サイバー攻撃・情報漏洩が起きたら企業はどうなる？法的責任と対応手順を横浜の弁護士が解説

「ランサムウェアに感染して顧客データが暗号化された」「不正アクセスを受けて従業員の個人情報が外部に流出した」――こうした事態は、もはや大企業だけの問題ではありません。サイバーセキュリティ専門機関の調査によると、2026年に入っても中小企業を標的にしたランサムウェア攻撃や不正アクセスの件数は増加傾向にあり、セキュリティ対策が十分でない事業者ほど被害を受けやすい状況が続いています。

問題はセキュリティの話だけにとどまりません。サイバー攻撃によって情報漏洩が発生した場合、企業は個人情報保護法や不正アクセス禁止法などに基づく法的責任を問われる可能性があり、行政処分・損害賠償請求・刑事罰といった深刻なリスクに直面します。2026年にはサイバー対処能力強化法のインシデント報告義務も本格施行され、法令上の義務はさらに重くなっています。

本記事では、サイバー攻撃・情報漏洩が発生した際に企業が負う法的責任の内容と、被害発覚後に取るべき対応手順について、横浜を拠点とするタングラム法律事務所の弁護士がわかりやすく解説します。

サイバー攻撃による情報漏洩とは――主な類型と被害の特徴

一口に「サイバー攻撃」といっても、その手口は多岐にわたります。企業が日常業務の中で直面しやすい主な類型を整理すると、以下のようなものが挙げられます。

• ランサムウェア（身代金型マルウェア）：社内システムのデータを暗号化し、復旧と引き換えに金銭を要求する攻撃。被害時には業務が完全停止するだけでなく、暗号化前にデータを外部へ持ち出される「二重脅迫型」も増えています。
• 標的型メール攻撃（フィッシング）：正規の取引先や金融機関を装ったメールを送りつけ、添付ファイルやリンクを通じてマルウェアを感染させたり認証情報を詐取したりする手口です。
• 不正アクセス：脆弱性を突いてシステムに侵入し、顧客データや営業秘密・従業員情報などを持ち出す攻撃です。テレワーク普及に伴い、VPN機器の脆弱性を狙ったケースが多く報告されています。
• 内部不正（情報持ち出し）：退職者や現役従業員が、業務上アクセスできる顧客リストや設計データを無断でコピー・持ち出す行為も、情報漏洩の大きな原因の一つです。

いずれのケースでも、漏洩した情報が顧客の個人情報を含む場合は、個人情報保護法に基づく法的対応が必要になります。また、外部からの不正アクセスが確認された場合には、不正アクセス禁止法上の被害届提出という選択肢も検討することになります。

サイバー攻撃・情報漏洩で企業が問われる主な法的責任

情報漏洩が発生した場合、企業はさまざまな法律に基づく責任を負う可能性があります。主なものを順に確認しましょう。

① 個人情報保護法に基づく行政責任・罰則

個人情報保護法（以下「個情法」といいます）は、個人データの安全管理について事業者に義務を課しており、漏洩が発生した場合には行政上の責任が生じます。

具体的には、個人データの漏洩等が生じ「個人の権利利益を害するおそれが大きい」と判断されるケース（たとえば、不正アクセスによる漏洩や、1,000件を超える個人データの漏洩など）については、個人情報保護委員会への報告および本人への通知が義務付けられています（個人情報保護法第26条）。報告は「速報」（概ね3〜5日以内）と「確報」（30日以内、不正の目的による場合は60日以内）の二段階で行われます。

個人情報保護委員会から勧告・命令を受け、それに従わなかった場合は、個人に対して1年以下の懲役または100万円以下の罰金、法人に対しては1億円以下の罰金が科せられる可能性があります（個人情報保護法第178条等）。

② 民事上の損害賠償責任

情報漏洩によって損害を受けた顧客・取引先・従業員などから、民事上の損害賠償請求を受ける可能性があります。請求される損害の範囲は、精神的苦痛に対する慰謝料にとどまらず、漏洩した情報が悪用されたことによる財産的損害（詐欺被害の損害額など）も含まれ得ます。

裁判例では、大量の個人情報が漏洩したケースでも1件あたりの賠償額が数百〜数千円程度にとどまるケースがある一方、個人情報の性質（要配慮個人情報）や漏洩後の対応の不誠実さによっては賠償額が高額になることもあると解されています。件数が数万件に及ぶ大規模漏洩の場合、総額では相当な賠償義務を負う可能性があります。

また、委託先が情報漏洩を起こした場合には、委託元から委託先に対して損害賠償が請求されるケースもあります。フォレンジック調査費用・第三者委員会の設置費用・再発防止策の実施費用なども損害に含まれる場合があると考えられています。

③ 不正アクセス禁止法に基づく刑事・民事責任（加害者側）

外部からの不正アクセスを受けた側だけでなく、自社の従業員が他社のシステムや顧客のアカウントに不正にアクセスした場合には、その従業員自身と企業が不正アクセス禁止法違反の加害者側に立つことになります。不正アクセス行為には3年以下の懲役または100万円以下の罰金が科せられ得ます（不正アクセス禁止法第11条）。

④ サイバー対処能力強化法によるインシデント報告義務（2026年施行）

2025年5月に成立・公布された「重要電子計算機に対する不正な行為による被害の防止に関する法律」（いわゆるサイバー対処能力強化法）は、2026年中に段階的に施行されます。インシデントの報告義務規定は2026年10月頃の施行が見込まれています。

主な対象は重要インフラ事業者ですが、サプライチェーンに連なる中小企業に対しても、委託元から契約上「セキュリティ基準の遵守」や「インシデント発生時の連携・報告」を求められるケースが増えることが予想されます。自社が対象となるかどうかを早めに確認しておくことが重要です。

情報漏洩発覚後に企業が取るべき対応手順

実際にサイバー攻撃や情報漏洩が発覚した場合、初動対応の適切さが被害の拡大防止と法的リスクの軽減に直結します。以下の手順を参考にしてください。

第1ステップ：被害の拡大防止と証拠保全

まず最優先で行うべきことは、被害の拡大を止めることです。不正アクセスを受けているシステムをネットワークから切り離す、漏洩が疑われるアカウントのパスワードを変更するといった措置を迅速に取ります。ただし、この際にサーバのログや侵入経路に関する記録を誤って削除しないよう注意が必要です。後の原因調査や警察への届出・民事訴訟において、これらのログは重要な証拠となります。

第2ステップ：被害規模の調査（フォレンジック調査）

どの情報がどの程度漏洩したかを明らかにするため、ITセキュリティ専門業者によるデジタルフォレンジック調査を実施することを検討します。調査の結果によって、個情法上の報告義務が生じるかどうか、誰にどのような通知を行うべきかが確定します。弁護士に早期に相談し、法的な観点から調査の方針を定めることが重要です。

第3ステップ：関係機関への報告・届出

被害規模が確定または概ね把握できた段階で、以下の報告・届出を行います。

報告・届出先	根拠法令	期限の目安
個人情報保護委員会（速報）	個人情報保護法第26条	事態把握から概ね3〜5日以内
個人情報保護委員会（確報）	個人情報保護法第26条	事態把握から30日以内（不正の目的による場合は60日以内）
本人への通知	個人情報保護法第26条	速やかに（速報提出後、本人への通知が必要）
警察（被害届）	不正アクセス禁止法等	外部からの不正アクセスが確認された場合はできる限り早期に
主務大臣・監督官庁	業法等（金融・医療など業種による）	業種ごとの規定に従う

複数の報告を同時並行で進める必要があることから、法律・システム・広報のそれぞれについて担当者を決め、弁護士や専門家の指揮のもとで対応することが求められます。

第4ステップ：被害者への対応と損害賠償交渉

漏洩した情報の本人（顧客・従業員等）への通知を行った後、問い合わせや苦情の対応窓口を設置します。被害が生じた場合には、誠実な姿勢で交渉・補償を進めることが、信頼回復と訴訟リスクの低減につながります。ただし、一方的に過大な賠償を約束することは避け、弁護士に相談のうえ適切な範囲での対応を検討してください。

第5ステップ：再発防止策の整備と社内体制の見直し

原因究明が完了したら、再発防止策を文書化し実施します。アクセス権限の見直し・パスワードポリシーの強化・セキュリティ教育の実施・外部委託先の管理体制の確認などが典型的な対策として挙げられます。個人情報保護委員会への確報においても、再発防止策の内容を具体的に記載する必要があります。

中小企業が今すぐ取り組むべき予防的対策

サイバー攻撃への対応は、発生後の対処だけでなく、未然防止の体制を整えることが最も重要です。横浜の弁護士の立場からも、特に以下の3点を中小企業の経営者に強くお勧めします。

①「個人情報取扱規程」と「情報セキュリティポリシー」の整備

個情法は、個人データの安全管理措置として組織的・技術的・物理的・人的な措置を求めています（個人情報保護法第23条・ガイドライン）。従業員の教育・アクセス権限の管理・委託先の監督を文書化したポリシーを整備することで、万が一の際に「相当の注意を払っていた」という証拠になり得ます。

②インシデント対応手順書（IRP）の作成

「もし漏洩が起きたら誰が何をするか」を事前に書き出しておくことで、実際の緊急事態でも冷静に動けます。個情法の速報義務は「知った時から3〜5日以内」と短期間ですので、事前に手順を決めておくことが不可欠です。

③外部委託先との契約書の見直し

クラウドサービスやシステム開発・保守を外部に委託している場合、委託先のセキュリティ基準や漏洩発生時の責任分担を契約書に明確に定めておく必要があります。漏洩が委託先から発生した場合でも、個情法上の責任は委託元（自社）に及ぶ場合があることに注意が必要です。

サイバー攻撃・情報漏洩対応で弁護士に依頼するメリット

情報漏洩事案における弁護士の役割は、単なる訴訟代理にとどまりません。発生直後から以下のような形で企業をサポートすることができます。

• 個情法上の報告義務の判断：漏洩の内容や件数を踏まえて、報告義務が生じるかどうか、何をどのように報告すべきかを法的観点から整理します。
• 被害者・取引先との交渉・示談：感情的になりがちな当事者間交渉を代理し、合理的な解決を目指します。
• 行政調査・監督官庁対応：個人情報保護委員会の調査や勧告に対し、適切に対応するためのアドバイスを提供します。
• 内部不正への対応（懲戒・損害賠償請求）：従業員による情報持ち出しが原因の場合、懲戒処分の妥当性の検討や犯人への損害賠償請求を支援します。
• 契約書・社内規程の整備：再発防止のための社内体制整備を法的観点からサポートします。

横浜の企業様においても、初動対応が遅れたために被害が拡大したケースや、報告義務の不履行によって監督官庁から指摘を受けたケースは少なくないと伺います。事態が発生した後では対応できる選択肢が限られてしまうため、日頃から顧問弁護士に相談できる体制を整えておくことが重要です。

まとめ

サイバー攻撃・情報漏洩が発生した場合、企業は個人情報保護法に基づく報告義務・行政処分リスク、被害者からの民事損害賠償請求、そして2026年施行のサイバー対処能力強化法によるインシデント報告義務など、複合的な法的責任に直面します。被害発覚後の初動対応として、証拠保全・被害規模の調査・関係機関への報告・被害者対応・再発防止策の実施という流れを迅速に進めることが求められます。

中小企業でも今すぐ取り組める予防策として、個人情報取扱規程の整備・インシデント対応手順書の作成・委託先との契約書見直しが有効です。横浜の弁護士への事前相談を通じて体制を整えておくことが、有事のリスクを最小化するうえで最も効果的な対応といえるでしょう。

※本記事は一般的な法律情報の提供を目的としており、個別の法律相談ではありません。具体的な案件については弁護士にご相談ください。