経営層のためのサイバーリスク管理｜マルウェア脅威と経営判断

サイバーリスクは経営リスクである

なぜ経営層が関与すべきなのか

サイバー攻撃は、もはやIT部門だけで対処できる技術的問題ではなく、企業の存続を左右する経営リスクとして認識される時代になりました。マルウェア感染による被害は、単なるシステム障害にとどまらず、事業継続、財務、評判、法的責任など、経営のあらゆる側面に深刻な影響を及ぼします。

経済産業省の「サイバーセキュリティ経営ガイドライン」でも、サイバーセキュリティは経営者のリーダーシップのもとで取り組むべき課題として明確に位置付けられています。その理由は以下の通りです。

事業継続への直接的影響

ランサムウェア攻撃による工場停止、物流網の麻痺、顧客サービスの中断など、マルウェア感染は事業活動そのものを停止させる力を持っています。2022年のトヨタ自動車サプライヤーへの攻撃では、国内全工場が操業停止に追い込まれ、約1万3,000台の生産に影響が出ました。

財務インパクトの大きさ

IBM Security「Cost of a Data Breach Report 2024」によると、データ侵害の平均被害コストは全世界で488万ドル（約7億円）に達しています。日本企業の平均被害額も増加傾向にあり、直接的な対応コストに加え、事業機会の喪失、顧客離反、株価下落など間接的な損失も含めると、総被害額は数十億円規模に膨らむケースも珍しくありません。

レピュテーションリスク

情報漏洩事故は企業の信頼を大きく損なわせます。顧客の個人情報が流出した場合、その影響は長期にわたり、ブランド価値の毀損、顧客離反、取引先からの信頼喪失につながります。風評被害は定量化が難しいものの、企業価値への影響は計り知れません。

法的責任・株主代表訴訟のリスク

サイバーセキュリティの不備が原因で重大な被害が発生した場合、取締役は善管注意義務違反として株主代表訴訟を提起される可能性があります。米国では実際に、サイバー攻撃被害後に取締役が訴えられるケースが増加しています。

影響領域	具体的な被害例	経営への影響度
事業継続	工場停止、サービス中断	極めて高い
財務	対応コスト、身代金、訴訟費用	極めて高い
評判	ブランド毀損、顧客離反	高い
法的責任	取締役訴訟、規制当局対応	高い
競争力	技術情報・営業秘密の流出	中〜高い

取締役の善管注意義務とサイバーセキュリティ

会社法上、取締役には善管注意義務（会社法330条、民法644条）が課されており、会社の業務執行にあたって善良な管理者としての注意を払うことが求められます。サイバーセキュリティ対策も、この善管注意義務の範囲内と解釈されるようになっています。

「サイバーセキュリティは、経営者が適切なリーダーシップを発揮して、組織全体として対策を講じるべき重要な経営課題である」

— 経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」

「知らなかった」「IT部門に任せていた」という言い訳は通用しなくなりつつあります。取締役として最低限理解すべき事項は以下の通りです。

リスク認識

自社が直面するサイバーリスクの概要を理解し、リスク評価の報告を定期的に受けていること

体制整備

サイバーセキュリティを担当する責任者（CISOなど）を設置し、適切な報告体制を構築していること

資源配分

リスクに見合った予算・人員を配分する意思決定を行っていること

監督

セキュリティ対策の実施状況を定期的に監督し、必要に応じて是正を指示していること

---

マルウェア脅威の経営的理解

経営者が知るべき脅威の本質

技術的な詳細を理解する必要はありませんが、経営判断を下すためには、マルウェア脅威の本質と経営インパクトを理解しておく必要があります。

脅威タイプ	攻撃の目的	経営インパクト	典型的な被害額
ランサムウェア	身代金要求	事業停止、身代金支払い、復旧コスト	数千万〜数十億円
情報窃取型マルウェア	機密情報の搾取	競争優位の喪失、訴訟リスク	数億〜数十億円
サプライチェーン攻撃	広範な侵害	取引先への波及、信頼喪失	数千万〜数億円
BEC（ビジネスメール詐欺）	金銭詐取	直接的な金銭被害	数百万〜数億円

ランサムウェア：身代金だけではない被害

ランサムウェアは、データを暗号化して身代金を要求するだけでなく、二重恐喝（データ公開の脅迫）、三重恐喝（顧客・取引先への通知）へと進化しています。身代金を支払っても、復旧率は約50%程度であり、支払った企業の約80%が再攻撃を経験しているという調査結果もあります。事業停止期間中の逸失利益、復旧作業の人件費、セキュリティ対策強化費用など、総コストは身代金の数倍に達することが一般的です。

情報窃取：競争優位の喪失

標的型攻撃（APT）による産業スパイ活動では、研究開発データ、営業秘密、M&A情報などが狙われます。これらの情報流出は、長年かけて築いた競争優位を一瞬で失わせます。さらに、顧客の個人情報が流出した場合は、個人情報保護法に基づく報告義務、被害者への通知、訴訟対応など、長期にわたる対応が必要となります。

サプライチェーン攻撃：取引先への影響

サプライチェーン攻撃は、自社だけでなく取引先にも被害が波及する可能性があります。自社が攻撃の起点となった場合、取引先との関係悪化、取引停止、損害賠償請求など、ビジネス関係全体に影響が及びます。大企業のサプライチェーンに属する中小企業は、特に標的にされやすい傾向があります。

自社のリスク評価

経営判断を行うためには、自社が直面するリスクの程度を把握する必要があります。以下の要素を考慮してリスク評価を行います。

1. 業界特性に応じたリスク：金融、医療、重要インフラなど、規制が厳しい業界や、サイバー攻撃の標的になりやすい業界ほどリスクは高くなります。製造業はOT（運用技術）環境を狙った攻撃が増加しています。
2. 保有データの価値：個人情報、決済情報、知的財産、営業秘密など、価値の高いデータを大量に保有する企業はリスクが高くなります。
3. ITへの事業依存度：基幹システム、ECサイト、オンラインサービスなど、ITシステムへの依存度が高いほど、攻撃による事業影響は大きくなります。
4. セキュリティ対策の成熟度：現状のセキュリティ対策レベルと、脅威の程度のギャップがリスクとなります。

---

経営判断が必要な場面

セキュリティ投資の意思決定

「セキュリティにいくら投資すべきか」は、経営者が直面する最も難しい判断の一つです。セキュリティROI評価の詳細は別記事で解説していますが、投資判断の基本的な考え方を紹介します。

投資対効果の考え方

セキュリティ投資の効果は「被害を防いだこと」で測定されるため、ROIの算出は容易ではありません。しかし、リスク低減額という観点で考えることができます。例えば、年間想定被害額1億円のリスクに対し、1,000万円の投資で80%のリスク低減が見込める場合、年間8,000万円相当のリスク軽減効果があると考えられます。

業界水準との比較

一般的に、IT予算の10〜15%をセキュリティに投資することが目安とされています。ただし、リスク特性により大きく異なるため、同業他社との比較や、外部評価を参考にすることが有効です。

段階的な投資アプローチ

一度に大規模な投資を行うのではなく、リスク評価に基づいて優先順位を付け、段階的に投資を進めることが現実的です。

投資判断の観点	検討すべきポイント	経営者の役割
リスク評価	自社のリスク特性、想定被害額	報告を受け、理解する
投資額決定	リスクに見合った投資レベル	予算承認の判断
優先順位	対策の順序、実施時期	方針の承認
効果測定	KPI設定、定期的なレビュー	報告を受け、監督

インシデント発生時の意思決定

サイバーインシデント発生時には、経営者による迅速な意思決定が求められます。特に以下の判断は、経営責任として行う必要があります。

身代金支払いの判断

ランサムウェア攻撃を受けた場合、身代金を支払うかどうかは重大な経営判断です。支払いは犯罪組織への資金提供となり、再攻撃のリスクも高まります。一方で、バックアップがなく事業継続が困難な場合、支払いを検討せざるを得ないケースもあります。事前に方針を定め、ランサムウェア対応プレイブックを整備しておくことが重要です。

公表のタイミング

情報漏洩が発生した場合、個人情報保護法に基づく報告義務（個人情報保護委員会への速報は発覚から3〜5日以内）があります。また、上場企業は適時開示の観点から、投資判断に影響する重要事実として公表を検討する必要があります。公表のタイミングと内容は、法的要件、ステークホルダーへの影響、調査状況などを総合的に判断して決定します。

事業継続と調査のバランス

インシデント対応においては、事業を早期に復旧させたい要求と、十分な調査を行いたい要求が相反することがあります。証拠保全を怠ると、原因究明や法的対応に支障をきたします。一方で、過度に慎重な対応は事業損失を拡大させます。証拠保全と法的対応を理解し、バランスの取れた判断を行う必要があります。

リスク受容の判断

すべてのリスクを完全に排除することは、コスト的にも技術的にも不可能です。経営者はリスク受容の判断を行う必要があります。

• 許容可能なリスクレベルの設定：リスク評価に基づき、どの程度のリスクまでは許容するかを明確にします
• サイバー保険の活用：残存リスクに対しては、サイバー保険でリスク移転することも選択肢です。ただし、保険はあくまで財務的な補償であり、レピュテーションや事業中断の影響を完全にカバーするものではありません
• 定期的な見直し：脅威環境は常に変化するため、リスク受容の判断は定期的に見直す必要があります

---

経営層の役割と責任

経営層が果たすべき5つの役割

経済産業省「サイバーセキュリティ経営ガイドライン」では、経営者が認識すべき3原則と、CISO等に指示すべき重点10項目が示されています。これらを踏まえ、経営層が果たすべき役割を整理します。

1. セキュリティを経営課題として位置付ける：経営戦略の一部としてサイバーセキュリティを位置付け、経営会議の議題として定期的に取り上げます
2. 適切なリソース（予算・人材）を配分する：リスク評価に基づき、必要な予算と人員を確保します
3. リスク許容度を設定する：どこまでリスクを許容し、どこから対策を講じるかの基準を明確にします
4. 有事における迅速な意思決定を行う：インシデント発生時に必要な判断を迅速に下せる体制を整えます
5. セキュリティ文化を醸成する：経営層自らがセキュリティの重要性を発信し、組織全体の意識向上を図ります

役割1：経営課題としての位置付け

サイバーセキュリティを「IT部門の問題」ではなく「経営課題」として認識し、経営計画や事業戦略に組み込むことが重要です。デジタルトランスフォーメーション（DX）を推進する企業ほど、セキュリティリスクも高まることを認識する必要があります。

役割2：リソース配分

予算だけでなく、人材の確保・育成も重要です。セキュリティ人材は慢性的に不足しており、外部リソースの活用も含めた戦略的な人材確保が必要です。セキュリティ人材育成についても検討が求められます。

役割3：リスク許容度の設定

「ゼロリスク」は現実的ではありません。事業特性、保有データの価値、投資可能な予算を踏まえて、許容可能なリスクレベルを設定します。この判断は経営責任として行う必要があります。

役割4：有事の意思決定

インシデント発生時に「判断できる人がいない」という事態を避けるため、意思決定権限の明確化、代行順位の設定、連絡体制の整備を平時から行っておきます。

役割5：セキュリティ文化の醸成

ユーザー意識向上は、経営層のコミットメントなしには実現しません。経営層自らがセキュリティの重要性を発信し、フィッシング詐欺対策訓練などにも参加することで、組織全体の意識が高まります。

取締役会での議論

取締役会でサイバーセキュリティを議題とする際の構成例を示します。

議題項目	報告内容	議論のポイント
リスク状況	脅威動向、自社リスク評価	リスク認識の共有、対策方針
対策状況	実施済み対策、残存リスク	進捗確認、課題の把握
投資計画	予算案、投資対効果	予算承認、優先順位
インシデント報告	発生事案、対応状況、再発防止	対応の妥当性、改善点
コンプライアンス	規制対応状況、監査結果	法的リスクの把握

経営者がセキュリティ担当者（CISO等）に質問すべきポイントとしては、以下が挙げられます。

• 「最も深刻なリスクは何か。それに対してどのような対策を講じているか」
• 「業界他社と比較して、当社のセキュリティレベルはどの程度か」
• 「現在の投資で十分か。不足している対策があれば何か」
• 「インシデントが発生した場合、どの程度の時間で復旧できるか」
• 「従業員のセキュリティ意識はどの程度か。改善のための取り組みは何か」

---

組織体制の構築

CISO/セキュリティ責任者の設置

サイバーセキュリティを経営課題として取り組むためには、CISO（Chief Information Security Officer）または同等の責任者を設置することが重要です。CSIRT/SOC構築とあわせて検討が必要です。

役割と権限

CISOは、セキュリティ戦略の策定、リスク管理、インシデント対応、予算管理など、セキュリティに関する包括的な責任を担います。経営会議や取締役会への報告権限を持ち、必要に応じて経営判断を仰ぐ立場にあります。

レポーティングライン

CISOのレポーティングラインは重要です。CIO（最高情報責任者）配下ではなく、CEOまたは取締役会に直接報告するラインが望ましいとされています。IT部門の都合よりもセキュリティを優先すべき場面があるためです。

必要な専門性

技術的な知識だけでなく、リスク管理、法務、コミュニケーションなど幅広いスキルが求められます。社内人材の育成が難しい場合は、外部からの登用や、アドバイザーの活用も選択肢です。

経営層への報告体制

効果的な報告体制を構築するためのポイントは以下の通りです。

• 定期報告のリズム：四半期に1回程度、取締役会または経営会議でセキュリティ状況を報告します
• ダッシュボード形式：専門用語を避け、リスクスコア、対策状況、インシデント件数など、経営者が理解しやすい形式で可視化します
• 比較情報の提供：業界ベンチマーク、過去との比較など、判断の材料となる情報を含めます
• 重大事案の即時報告：インシデント発生時は、定期報告を待たず即時に報告する体制を整えます

---

規制・ガイドラインへの対応

経営者が知っておくべき規制

規制・ガイドライン	対象	経営層の責任
個人情報保護法	個人情報を取り扱う事業者	安全管理措置、漏洩時の報告義務
サイバーセキュリティ経営ガイドライン	全企業（推奨）	経営者のリーダーシップ
会社法（善管注意義務）	全株式会社	内部統制システムの整備
金融商品取引法	上場企業	適時開示、内部統制報告
業界別規制	金融、医療、重要インフラ等	業界固有の基準遵守

セキュリティガバナンスの枠組みの中で、これらの規制対応を位置付けることが重要です。また、業界標準・フレームワークを活用することで、体系的な対応が可能になります。

「経営者は、サイバーセキュリティリスクを経営リスクの一つとして認識し、自らの責任で対策を進めることが必要」

— 経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」

---

よくある質問

Q: セキュリティにいくら投資すべきですか？

A: IT予算の10〜15%が一般的な目安ですが、業界やリスク特性により異なります。重要なのは、自社のリスク評価に基づいた投資判断です。被害発生時の想定損失額と発生確率から期待損失を算出し、それを下回る投資で最大のリスク低減効果を得ることが合理的な考え方です。業界ベンチマークや外部評価も参考にしつつ、自社の状況に応じた投資レベルを決定してください。

Q: ランサムウェアの身代金は支払うべきですか？

A: 原則として支払いは推奨されません。支払いは犯罪組織への資金提供となり、再攻撃のリスクも高まります。また、支払っても復旧できないケースが約30%あります。ただし、事業継続が困難でバックアップも存在しない場合など、支払いを検討せざるを得ない状況もあります。事前に方針を定め、万が一の際は法執行機関や専門家に相談のうえ判断してください。

Q: 取締役会でセキュリティをどのように議論すべきですか？

A: 四半期に1回程度、リスク状況、対策進捗、投資計画を報告・議論することを推奨します。技術的な詳細ではなく、経営インパクト（事業への影響、財務影響、法的リスク）の観点で議論します。CISOからの報告を受け、「最大のリスクは何か」「対策は十分か」「業界水準と比較してどうか」といった質問を通じて監督を行います。

Q: セキュリティ人材がいない場合どうすればよいですか？

A: 専任人材の確保が難しい場合は、外部リソースの活用が現実的です。MDR（Managed Detection and Response）サービスやセキュリティコンサルタントを活用しつつ、社内人材の育成を並行して進めます。経営層として重要なのは、人材不足を認識し、必要な予算を確保することです。

Q: 情報漏洩が発生した場合、いつ公表すべきですか？

A: 個人情報の漏洩が発生した場合、個人情報保護委員会への速報は「発覚から3〜5日以内」が目安です。上場企業は、投資判断に影響する重要事実として適時開示も検討します。ただし、公表により攻撃者を刺激するリスク、調査が不十分な段階での公表による混乱なども考慮し、法務・広報と連携して判断します。

---

まとめ

サイバーリスクは、現代の経営において避けて通れない課題です。経営層として最低限認識すべきポイントを整理します。

• サイバーリスクは経営リスクである：IT部門任せにせず、経営課題として取り組む
• 取締役には善管注意義務がある：「知らなかった」は通用しない
• 投資判断は経営責任：リスクに見合った予算・人員を配分する
• 有事に備える：インシデント発生時の意思決定体制を平時から整備する
• セキュリティ文化を醸成する：経営層自らがリーダーシップを発揮する

組織的マルウェア対策の詳細や、マルウェア感染対策の全体像もあわせてご参照ください。

---

---