Crisis Management
サイバー事故の顧客補償・復旧費用――責任分担と求償に備える記録
サイバー事故では、調査の費用、復旧の費用、取引先への補償、問合せ対応の人件費など、多岐にわたる支出が短期間に発生します。これらを後から委託先へ請求し、あるいは保険で回収しようとするとき、争点になるのは「その支出が必要だったか」「事故との因果関係があるか」「金額が相当か」です。本記事では、支出を決める段階で何を確認し、何を費目別に残しておくかを扱います。責任が成立するかどうかの判断枠組みそのものは、別の記事で扱います。
監修：吉川 景司（弁護士・弁理士／第一東京弁護士会）
目次
以下は架空の事例です。 A社（製造業、従業員300名、上場準備中）では、受注・在庫システムへの不正アクセスにより出荷が止まりました。緊急の調査を調査事業者D社に発注し、代替の運用環境を手配し、法人顧客のC社からは納入遅延に伴う補償を求められています。運用保守を委託しているB社の環境が関係している可能性もあります。
本稿のA社・B社等は、説明のための架空設定です。当事務所の実際の受任案件を紹介するものではありません。
補償や復旧費用の支出判断を求められる場面
事故対応では、支出の判断が連続します。緊急の調査を発注し、追加の詳細調査に進むかを決め、代替のシステムを手配し、問合せ対応を外部に委託し、取引先への補償を検討する。これらはいずれも、短い時間で決めることになります。
このとき起きやすいのが、復旧の緊急性に押されて、根拠となる資料の整備が後回しになることです。支出そのものは記録に残りますが、「なぜその支出が必要だったのか」「なぜその金額だったのか」は、後から再構成するのが難しくなります。
費目、発生の原因、契約、保険の条件を確認する
費目を分けて把握する
まず、支出を性質ごとに分けます。
- 調査の費用
- 封じ込めと復旧の費用
- 代替運用の費用
- 通知・問合せ対応の費用
- 取引先への補償
- 弁護士費用
- 再発防止のための投資
費目ごとに、請求先と請求の根拠、事故との因果関係、契約上の制限を確認します。事故への対応として必要だった支出と、この機会に行った改善のための投資とでは、性質が異なります。保険の支払いの対象は、適用される約款・特約に基づいて別途確認します。
契約上の責任制限を確認する
委託契約に、責任の限度額を定める条項、免責事由を定める条項、損害の範囲を限定する条項が置かれていることがあります。請求を検討する前に、まず自社の契約がどう定めているかを確認してください。
保険の条件を確認する
サイバー保険に加入している場合、確認すべきは次の四つです。
- 事故の通知の期限と方法
- 対象となる費用の範囲（費用の補償と利益の補償の別、人件費の定義、通常発生する費用が除外されているか）
- 発注や示談について、事前の承認を求める条件があるか
- 保険者による代位（保険法25条。保険者が保険給付を行った場合に、被保険者が第三者に対して有する債権を取得するという仕組みです）
いずれも自社の適用約款と特約で確認する事項です。商品によって条件は異なりますので、一般的な説明を自社の契約の内容と取り違えないようにしてください。保険会社の承認を得たことと、その費用が全額支払われることは同じではありません。
賠償と任意の補償、復旧と機能の増強を分ける
法的な賠償義務と、取引維持のための任意の支出を区別する
取引先への支払いには、法的な賠償義務に基づくものと、取引関係を維持するための任意の支出とがあります。
任意の補償を委託先へ請求できるかは、同社の責任、事故との関係、支出の必要性と金額の相当性、契約上の制限等を踏まえて検討することになります。支出をする時点で、その判断の材料を残しておいてください。なぜその金額にしたのか、他の選択肢を検討したのか、相手方から何を求められていたのかが、後の検討の出発点になります。
原状回復と、機能の追加・増強を区別する
復旧の作業には、事故の前の状態に戻す部分と、この機会に機能を追加したり性能を上げたりする部分とが混在しがちです。この二つは、分けて管理してください。
この区別が争点となった裁判例があります。前橋市の教育情報ネットワークへの不正アクセスに関する事案です。
前橋地方裁判所令和5年2月17日判決（令和2年〔ワ〕第145号）については、同年3月2日に控訴、同年9月8日に附帯控訴がされ、その後、東京高等裁判所が令和7年5月9日に和解案を提示し、前橋市議会が同年6月19日に和解議案を可決しています。本稿では、第一審が当該事案について示した判断として紹介します。
「システム復旧一式」という記載だけでは内訳を読み取れないため、見積書や作業報告等で、原状回復の分と追加・増強の分が分かるようにしておきます。
逸失利益や売上の減少の扱い
事業が止まったことによる売上の減少は、立証が難しい費目です。
クレジットカード情報の流出に関する東京地方裁判所の判決（平成26年1月23日、平成23年〔ワ〕第32060号、判例時報2221号71頁）では、顧客への謝罪関係費用、問合せ対応の費用、調査の費用が、いずれも損害として認められています。他方、売上の損失については、約6,000万円の請求に対し、民事訴訟法248条を適用して400万円の限度で相当因果関係のある損害と認められています。同事件では、発注者側の過失も考慮され、認定された損害額から3割が減額されました。
※上記の費目は、3割の過失相殺を行う前の認定額に基づく整理です。金額の詳細は判例集をご確認ください。
算定の前提となる資料（事故の前後の受注や出荷の記録、取引先からの連絡等）は、事故の直後から確保しておいてください。後から集めようとすると、揃わないことがあります。
支出と補償の条件の確認、承認を分担する
支出は予算の決裁権者、顧客との補償の合意はその合意の決裁権者が承認します。支出を承認したことと、相手方に請求できることは分けて検討します。
保険会社への通知と、事前の承認が必要な事項の確認は、支出の決定と並行して行います。示談をする前には、保険の条件を確認してください。
緊急の支出について事後に承認を得る場合は、その手続と、なぜ事前の承認を得られなかったのかを記録に残します。
必要性、因果関係、金額を費目別に裏づける
費目ごとに、次の項目を残します。
- 支出の目的
- 事故との関係
- 検討した代替案
- その案を選んだ理由
- 見積書と作業の内訳
- 支払いの記録
- 承認者
- 請求先の候補
支出を決めた日時と、記録を作成した日時は分けて残します。 後から補記や訂正をするときは、元の記録を残したうえで、変更した日時、変更した者、変更の理由を記載します。
整理すると、次のようになります。
| 費目 | 支出の目的 | 代替案 | 承認 | 裏づけ資料 | 回収の検討先 |
|---|---|---|---|---|---|
| 緊急調査 | 影響範囲の特定 | 自社調査 | CISO | 発注書・報告書・作業内訳 | 委託先／保険 |
| 追加の詳細調査 | 責任と報告の判断 | 実施しない | 経営 | 追加発注の理由書 | 委託先／保険 |
| 代替システム | 事業の継続 | 業務の停止 | 経営 | 契約書・稼働記録 | 委託先 |
| 復旧作業 | 原状回復 | — | 情報システム部長 | 作業内訳（原状回復分と増強分を分離） | 委託先 |
| 問合せ対応 | 取引先対応 | 自社対応 | 管理本部長 | 委託契約・対応件数の記録 | 保険 |
| 取引先への補償 | 取引の維持 | 交渉の継続 | 経営 | 合意書・算定根拠 | 委託先（求償） |
※架空事例の記入例です。権限・担当・時間の設定は本事例のものであり、法令上の要件ではありません。請求および保険金支払の可否ならびに範囲は、個別に検討します。 追加の人件費は、該当する行の内訳として整理し、同じ支出を重ねて計上しないようにしてください。
社内の人件費は、性質の違う三つに分けて記録します。
事故対応で実際に増えた残業代や臨時要員の費用等は、通常の給与と区分し、支出の理由・金額・業務の内容を記録します。通常の勤務時間内の工数は、費用の把握や経営判断など、社内管理の資料として残します。専従・兼務を問わず、本来の業務に遅延や中止が生じた場合は、予定と実績、期間・担当者、具体的な影響と根拠資料も別に整理します。給与の時間按分額が、そのまま賠償の対象になるわけではありません。 賠償の可否・範囲と保険の対象性は、それぞれ別途検討します。
本来の業務への支障を整理する場合は、専従か兼務かを問わず、業務ごとに次を対応させて残します。
- 当初の業務・担当者・予定期限と、事故対応へ振り向けた期間・時間
- 実際の遅延や中止、採った代替措置、完了日
- 納期の変更や失注等の結果と、工程表・受注記録・顧客とのやり取りといった裏づけ
システムの停止そのものによる影響と、人員を振り向けたことによる影響は、判別できる範囲で分けてください。これは具体的な不利益を検討するための資料であり、給与相当額の回収を前提とする記録ではありません。
この点が争われた例として、サイバー事故の事案ではありませんが、断水による営業損害が問題となった福岡高等裁判所令和5年12月21日判決（令和4年〔ネ〕第663号）があります。同判決は、原告の従業員が事故対応に従事した事実は認定しながら、対応のために従前の予定を超えて人件費の出捐が追加されたことを認めるに足りる証拠はないとして、人件費相当額の損害を認めませんでした。当該事案における判断ですが、工数を記録するだけでは足りないことを示しています。
なお、支払った費用をそのまま全額、委託先に請求できるとは限りません。契約上の責任制限、過失の割合、費用の必要性と相当性の評価によって、請求できる範囲は変わります。
負担の交渉、損害賠償請求、求償を検討するときは
次のような場面では、法的な整理を交えて検討されることをお勧めします。
- 委託先や再委託先への請求を検討する場合
- 保険金の支払いを受けた後の、保険者による代位との関係を整理する必要がある場合
- 複数の当事者の間で負担を分担する場合
- 復旧と増強の内訳が資料から読み取れない場合、補償額の算定根拠が不足している場合、費用の必要性や金額を争われた場合
合意書に、それまでの合意を本書に集約する趣旨の条項がある場合には、従前の約束のうち何を合意内容として残すかを確認します。 残すものは、合意書の本文又は明示的に組み込む別紙に記載します。従前のやり取りが合意内容を構成するかということと、事実関係や合意の解釈を示す資料としてどのような意味を持つかということは、分けて検討します。請求権の放棄や清算の範囲については、それらを定める条項も確認してください。
調査・復旧を担う事業者の作業内訳と経理の資料を、請求の検討に用いる費目別の資料へ対応させる段階で、弁護士がお手伝いできる部分があります。
→ 不正送金の回収・代金再請求への対応（送金被害を伴う場合）
Contact
ご相談にあたって
発生済み・予定している費用や補償の概要、費用負担をめぐる相手方とのやり取り、保険会社への連絡・確認状況を、分かる範囲でお知らせください。
お問い合わせフォームへ初回は会社名・関係当事者名・ご相談事項の概要をお知らせください。利益相反等を確認の上、ご相談の可否をご案内します。本フォームは緊急受付窓口ではなく、送信後すぐに確認・返信できるとは限りません。
本記事は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。具体的な対応については、当事務所までご相談ください。記事の内容は、最終更新日の時点で施行されている法令等に基づいています。施行前の改正法を取り上げる場合は、本文にその旨を示しています。