最近、日本でもサイバー攻撃が急激に増えていますね。アメリカでは、サイバーセキュリティにかかわるレッドフラッグ(red flag)への対応を怠った取締役の不作為が、監視義務の懈怠であるとして、いくつか株主代表訴訟が提起されています。
また、ケアマーク判決の基準をサイバーセキュリティに関する取締役の責任に適用した判決がいくつか出されています。取締役にとっては望ましく、訴えが棄却されている事例が多いですが将来はわかりません。
ケアマーク判決が示したのは、取締役会が適切な監視・報告体制を構築するとともに、重大な危険信号を認識した場合には、それを無視せず適切に対応することが重要ということになります。
In re Caremark International Inc. Derivative Litigation, 698 A.2d 959 (Del. Ch. 1996).
そして、アメリカの事例を日本にそのまま適用することはできませんが、NISC「サイバーセキュリティ関係法令Q&Aハンドブック Ver2.0」(2023年)などを踏まえると、日本においても取締役は最低限以下のことは実行しておくことが大切なのだと思います。
1) サイバーセキュリティに関して内部統制システムを構築しておくこと
2) 危険信号(レッドフラッグ)を受け取ったら迅速にアクションを起こすこと
まず1)については、社外取締役の方は特に力を入れて体制を整えることを取締役会で提言しておくとよいと思います。体制そのものを作っていないというのは、何かあったら責任追及してくださいと言っているようなものなので避けなければなりません。
そして、2)ですが、情報セキュリティ担当役員やセキュリティ部門、監査部門などから危険信号を受け取ったら、すぐに外部の専門家にも頼りながら、是正措置や危機対応に打って出ることです。これを見逃したり無視したりすると、やはり責任を問われるリスクが高まります。
サイバー攻撃を受けること自体は避けられません。自動車のもらい事故のようなものでこちらが注意していても事故は起きます。また、高度なサイバーセキュリティ対策を講じていても、サイバー攻撃を完全に防ぐことは困難です。
社外取締役も含めて経営陣のリスクは複雑化・巨大化してきています。しかし、暗号理論やネットワーク理論の専門家になれということではありません。そのような専門家を活用して、監視システムの構築や危機時の対応を進めてくださいということです。それだけでご自身のリスクをかなり限定することができます。
最後に、D&O保険はサイバー攻撃に起因する取締役個人の賠償責任リスクや防御費用を補償してくれますが、これだけ事故が続けば、将来、免責条項が挿入される可能性もあるので、サイバー保険の検討も進めたほうが良いと思います。
サイバー保険を検討することのメリットは、自社のサイバーセキュリティの点検に活用できることと、初期対応における外部専門家の活用が容易になることではないかと思います。







