Crisis Management
サイバー事故の社内決裁――判断権限・代行者・見直しの記録
全容が分からなくても、判断を待てない場面があります。誰が決め、何を記録し、どの条件で見直すのか。本記事では、サイバー事故の初動を、判断権限と記録の観点から整理します。調査の発注、取引先への説明、費用の負担といった個別の判断は、それぞれ別の記事で扱います。
監修：吉川 景司（弁護士・弁理士／第一東京弁護士会）
以下は架空の事例です。 A社（製造業、従業員300名、法務2名、情報システム部門あり、上場準備中）の受注・在庫システムに異常が生じ、出荷に支障が出ています。運用保守を委託しているB社からも、作業用環境への不正アクセスの疑いがあると連絡がありました。漏えいの有無も、両者の関連性も、まだ分かっていません。本記事では、この段階でA社の社内において、誰が何を決めるかを扱います。
本稿のA社・B社等は、説明のための架空設定です。当事務所の実際の受任案件を紹介するものではありません。
判断が止まっている事項と、既存の権限を確認する
事故の初期に決定を求められる事項は、おおむね次のものです。被害の拡大を防ぐための措置、システムを止めるか動かし続けるか、外部の専門家に調査を発注するか、取引先や顧客にいつ何を伝えるか、当局への報告や本人への通知が必要か、代替手段で業務を続けるか、などです。
これらはいずれも、平時の意思決定とは性質が異なります。判断材料が揃っていない段階で決めなければならず、しかも決めないこと自体が損害を広げる場面があるためです。
金額基準を中心とする職務権限規程では、システムの停止のように金額で測れない判断や、調査の発注のように金額が事後にしか確定しない判断について、決裁権者を特定できない場合があります。
部門の役割や決裁先が明確でない場合には、各部門が他部門の判断事項と考え、決定が滞ることがあります。A社の例でいえば、システムを止める判断は情報システム部門が起案しますが、出荷への影響を評価するのは事業部門であり、取引先への説明の可否を法的に評価するのは法務です。
まず確認すべきは、既存の規程で決裁権者が特定できる事項と、特定できない事項の切り分けです。特定できない事項があれば、それこそが事故対応で最初に詰まる箇所です。
現場の判断、経営の決裁、そして再判断を分ける
判断は、性質の違う三つに分けて考えると整理しやすくなります。
一つ目は、直ちに実施し、事後に報告する措置です。被害の拡大を防ぐための隔離や遮断について、システムの特性と業務への影響、既存の権限を踏まえ、現場の権限で直ちに実施できる措置と、承認を要する措置を区分します。区分を設けないまま、すべてを経営の承認事項にすると、夜間や休日に連絡がつかないという理由で、防げたはずの被害が広がることがあります。
二つ目は、経営が決める事項です。事業への影響を伴うシステムの停止や再開、対外的な発信、相当額の支出、法的な責任に関わる判断がこれにあたります。これらは、たとえ技術的な緊急性があっても、経営判断として記録に残る形で決めるべきものです。
三つ目は、暫定的に決め、後で見直す事項です。事故の初期に下す判断の多くは、情報が不足したままの判断です。判断を下すときに「これは暫定である」と位置づけ、見直す時点をあらかじめ決めておきます。「調査の中間報告を受けた時点で再検討する」「一定時間の経過後に状況を確認して継続の可否を決める」というように、再判断の条件を判断と同時に定めておくと、状況が変わったときに判断を改めやすくなります。
担当者、承認者、そして不在時の代行者を決める
事故対応の決裁には、平時よりも多くの役割が関与します。起案する部門、技術的な事実を確認する担当、法的な評価を行う担当、承認する権限を持つ者、そしてその者が不在のときの代行者です。
A社のような分業型の企業では、次のように整理できます。
| 判断事項 | 起案 | 技術判断 | 法的評価 | 承認者 | 代行者 | 事後報告先 |
|---|---|---|---|---|---|---|
| ネットワークの隔離 | 情報システム | 情報システム | — | 情報システム部長（事後報告） | 課長 | CISO |
| 外部調査の発注 | 情報システム | 情報システム | 法務 | CISO | 管理本部長 | 取締役会 |
| 取引先への第一報 | 法務 | 情報システム | 法務 | 管理本部長 | 法務責任者 | 社長 |
| 事業の停止・再開 | 事業部門 | 情報システム | 法務 | 社長 | 副社長 | 取締役会 |
| 補償・支出 | 法務・経理 | — | 法務 | 社長 | — | 取締役会 |
※架空事例の記入例です。権限・担当・時間の設定は本事例のものであり、法令上の要件ではありません。担当者が兼任している企業では、「経営判断」「技術対応」「連絡と記録」という三つの役割に集約する方法があります。
代行を定めるときは、順位だけでなく、連絡がつかない場合に待つ時間の上限もあらかじめ定めておきます。順位だけを定めても、「まだ連絡を待つべきか」で迷えば、代行者を置いた意味がありません。
また、取締役会や監査役等（監査等委員会や内部監査部門を含みます）への報告は、決裁とは別の系統として設計してください。決裁が済んだかどうかと、報告すべき機関に報告が届いたかどうかは別の問題です。取締役会設置会社では、業務の適正を確保するための体制の整備について取締役会が決定すべきものとされており（会社法362条4項6号。大会社である取締役会設置会社では同条5項により決定が義務づけられます）、事故対応の権限と報告の設計は、その体制の一部として位置づけられます。
判断の理由と見直しの条件を残し、相談につなぐ
事故対応の記録というと、いつ何が起きたかという事実の記録が思い浮かびます。しかし後から必要になるのは、多くの場合、なぜその判断をしたのかの記録です。
残しておきたいのは、次の項目です。
- 判断した事項
- 判断した時点で判明していた事実（と、判明していなかった事実）
- 検討した代替案
- その案を選んだ理由
- 起案者と承認者
- 見直す条件と、見直す時点
あわせて、判断や出来事があった日時と、記録を作成した日時を分けて残します。 後から補記や訂正をするときは、元の記録を残したうえで、変更した日時、変更した者、変更の理由を記載します。整った記録であっても、当時何を知っていたのかが読み取れなければ、経緯の説明に使えません。後日の調査で判明した事実を、当時の記録に溶け込ませないようにしてください。
これらの記録は、後日、役員が善管注意義務を果たしたかが問われる場面や、委託先との間で責任の分担を検討する場面で参照されることがあります。保険金の支払いの審査で求められる資料は、適用される約款や特約によって異なります。
ただし、記録を残したから責任を免れる、というものではありません。記録は、判断の妥当性を検証するための材料であって、判断の内容を正当化するものではないからです。
次のような場面では、法的な整理を交えて検討されることをお勧めします。
- 権限規程に定めのない事項について、誰が決裁するかを決める必要があるとき
- 技術的な評価と法的な評価が食い違い、部門間で結論が分かれているとき
- 経営判断として何を記録に残すべきかを設計するとき
技術的な対応を担う事業者や、事故対応を支援する事業者の所見を踏まえ、社内の誰が何を決めるかという整理が必要になった段階で、弁護士がお手伝いできる部分があります。
Contact
ご相談にあたって
判断が必要な事項とその期限、現在の担当・決裁体制、承認や代行について整理したい点を、分かる範囲でお知らせください。
お問い合わせフォームへ初回は会社名・関係当事者名・ご相談事項の概要をお知らせください。利益相反等を確認の上、ご相談の可否をご案内します。本フォームは緊急受付窓口ではなく、送信後すぐに確認・返信できるとは限りません。
本記事は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。具体的な対応については、当事務所までご相談ください。記事の内容は、最終更新日の時点で施行されている法令等に基づいています。施行前の改正法を取り上げる場合は、本文にその旨を示しています。