2018年9月
【要旨】 .サイバー犯罪が世界経済に与える損失額は、2014年には約47兆円であったが、2017年には3割増の約63兆円（GDPの0.8%に相当）までに増加したとされる1。日本においても、サイバー犯罪によって年間1兆円前後の経済損失が発生していると考えられる。 .日本国内で情報流出等の適時開示を行った企業をJCICが調査したところ、株価が平均10％下落し、純利益が平均21%減少していることが分かった。また、数百億円もの直接的被害を受けた企業、経営者が報酬を返上した企業も存在する。公表されたセキュリティ事故は氷山の一角であり、全ての企業がリスクに晒されている。もはや、サイバーセキュリティはIT部門だけの問題ではなく、企業経営の持続的成長を揺るがす経営リスクである。 .経営リスクに対する監督機能である取締役会において、日本企業は海外企業に比べサイバーリスクを議論し、対策を検討できていない現状がある。改正会社法によって強化された取締役会の責務とサイバーリスクの高まりという２つの側面から、日本企業もコーポレートガバナンスの一環でサイバーリスクを議論すべき段階にある。 .また、政府も取締役会でのサイバーリスクの議論を推進する必要がある。デジタル化とサイバーセキュリティは、 2020年に名目GDP600兆円経済の実現を目指す日本の成長戦略に欠かすことのできない課題であるという認識のもと、日本政府は企業の取締役や経営者に対するサイバーリスクの啓発を促進すべきである。 【取締役会でサイバーリスクを議論するために求められること】 1.コーポレートガバナンス・コードへのサイバーリスク記載上場企業のコーポレートガバナンス報告書にサイバーリスクに関する考え方や整備状況を記載するよう促進する必要がある。その際には、金融庁、経済産業省、日本取引所グループ等が協力することが必須である。 2.サイバーリスクの数値化モデル取締役や経営者等が事業リスクを共通で理解できる「サイバーリスクの数値化モデル」を標準化し、経営視点でサイバーリスクを把握できるようにする必要がある。 [数値化モデル]については、このレポートで例示した。 3. 取締役、監査役、投資家、経営者等への啓発マネージメント層やステークホルダー等が正しくサイバーリスクを理解するために、取締役関連団体や経済団体等を通じて各種セミナーや広報活動、トレーニングプログラムにより啓発する必要がある。
1.経営リスクとしてのサイバーリスク
企業内でサイバーセキュリティを議論する場合、新たな脆弱性が発見された、新たな攻撃手法が増加している等の技術的な観点での議論に終始しがちである。しかし、企業経営者の立場からすると、技術動向は重要であるが、自社の経営にどの程度の金銭的影響が発生し、経営責任はどの程度発生する可能性があるのかということに関心があるはずだ。経営の観点からサイバーリスクを議論するためには、経営者の共通言語である財務諸表を用いてリスクの金額換算を行い、ITに詳しくなくともリスクを把握できるようにする必要がある。図表1は、近年サイバー攻撃によって発生したセキュリティ事故の例である。1回のサイバー攻撃によって大規模な金銭的損害が発生し、経営者責任が問われているケースが世界で発生していることがわかる。
公表されているセキュリティ事故は氷山の一角であり、全ての企業がリスクに晒されていると言える。独立行政法人情報処理推進機構（IPA）が行った調査によると、日本だけではなく、米国や欧州でも5割以上の企業が過去1年間にサイバー攻撃が発生していたと答えている（図表2）。図表2  前年度にサイバー攻撃が発生した企業（IPA調査²をもとにJCIC作成）セキュリティ事故等の適時開示を行った日本の18社の株価傾向をJCICが調査したところ、適時開示後50日後には株価が平均10%減少していることが分かった（図表3）。東証一部以外の企業（東証二部、ジャスダック、マザーズ、札証）の平均下落率は15％であることから、セキュリティ事故は中小企業への株価影響が大きいと言える。中小企業のビジネスが特定事業に依存しており、その事業へのサイバー攻撃による影響は大企業に比べて大きいことが理由であると考えられる。図表3  セキュリティ事故の適時開示後の株価影響（証券取引所の株価データをもとにJCIC作成）証券取引所へセキュリティ事故の「鴻時間示」を行った18社14年7月以降の適時間示企業を対象関示日より10日前を100%（蘇漁偵）とした更に、セキュリティ事故等の適時開示を行った日本の16社の売上高と純利益を調査したところ、売上高は平均4％上昇したが、純利益は平均21％減少していることがわかった（図表4）。純利益が大幅に減少した理由は、事故対応調査や再発防止のための特別損失が発生したことが主な理由である。図表4 セキュリティ事故の適時開示後の売上と純利益の傾向（企業業績データをもとにJCIC作成）調査手法証券取引所へセキュリティ事故の「適時開示」を行った16社2014年7月以降の適時開示企業を対象上場直後で過去決算データのない企業（2社）は調査の対象外とした被害前年度の売上高と純利益を100％としたこのように、サイバー攻撃により、企業の株価が低下し、純利益も減少する傾向にある。その結果として、経営者の責任が問われるようになり、報酬を返上したり、辞任したりするケースも発生している。これらのことから、サイバーセキュリティをIT部門だけに任せるのではなく、経営リスクとして経営者自らが積極的に取り組む必要がある。
2.取締役会でサイバーリスクを議論していない日本企業の現状
2015年5月、日本においてコーポレートガバナンス（企業統治）の強化等を目的とした改正会社法が施行した。この改正により、経営リスクに対する取締役会の監督機能が強化された（図表5）。取締役会は原則として毎月開催し、議事録を作成することが求められ、個々の取締役の経歴、報酬の妥当性、役員数の妥当性、経営リスクの管理、さらには次世代の役員候補が育成されているか等についても議論されることになった。また、この取締役会が適切に運営されているかを評価する「取締役会の実効性評価サービス」を行う監査法人やコンサルティング会社も登場している。前述の通り、サイバーリスクにより企業価値が一瞬にして減少するため、経営リスク管理の一環でサイバーリスクを取締役会で議論する企業が海外では多い。米国では、16％の回答者がサイバーセキュリティは取締役会での重点領域であると答えており、報酬や株主、コンプライアンス活動に関する議論の割合よりも多い（図表6） ³。また、サイバー攻撃の予防を取締役レベルで議論すべきであるかという問いに対し「非常にそう思う」と答えた割合は海外では56%に対して、日本企業では18%のみであった4。日本の上場企業では、取締役会の責務が強化されつつある段階ではあるが、サイバーリスクには国境がなく、日本企業も置かれているリスク環境は海外企業と同じであるため、日本企業もコーポレートガバナンスの一環でサイバーリスクを議論すべき段階にある。また、米国では、取締役に対する啓発活動が盛んに行われている。 NPO法人の全米取締役協会（National Association of Corporate Directors。17,000人以上の取締役が参加する団体）では、2017年1月に取締役が認識しておくべき事項をまとめた「サイバーリスクハンドブック」を発行した（参考資料を参照）。このサイバーリスクハンドブックでは、サイバーセキュリティに関して取締役が実施すべき５つの原則の他、取締役会での質問リスト、企業買収時の相手先リスク評価（サイバーデューデリジェンス）についても触れられており、非常に充実した内容である。また、全米取締役協会では、取締役向けに16時間のオンライントレーニングコースも用意している。トレーニングを受講した取締役には証明書が発行され、同組織のウェブサイトに取締役の名前が公開されるため、トレーニング受講の動機づけになっていると考えられる5。更に、先行事例として取締役会の諮問委員会として「サイバーセキュリティ委員会」を設置する動きもある。 General Motors社は、2017年12月、取締役会の中に「Cybersecurity Committee（サイバーセキュリティ委員会）」を発足し、取締役３名を任命した（図表7）。取締役会の「監査委員会」、「報酬委員会」、「リスク委員会」等とサイバーセキュリティを同レベルで取り扱っていることから、同社のサイバーセキュリティに対する積極的な姿勢がわかる6。図表7  General Motors社の取締役会諮問委員会
株主や投資家もサイバーセキュリティに関心を示している。最新の調査によると、およそ2/3の投資家はサイバーセキュリティの投資拡大を最優先事項にすべきと考えているのに対して、CEOの回答は半数以下に留まる（図表8） 7。サイバー攻撃の被害によって企業価値が低下する事例が増えているため、投資した金額は最低でも回収したいと考える投資家がサイバーセキュリティ投資を優先すべきと考えるのは当然のことと言える。このような状況の中、英国のThe Investment Association（英国投資家協会）は、2018年5月にサイバーセキュリティに投資することを経営層に求める報告書を発行した8.また、The Investment Associationは、この取り組みを支援するために、企業、規制当局、公的機関と協力してCyber Security Committeeを設立している。図表8 サイバーセキュリティに関する投資拡大を最優先事項と考えている割合（製品やサービス以外）
3.取締役会でサイバーリスクを議論するために求められること
日本企業の取締役会でサイバーリスクが議論できていない主な原因は３つある（図表9）。「ガバナンス視点での規制やガイドラインが存在しないこと」、「取締役が共通で理解できる指標が存在しないこと」、そして「取締役、監査役、投資家、経営者等に対する認知や啓発が足りていないこと」である。それぞれの課題について、解決策を以下に考察する。 1つ目の「ガバナンス視点での規制やガイドラインが存在しないこと」については、日本取引所グループが金融庁の協力のもとに公表している「コーポレートガバナンス・コード」にサイバーリスク事項を記載することが有効と考えられる。しかし、このコーポレートガバナンス・コードは、2018年6月に改訂されたばかりであり、サイバーリスクの追加には時間を要すると考えられる。そこで、経済産業省が公表している「コーポレート・ガバナンス・システムに関する実務指針（CGSガイドライン）」にサイバーリスクの項目を追加することを優先させるべきである。また、経済産業省と独立行政法人情報処理推進機構（IPA）が策定している「サイバーセキュリティ経営ガイドライン」に、取締役会で経営者がサイバーリスク状況を報告することについて明記すべきである。同ガイドラインver2.0では、サイバーセキュリティリスク管理体制構築の一例として「取締役、監査役はサイバーセキュリティリスク管理体制が構築、運用されているかを監査する」と記載されているのみであるが、具体的に取締役会の議題として挙げるべきと明記する必要がある。 2つ目の「取締役が共通で理解できる指標が存在しないこと」については、サイバーリスクを金額換算し、ITに詳しくなくともリスクを把握できるようにする必要がある。取締役はビジネスやガバナンスのプロフェッショナルであるが、 ITやサイバーセキュリティの専門知識を身に着ける必要は必ずしもない。後述するサイバーリスクを金額換算した「サイバーリスク指標モデル」を普及させ、ITに詳しくない取締役や役員でも経営の観点からリスクを把握できるようにする必要がある。そして３つ目の「認知や啓発」については、CISO（最高情報セキュリティ責任者）やサイバーセキュリティ技術者に対する啓発やトレーニングは国内でも充実してきたが、ビジネスやガバナンスのプロフェッショナルに対する啓発は不十分である。そこで、取締役関連団体や経済団体に対する啓発活動を行い、これらの組織を通じた各種セミナーや広報活動等を促進する必要がある。また、全米取締役協会や英国投資家協会の動向を参考に、サイバーリスクを理解するためのトレーニングプログラムを普及させる必要がある。これらのトレーニング開発にあたっては、プログラムの品質低下や陳腐化を防ぐために、トレーニングプログラムや講師に対する認証制度も検討する必要がある。

4.サイバーリスクを金額換算した「サイバーリスク指標モデル」
サイバーリスクは歴史上新しい分野であり、災害や自動車事故等に比べて過去データが少ない。近年、海外ではサイバーリスクの数値化の研究に取り組んでいるが、データ収集や複雑な計算処理に社内リソースを要するため、必ずしも日本企業に適しているとは言えない（参考資料を参照）。そこで、最大損害額（PML、Probable Maximum Loss）やベンチマーク値を用いることが、日本企業の経営層がサイバーリスクを理解することに有効であると考えられる。図表10、11は、JCICが作成した「サイバーリスク指標モデル」の例である。このモデルをもとに各企業でリスク値を算出し、取締役会への報告等で活用することが可能である。

【解説】
セキュリティ事故によって個人情報が漏えいした場合の想定損害額。日本ネットワークセキュリティー協会（JNSA）が公開している(1) JOモデル°を用いた損害賠償額算定式より算出。詳細はJNSAの「想定損害賠償額の解説 10」を参照。 ②　サイバー攻撃に起因して社内システムやECサイトの停止によって、業務が停止し、本来得られるはずだった売上機会の損失額。社内の関係部署へヒアリングを行い算出。2017年のランサムウェアによる被害事例から、事業中断期間は5営業日とした。なお、簡易的に算出する場合は、「年間売上額÷365日×事業中断期間（5日間）」によって算出することも可能。 ③　海外に事業展開を行っている企業の場合、現地の法規制に違反したことにより、制裁金や罰金を課せられる場合がある。 2018年5月に施行された「EUの一般データ保護規則（GDPR）」によって、違反した企業は高額の制裁金（前年度の全世界年間総売上額の4%、または2,000万ユーロのいずれか高い方の金額が上限）が課せられる。 ④　サイバー攻撃を受けたかどうかや攻撃を受けた場合の影響範囲や原因を調査するための費用（フォレンジック費用）、データの復旧費用、応急処置や再発防止のためのセキュリティ強化費用。日本の過去の事例から、事故対応費用は数百万円～数千万円が一般的であるが、各企業でセキュリティ業者等にヒアリングを行い算出することが望ましい。特別損失等による純利益減少額。JCICの調査実績より算出。18社を調査した結果、セキュリティ事故発生前年度に比べ、 (5) 21%の純利益減が発生（図表2参照）。株価下落による時価総額減少額。JCICの調査実績より算出。16社を調査した結果、セキュリティ事故の適時開示50日後に6株価が10%減少（図表3参照）。図表11 サイバーリスク指標モデル（年商1000億円企業における社内報告資料の例） 【ベンチマークとセキュリティ投資額】
独立行政法人情報処理推進機構（IPA）情報セキュリティ対策ベンチマークにて作成※IPAのベンチマークツールは簡易的なものである。自社のセキュリティ対策状況の詳細を把握する場合、各種フレームワークや成熟度デルを用いる必要がある。の自社のセキュリティ対策状況と他社の対策状況を比較した結果。情報処理推進機構（IPA）の情報セキュリティ対策ベンチマーク11を用いて算出。 @セキュリティレベル向上のために必要な5年間の累計投資額。セキュリティ業者等にヒアリングを行い算出。なお、上記のモデルは企業規模や業種に関わらず、共通で利用できるように簡略化したモデルである。より詳細なリスク評価については、保険会社やコンサルティング会社等が提供している。取締役会での議論を一過性のものにすべきではない。自社のサイバーセキュリティの取り組みの進捗状況をKPI (Key Performance Indicator)として定め、四半期に一度程度の頻度で取締役会に報告し、議論すべきである（図表12）。このKPIに加え、サイバー空間で起きている攻撃の傾向、他社の取り組み、関連する法規制の動向も取締役にとって有益である。

5.サイバーセキュリティへの取り組みがもたらす経済効果
取締役会でサイバーリスクに関する議論が進むと、取締役や経営者はサイバーリスクを自分事として捉えるようになる。そして、自社の経営リスク全般においてサイバーリスクの位置づけが合意され、どの程度対策にリソースを費やすべきかという意思決定が行われるようになる。図表13は、有価証券報告書に記載されている「事業等のリスク」について、発生確率とインパクトの大きさを自社内で整理した例である。リスク環境は日々変動するため、この事業リスク評価は毎年実施する必要がある。事業リスク評価の中でのサイバーリスクの位置づけが合意された後、セキュリティ対策の中長期計画を策定し、自社にとって適切な投資が行われる。また、企業の各種公開資料（有価証券報告書、CSR報告書、コーポレートガバナンス報告書）にサイバーリスクへの取り組み状況が記載され、投資家に対して情報開示が行われる。企業にとっては、適切なセキュリティ対策を実施することで、攻撃を受けた後の経営インパクトを最小化することが期待できる¹³と同時に、新規事業やイノベーション等の攻めに転じることができる。また、国レベルでも大きな経済効果が期待できる。インターネットがもたらす世界の経済効果はGDPの3～6%程度¹¹である一方、世界のサイバー犯罪による損失額は2017年に約63兆円（GDPの0.8%）に達したとされる。日本でもサイバーセキュリティ対策が進むことにより、国内のサイバー損害（年間約1兆円の経済損失）を減少させることができると同時に、安心安全なデジタル社会の実現により日本の成長を推し進めることができる（図表14）。図表14 サイバーセキュリティに取り組むメリット取締役会でのサイバーリスクに関する議論増加事業リスク全般におけるサイバーリスクの位置づけを合意中長期計画の策定、対策詳細の検討、適切な投資の拡大有価証券報告書、CSR報告書、コーポレートガバナンス報告書への明記1企業当たりのサイバー損害の減少（現状：平均12億円/社・年）日本全体のサイバー損害の減少（現状：年間1兆円の経済損失）
参考資料 全米取締役協会「サイバーリスクハンドブック」の記載内容19背景・考え方： ①サイバー攻撃の脅威の潜伏と拡大、②つながりの拡大に伴うリスクの増加、③収益性とサイバーセキュリティ対策のバランス原則1：全社リスクの一環としてのサイバーセキュリティリスク認識原則2：サイバーセキュリティリスクの法的側面の理解原則3：サイバーセキュリティ専門知識の適切な習得原則4：サイバーセキュリティ管理フレームワークの整備原則5：サイバーセキュリティ対策について具体的な議論を実施付録A：経営者に対する取締役会での質問リスト付録B：企業買収時におけるサイバーセキュリティの考慮事項付録C :サイバーリテラシーを評価するための質問事項付録D：サイバーセキュリティの企業文化の評価付録E：役員レベルのサイバーセキュリティ評価指標付録F：サイバーリスクダッシュボードの例付録G：米国国土安全保障省のサイバーセキュリティ情報付録H：米国連邦政府のサイバーセキュリティ情報付録I：CISO（最高情報セキュリティ責任者）との信頼構築方法