個人情報漏えいといったデータプライバシーに関する問題は、欧米を中心に「人権問題」として捉えられている。個人情報が侵害された場合、悪用による詐欺被害等のリスクに晒されるなど、人間らしく生きる普遍的な権利を侵害される恐れがあるという考え方が根底にある。
事故が起きれば、当然その組織も被害者だ。しかし、個人情報を利用するのであれば安全性を確保するために具体策を講じるのは当然の義務であり、対策の不備により事故が発生したのであれば、それはその組織の責任であり罰せられるべきというのが海外の考え方だ。
株式市場における考え方も同様で、投資家による投資判断に重大な影響を与えうる、事故が発生した場合には時価総額の下落という形で株主利益の毀損という権利侵害が起こりうるからこそ、サイバーセキュリティに関連した事故が発生した際にも速やかな報告が求められているのだ。
見方を変えれば、説明責任が果たせるレベルでセキュリティ対策ができていた、タイムリーに透明性のある事故報告ができればいいのだ。しかし、ここで問題になるのが、「どこまで対策をすれば十分なのか」という民間企業や公的機関でセキュリティに従事する方々の切実な悩みだろう。
どこまで対策をすればいいかわからない
サイバーセキュリティの世界では、対策基準を示したガイドラインが個人情報保護に限らずさまざまな産業分野で数多く存在している。企業間取引における対策基準の標準化や負担の軽減を目的に、今年度からの運用開始が決定している「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」もその1つといえるだろう。
講ずるべき具体策が示されていることから対策側からは重宝される一方で、サイバーセキュリティ関連ガイドラインの大きな課題は、さまざまなものが乱立しているだけでなく、ガイドラインはあくまで「ガイドライン」であり、強制力も拘束力もないことだ。
しかしながら、パロアルトネットワークスがセキュリティ責任者を対象に実施した2025年の調査では、法的拘束力のある対策基準の整備に対して肯定的な回答が9割を占めている。これは対策や事故報告の不備に対する厳罰化を肯定しているのではなく、どこまで対策をすればいいかわからない、どんなに対策をしていても被害に遭って糾弾されるのでは割に合わないという切実な問題を反映しているといえる。一定水準の対策ができているのであれば、免責されるべきという視点もあるだろう。
