適時開示は扱いません（サイバー攻撃・情報漏えい対応の第3章が担当）。企業間（B2B）の説明に限定します。
以下は架空の事例です。 A社（製造業、従業員300名、上場準備中）の受注・在庫システムに異常が生じ、運用保守を委託するB社からも不正アクセスの疑いがあると連絡がありました。漏えいの有無は未確定です。この段階で、法人顧客のC社から「当社の発注データに影響はあるか」「いつ復旧するか」と、期限を切った照会が届いています。本記事では、A社がC社に何をどこまで答え、後でどう訂正・更新するかを扱います。
本稿のA社・B社等は、説明のための架空設定です。当事務所の実際の受任案件を紹介するものではありません。
取引先から説明や回答の期限を求められたら
企業間の照会は、おおむね四つに分かれます。相手方のデータへの影響の有無、復旧の時期、原因と再発防止、そして調査報告書などの資料の提供です。
この段階で企業が置かれる状況には、特徴があります。答えを持っていないのに、答える期限が先に来ることです。調査の完了より先に、法令上・契約上の期限や、取引先が希望する回答日が到来する場合があります。 それぞれの期限や回答日について、根拠、日付、調整の余地を整理してください。法令上・契約上の期限と、相手方が希望する回答日とは、性質が異なります。前者は、守らなければ法令違反や契約違反が問題となり得るのに対し、後者は、取引関係の中で調整の余地がある事項です。
もう一つ、分業型の企業で起きやすいのが、窓口が一本化されないまま回答が出てしまうことです。営業担当者が照会を受ける場合、確認していない内容を回答すると、後に訂正が必要になることがあります。
事故の対外説明は、誰がどの経路で行うかを先に決めることから始まります。
契約、把握している事実、相手方への影響を確認する
契約上の通知義務がどこにあるかを確認する
企業間の説明には、任意の説明と、契約上の義務としての通知があります。両者は性質が違うため、最初に切り分けます。
通知条項は、基本契約だけでなく、個別契約、SLA、秘密保持契約、個人データの取扱いに関する覚書のいずれかに置かれていることがあります。確認すべきは、通知の期限（「直ちに」「遅滞なく」「○日以内」）、通知の相手、そして通知すべき事項が指定されているかどうかです。
自社が委託を受けて業務を行っている場合には、契約に通知条項がなくても、受任者として処理の状況を報告する義務が問題になることがあります（民法645条。法律行為でない事務の委託についても同法656条により準用されます）。
説明の時点で確定している事実を区別する
説明の内容を決める前に、手元の情報を三つに分けます。確認済みの事実、未確認の事項、そして評価や推測です。
この分類は説明の内容を整理するためのものであり、内部で行った推測や法的な評価を、そのまま相手方へ提供する趣旨ではありません。また、整理の仕方が同じであっても、相手方ごとに、どこまで答えるかは別に判断します。契約上の義務の範囲と、説明の内容が後日の責任の議論にどう影響するかを踏まえて決めることになります。
未確認の事項については、基準となる時点、確認できていない理由や調査の状況、次回の更新の予定を示します。既に把握している事実まで一括して「未確認」とは扱いません。この分類は、契約上必要な通知を省略したり、必要な調査を見送ったりする根拠にはなりません。
相手方ごとの影響を確認する
相手方によって、答えるべき内容は変わります。確認するのは、その相手方から預かっているデータの有無と種類、システム間の接続の有無、そして相手方自身に報告や通知の義務が生じる可能性があるかどうかです。
なお、自社が個人データの取扱いの委託を受けている場合には、相手方の義務の履行のために、別途の検討が必要になります。
契約上の通知と、個別の質問への回答を分ける
契約上の通知
契約上の通知の時期・内容・方法を確認し、未確定の事項がある場合には、把握済みの事実と未確定の事項を分けた初報や、追加の報告の方法を検討します。未確定の事項を明示して連絡したことだけで、通知義務を履行したことになるとは限りません。 調査の完了まで通知を見送ると期限に抵触する場合もあるため、情報の収集と通知への対応は並行して進めます。
個別の質問への回答
質問は、三つに仕分けます。現時点で回答できるもの、現時点では回答できないもの、調査の完了後に回答するものです。回答できないものについては、いつ回答できる見込みかを示すことが、相手方の理解を得るうえで実際的です。
「影響はありません」と述べる場合には、注意が必要です。この一言は、相手方にとっては自社の対応を決める根拠になります。述べるのであれば、どの範囲を、どのような方法で、いつの時点まで確認した結果なのかを併せて示してください。
また、漏えいの証拠が見つからないことと、漏えいがなかったことは同じではありません。ログが保存されていない、取得範囲に含まれていない、といった理由で確認できないことは珍しくありません。確認できなかったことを、確認した結果として伝えないようにします。
確約や責任に関わる表現
復旧の時期、再発防止の完了、補償の範囲について、確定していない事項を確約しないでください。相手方は確約を前提に自社の判断を進めるため、後で覆すことの負担は、当初に慎重な表現を選ぶ負担より大きくなります。
責任を認める趣旨に読まれうる表現も、責任の所在が固まる前には避けます。「当社の過失により」「弊社の責任で」といった表現は、後の交渉や紛争において、責任を認めた趣旨の発言として援用される可能性があります。援用されることと、責任が成立することとは別ですが、事実の説明、遺憾の意の表明、責任の認否は、それぞれ書き分けてください。
回答・訂正・更新の担当と承認を決める
窓口は一本化します。取引先からの照会は営業部門に届くことがあるため、営業部門には受けた照会を対応事務局へ回すという役割を明示しておきます。
回答案は、技術担当による事実確認と法務による契約確認を経て、説明権限を与えられた本部責任者が承認します。原因の説明を訂正する場合や、新たな確約を加える場合は、改めて承認を得ます。
多数の取引先に同内容の回答を行う場合には、標準回答を作成したうえで、相手方ごとに調整が必要な部分を切り分けます。預かっているデータの種類や契約条項が相手方ごとに異なる以上、調整せずに送れば不正確な回答になります。
相手方から、回答書や確認書への署名を求められることもあります。署名の求めに応じるかどうかは、その書面が事実の確認にとどまるのか、義務や責任の確認を含むのかによって変わります。
発信文、根拠、変更の理由、送付先を対応させて残す
対外説明の記録で重要なのは、誰に何を伝えたかを後から遡れる状態を保つことです。新しい事実が判明したとき、訂正すべき相手を特定できなければ、訂正そのものができません。
残す項目は次のとおりです。
- 発信した日時と宛先
- 発信した文書の原文
- その時点で根拠とした資料
- 起案者と承認者
- 内容を変更した場合は、変更の理由と、再送した相手
発信した日時と、記録を作成した日時は分けて残します。 後から訂正するときは、元の発信内容を残したうえで、訂正の範囲、訂正した日時、訂正した者、訂正の理由を記載します。前回の説明に触れずに新しい説明だけを送ると、相手方は変更があったこと自体に気づかないことがあります。
同一の架空事案について、第一報と続報を対照すると次のようになります。
| 項目 | 第一報（事故2日目） | 続報（事故12日目） | 変更の理由 |
|---|---|---|---|
| 判明している事実 | 特定のサーバへの不正アクセスを確認 | 侵入経路はVPN機器の脆弱性と判明 | 調査の中間報告による |
| 貴社データへの影響 | 現時点で確認されていない（確認した範囲：○○のログ、○月○日まで） | 一部ファイルへのアクセス痕跡を確認 | ログの解析範囲を拡大したため |
| 復旧の見込み | 未定 | ○月○日を目途 | 代替環境の構築が完了したため |
| 次回の連絡 | ○日後 | 調査完了時 | — |
※架空事例の記入例です。項目の対応関係を示すものであり、そのまま使える通知文ではありません。記載すべき内容は、契約条項と事案によって変わります。
確約や補償の回答を求められたときは
次のような場面では、回答の前に法的な整理を交えて検討されることをお勧めします。
- 取引先が取引の停止、契約の解除、損害賠償を示唆している場合
- 契約上の通知義務の範囲や期限の解釈が分かれる場合
- 回答の内容が、後日の責任の議論に影響しうる場合
- 相手方から、補償や再発防止について書面での確約を求められている場合
技術的な調査を担う事業者の所見を踏まえ、契約上の通知の要否と、確約の可否を判断する段階で、弁護士がお手伝いできる部分があります。
Contact
ご相談にあたって
取引先から求められている説明の概要と回答期限、既に伝えた内容、訂正・追加説明が必要な点を、分かる範囲でお知らせください。
お問い合わせフォームへ初回は会社名・関係当事者名・ご相談事項の概要をお知らせください。利益相反等を確認の上、ご相談の可否をご案内します。本フォームは緊急受付窓口ではなく、送信後すぐに確認・返信できるとは限りません。
本記事は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。具体的な対応については、当事務所までご相談ください。記事の内容は、最終更新日の時点で施行されている法令等に基づいています。施行前の改正法を取り上げる場合は、本文にその旨を示しています。