サイバーセキュリティとは？情報セキュリティとの違いと会社の責任を解説

サイバーセキュリティとは、電子的な情報の漏えいや滅失を防ぎ、情報システムとネットワークの安全性と信頼性を保つ措置がとられ、その状態が維持管理されていることです。サイバーセキュリティ基本法の第2条が、この内容を定めています。

今日やることは、自社の方針を1文で決めることです。「何を守り、止まったときに誰が判断するか⁠」⁠。担当者の作業に入る前に社長が言葉にできれば、予算の話が進みます。

情報セキュリティとは何が違う？

実務では、同じ話として使われる場面が多い言葉です。違いを分けるなら、守る範囲で考えます。

情報セキュリティは、情報そのものを守る考え方です。IPAの中小企業向けガイドライン第4.0⁠版⁠の自社診断には、書類の持ち出しや破棄の項目も入っています。

サイバーセキュリティは、法律の定義では、電磁的な方式の情報、情報システム、情報通信ネットワークが対象です。国家サイバー統括室の法令ハンドブックVer.3.0は、この3つ⁠を保護の対象として挙げ、外部からの攻撃への対応に限らないと説明しています。情報の機密性、完全性、可用性も定義に実質的に含まれるとしています。

定義の末尾が「維持管理されていること」である点も見ておきます。製品を買った時点で終わる話ではなく、保たれている状態を指す言葉です。

実務では、言葉を区別することより、責任者の範囲をどちらにも及ばせることを優先します。紙の図面は総務、サーバーは保守会社、と分かれたままだと、事故のときに判断する人がいなくなります。

会社にはどんな責任がある？

法律上の責任

基本法の第7条は、事業者に対し、事業活動に関して自主的かつ積極的にサイバーセキュリティの確保に努めることを求めています。これは努力の定めですが、会社法の話になると具体的になります。

法令ハンドブックは、サイバーセキュリティの体制は組織の内部統制システムの一部だと説明しています。取締役等の内部統制システム構築義務には、適切なサイバーセキュリティを講じる義務が含まれるとしています。

IPAのガイドラインは、取締役としてベストを尽くさなかった結果、情報漏えいや供給の停止などで損害が生じた場合、善管注意義務違反や任務懈怠に基づく損害賠償責任を問われると説明しています。会社法の第三者責任や民法の不法行為責任が認められると、経営者が個人として賠償責任を負う場合もあるとしています。

個人情報の漏えいでは、別の対応も必要です。同じガイドラインは、個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人への通知が必要だと説明しています。

個別の事案でどう判断されるかは事情によって変わります。自社の契約や事故については、弁護士に確認してください。

取引先と社員に対する責任

法律だけが責任ではありません。IPAのガイドラインは、預かった情報を漏えいさせた場合、提供者や顧客に対する責任があると説明しています。取引先との信頼の喪失にもつながるとしています。

委託先の問題も無関係ではありません。委託先から情報が漏れても、委託元として管理責任を問われることがあると、同ガイドラインは述べています。

製造業で考えると、分かりやすくなります。たとえば、発注元から秘密保持契約つきで図面を預かる加工会社の場合、預かった図面の管理は自社の問題であると同時に、発注元との約束の問題です。外注先へ図面を渡しているなら、その先の管理も説明を求められる場合があります。

自社の技術情報を守る面でも、管理は意味を持ちます。IPAのガイドラインは、不正競争防止法で営業秘密として保護を受けるには、秘密として管理されていること、事業に有用であること、公然と知られていないことが必要だと説明しています。誰でも見られる共有フォルダに置いたままでは、守りたい図面やノウハウを主張しにくくなるおそれがあります。

社長は何を決めればよい？

細目まで決める必要はありません。法令ハンドブックは、どのような体制を作るかは一義的に定まらず、事業の規模や特性、必要性、効果、コストなどを勘案して各組織で決めるものとしています。取締役会などは、細目ではなく基本方針を決定すればよいとも説明しています。

つまり、大企業と同じ体制を作る必要はありません。ただ、何も決めていない状態は説明がつきません。

IPAのガイドラインでは、経営者が認識すべき3原則として、対策は経営者のリーダーシップで進めること、委託先の対策まで考慮すること、関係者とコミュニケーションをとることを挙げています。実行を指示する重要7項目⁠の内容を、社長の決裁事項として言い直すと次の5つ⁠になります。

• 方針：何を守り、誰に対して説明するのかを決める
• 予算と人：責任者を決め、費用の枠を決める
• 点検：月次や四半期で報告を受け、見直す
• 緊急時：止める判断、取引先への連絡、公表を誰がするかを決める
• 外部：委託先やクラウドとの責任の分け方を契約で確かめる

投資としてどう説明する？

金額の大きさは、公開されている事例で確かめられます。IPAのガイドラインは、日本ネットワークセキュリティ協会の調査から、ランサムウェアに感染した建設業の事例を紹介しています。VPN機器からの侵入が原因で、年2回⁠の復元訓練により基幹システムは発覚から5日後に戻せたものの、社内システムの再開に41日⁠、リモートアクセスの再開に4か月かかりました。損失は約2.5億円以上⁠とされています。

この事例では業務そのものは止まりませんでした。一方、約1か月⁠はシステムが使えない影響が続き、社内のファイルの2割強を失っています。訓練をしていても費用はかかること、訓練があったから戻せた範囲があることの両方を示す例です。

警察庁の2026年上半期の資料では、ランサムウェア被害の復旧に総額1,000万円以上かかった組織が6割でした。こうした数字は、自社で想定する損失を考える際の材料になります。ただし、被害額の平均として自社に当てはめる数字ではありません。

経営の判断としては、損失をすべて防ぐ前提で考えません。IPAのガイドラインはリスクへの向き合い方の一つとして、補償力のある他社のサービスを利用してリスクを移すことを挙げています。

• 減らす：入口の更新、ログインの強化、バックアップ
• 移す：サイバー保険の比較で補償の範囲と条件を確かめる
• 見える形にする：セキュリティレーティングの比較で、外部からどう評価されるかを確かめる
• 頼む：セキュリティコンサルティングの比較で、社内で判断できない部分の相手を探す

保険に入っても、対策が不要になるわけではありません。補償の条件は商品ごとに違うため、加入前に確認してください。

取引先への説明はこれから増える？

国の制度が動いています。SCS評価制度について、IPAは★3・★4の2027年3月⁠の受付開始に向けて整備を進めるとしています。IPAの2024年度調査では、発注元から要請を受けた経験がある企業は1割強でした。

この割合が今後どう動くかは、私たちには言い切れません。ただ、聞かれてから慌てるより、方針を決めておくほうが説明は楽になります。

現場での進め方は、サイバー攻撃で最初に見直す5つの点と予算別の最初の一手⁠に分けました。基本の全体像はセキュリティの基本⁠に置いています。