【サイバーセキュリティ】「個人情報が漏れたらいくら払うの？」がなくなる ― 中小企業が知るべき賠償リスクと備え方

～賠償金額の相場感・漏洩パターンの理解・備えの3層構造で、漠然とした不安が具体的な行動に変わる～

「もしうちの会社で個人情報が漏れたら、いったいいくら賠償しなければならないのだろう？」

中小企業の経営者や情シス担当者の方から、この質問をいただくことが増えています。ニュースで「○○社から数万件の個人情報が流出」「賠償額○億円」と報じられるたびに不安を感じつつも、自社に当てはめたときの具体的な金額がわからない。「うちの規模なら大丈夫だろう」と心のどこかで思いながらも、万が一が起きたときのことを考えると夜も眠れない――。

この「漠然とした不安」は、中小企業の経営にとって深刻な問題です。不安が漠然としているからこそ、具体的な対策に踏み出せない。対策に踏み出せないから、不安がいつまでも消えない。この悪循環に陥っている企業は少なくありません。

しかし、個人情報漏洩の賠償リスクは、数字で把握できます。過去の判例やJNSA（日本ネットワークセキュリティ協会）の統計データを見れば、「1人あたりいくら」「自社の規模ならいくら」という具体的な金額感がわかります。そして金額がわかれば、「何に」「いくら」備えればいいかが明確になるのです。

このコラムを読み終えるころには、「個人情報が漏れたらいくら払うのか」という問い自体がなくなっているはずです。代わりに、「自社のリスクはこれくらいで、こう備えればいい」という具体的な行動計画が手元にある状態になります。

第1章：なぜ賠償リスクへの備えがうまくいかないのか

個人情報漏洩のリスクに対して「対策しているつもり」の企業は多くあります。しかし、その「つもり」が実は十分でないケースが少なくありません。ここでは、多くの中小企業が良かれと思ってやっているにもかかわらず、リスクへの備えとして不十分な4つのパターンを紹介します。

良かれと思って「うちは個人情報が少ないから大丈夫」と安心している

「うちは個人情報なんてほとんど持っていないから、漏洩事故なんて関係ない」――そう考えている経営者の方は少なくありません。確かに、顧客のクレジットカード情報を大量に扱うECサイトと比べれば、リスクは小さく見えるかもしれません。

しかし、ここでいう「個人情報」とは、顧客の氏名・住所・電話番号だけではありません。従業員の履歴書、給与データ、マイナンバー、取引先の担当者名と連絡先、これらもすべて個人情報保護法が守る「個人情報」に該当します。従業員が30人いれば、少なくとも30人分の個人情報を保有していることになります。さらに、過去の取引先や応募者のデータも含めれば、実際にはもっと多くの個人情報を管理しているはずです。

そして重要なのは、漏洩した件数が少なくても、1人あたりの賠償額は変わらないということです。JNSAの調査によれば、個人情報漏洩における1人あたりの損害賠償額は約3万～5万円が相場です。仮に100人分の漏洩でも、賠償額は300万～500万円。さらにフォレンジック調査費用（300万～1,000万円）や通知費用、弁護士費用を含めると、数百万円以上の出費は避けられません。

「個人情報が少ない＝リスクが小さい」という等式は成り立たないのです。

良かれと思って「外部に委託しているから責任は委託先にある」と思っている

給与計算や顧客管理を外部の業者やクラウドサービスに委託している場合、「万が一漏洩しても委託先の責任だ」と考えている経営者の方がいます。ITの専門家に任せているのだから安心だ、という心理は理解できます。

しかし、個人情報保護法では、委託元にも「委託先の監督義務」が課されています（個人情報保護法第25条）。委託先で漏洩事故が起きた場合、委託元が適切な監督を行っていなければ、委託元も法的責任を負うことになります。

実際に、2014年のベネッセ個人情報流出事件では、委託先の従業員が約3,504万件の個人情報を持ち出しました。しかし訴訟の対象となったのは委託元のベネッセであり、東京地裁は1人あたり3,300円の賠償を命じています。この事件での損害賠償総額は約200億円にのぼりました。

委託先との契約書に「秘密保持条項」があるだけでは不十分です。委託先のセキュリティ体制を定期的に確認し、記録を残すことが、法律上の「監督義務」として求められています。

良かれと思って「パスワードを定期変更しているから漏洩しない」と考えている

「社内ルールで3か月ごとにパスワードを変更させている。セキュリティ対策はバッチリだ」――そう胸を張る経営者の方もいらっしゃいます。パスワード管理に意識を向けていること自体は素晴らしいのですが、残念ながらこの対策は現在では推奨されていません。

総務省は2018年に「パスワードの定期変更は不要」という方針を打ち出しています。定期変更を強制すると、従業員は覚えやすい簡単なパスワードを使い回す傾向が強まり、かえってセキュリティが低下するためです。「Password1」「Password2」「Password3」と数字だけ変えていくパターンは、攻撃者にとってはほぼ同じパスワードと変わりません。

現在推奨されているのは、「十分に長く複雑なパスワードを設定し、使い回さず、漏洩が疑われたときだけ変更する」という方針です。そして、パスワードだけに頼るのではなく、多要素認証（MFA）を導入することが重要です。多要素認証とは、パスワードに加えてスマートフォンへの通知や指紋認証など、もう1つの本人確認手段を組み合わせる仕組みです。Microsoft 365やGoogle Workspaceなら追加費用なしで設定でき、導入効果は非常に高いとされています。

良かれと思って「ウイルス対策ソフトが入っているから安全」と判断している

「パソコンにはすべてウイルス対策ソフトを入れています。だからサイバー攻撃は防げています」――このように考えている企業は今でも多いのが実情です。ウイルス対策ソフトは確かに重要な防御手段の1つですが、これだけで十分ということは決してありません。

近年のサイバー攻撃は、ウイルス対策ソフトでは検知できない手法が主流になりつつあります。たとえば、フィッシングメール（偽のメールでパスワードや情報を騙し取る手法）は、ウイルスを使わずに人間の判断ミスを突く攻撃です。IPA（情報処理推進機構）が毎年発表する「情報セキュリティ10大脅威 2025」でも、フィッシングや標的型攻撃は常に上位にランクインしています。

また、ウイルス対策ソフトは既知のマルウェア（悪意のあるソフトウェア）への対処が中心です。攻撃者が新しいマルウェアを開発すれば、ウイルス対策ソフトのデータベースに登録されるまでの間は検知されません。この「ゼロデイ（未知の脅威）」の期間は、通常数時間から数日間ですが、その間に侵入が成立してしまうことがあります。

ウイルス対策ソフトは「入口の鍵」であって、「家全体のセキュリティシステム」ではない。この認識を持つことが、適切なリスク管理の第一歩です。

第2章：賠償リスクに適切に備えている企業の特徴

では、個人情報漏洩の賠償リスクに適切に備えている中小企業は、何が違うのでしょうか。焦点（大事にしているポイント）、行動（具体的アクション）、量（どれぐらいやるか）の3つの視点から整理します。

焦点：「事故が起きない」ではなく「起きたときに被害を最小化する」

備えている企業は、「事故は起きるもの」という前提で対策を組み立てています。これは悲観的な考え方ではなく、現実的な経営判断です。

JNSAの「インシデント損害額調査レポート」によれば、個人情報漏洩における1人あたりの損害賠償額の相場は約3万～5万円です。過去の主な判例を見ても、この水準は一貫しています。

事件名	漏洩件数	1人あたり賠償額	判決年
ベネッセ個人情報流出事件	約3,504万件	3,300円	2019年
Yahoo! BB顧客情報漏洩事件	約450万件	5,500円	2006年
TBC個人情報流出事件	約5万件	3.5万円（エステ情報含む）	2007年
宇治市住民基本台帳データ漏洩事件	約22万件	1.5万円	2001年

注目すべきは、漏洩した情報の内容によって賠償額が大きく変わる点です。氏名・住所・電話番号などの基本情報であれば3,000～5,000円程度ですが、病歴、信条、犯罪歴などの要配慮個人情報や、クレジットカード情報などの財産的被害につながる情報の場合は、1人あたり数万円に跳ね上がります。

しかし賠償金だけが損害ではありません。以下のような対応費用も発生します。

費用項目	概算金額
フォレンジック調査（原因究明の専門調査）	300万～1,000万円
被害者への通知・お詫び対応	100万～500万円
コールセンター設置	50万～200万円/月
システム復旧・改修	200万～1,000万円
弁護士費用	100万～500万円
信用回復のための広報費	50万～300万円

合計すると、1件の漏洩事故で中小企業にかかる総コストは、数百万円～数千万円規模になることがあります。備えている企業は、この数字を経営リスクとして正面から捉え、「いくらまでの損害に耐えられるか」を事前に把握しています。

行動：「一度やって終わり」ではなく「定期的に見直す」

適切に備えている企業は、セキュリティ対策を「導入して完了」とは考えません。サイバー攻撃の手法は日々変化しており、昨年有効だった対策が今年も有効とは限らないためです。

具体的には、以下のような行動を定期的に実施しています。

年1回以上のリスク評価の見直し（自社が持つ個人情報の棚卸し）
四半期に1回のセキュリティルールの確認（形骸化していないかのチェック）
年1回以上の従業員教育（フィッシングメールの見分け方など）
委託先のセキュリティ体制の定期確認（契約更新時など）

これらの活動は、万が一漏洩が起きた場合の法的な過失認定においても重要です。「定期的に教育を実施していた」「セキュリティ体制を見直していた」という記録があれば、重大な過失とは認定されにくく、賠償額が軽減される可能性があります。

量：「全部を完璧に」ではなく「優先順位をつけて段階的に」

中小企業のリソースは限られています。備えている企業は、すべてを一度に完璧にしようとするのではなく、リスクの大きさに応じて優先順位をつけ、段階的に対策を強化しています。

フェーズ	対策内容	所要時間	費用
第1段階（今月中）	個人情報の棚卸し、退職者アカウントの停止	2～3時間	無料
第2段階（3か月以内）	多要素認証の導入、バックアップの確認	半日程度	無料～数万円
第3段階（6か月以内）	従業員教育の実施、インシデント対応手順書の作成	1日程度	10万～30万円
第4段階（1年以内）	サイバー保険の加入、委託先の監査	数週間	年間10万～50万円

「完璧を目指すあまり何もしない」よりも、「できることから1つずつ」の方がはるかに効果的です。

第3章：備えの「3層構造」フレームワーク

アクセルパートナーズが中小企業の個人情報漏洩リスクへの備えをサポートする際に活用しているのが、「備えの3層構造」フレームワークです。このフレームワークでは、備えを「予防」「検知」「事後対応」の3つの層に分けて整理します。

フレームワークの全体像

層	目的	主な対策	Before	After
第1層：予防	漏洩を起こさない	アクセス制御、従業員教育、技術的対策	「対策しているから大丈夫」	「予防は100%ではないが、リスクを大幅に低減できている」
第2層：検知	漏洩をいち早く発見する	ログ監視、報告体制、定期チェック	「漏洩が起きても気づけない」	「異常を早期に発見し、被害拡大を防げる」
第3層：事後対応	漏洩発生後の被害を最小化する	対応手順書、連絡先リスト、サイバー保険	「漏洩が起きたらパニックになる」	「やるべきことが明確で、冷静に対応できる」

この3層は独立しているのではなく、互いに補完し合う関係にあります。予防が完璧でなくても、検知が早ければ被害は小さく済む。検知が遅れても、事後対応の準備ができていれば損害を最小限に抑えられる。1つの層だけに頼るのではなく、3層すべてをバランスよく整備することが、リスクを最小化する鍵です。

第1層：予防の考え方

予防は、漏洩事故そのものを防ぐための取り組みです。以下の5つの領域に分けて考えます。

アクセス制御：個人情報にアクセスできる人を必要最小限に絞る（最小権限の原則）
従業員教育：フィッシングメールの見分け方、情報の取り扱いルールの周知
技術的対策：多要素認証の導入、ソフトウェアの更新管理、メールフィルタリング
委託先管理：委託先のセキュリティ体制の確認、契約条項の整備
物理的対策：重要書類の施錠管理、入退室管理、のぞき見防止

予防はすべての基盤になる層ですが、100%の予防は不可能です。どれだけ対策しても、新しい攻撃手法は次々に登場します。だからこそ、第2層・第3層が必要になります。

第2層：検知の考え方

万が一の漏洩が起きたとき、いかに早く気づけるかが被害の大きさを左右します。2022年4月施行の改正個人情報保護法では、一定の条件に該当する漏洩が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました。報告は発覚後概ね3～5日以内（速報）、30日以内（確報）に行う必要があります。

つまり、「気づかなかった」では済まされない時代になったのです。検知の仕組みを持たないことは、法的リスクにも直結します。

第3層：事後対応の考え方

事故が起きてしまった後に「何をすべきか」をあらかじめ決めておく層です。事故直後は混乱します。パニック状態で適切な判断を下すことは非常に困難です。だからこそ、平時のうちに「誰が」「何を」「どの順番で」対応するかを決めておくことが重要です。

事後対応の準備ができていれば、初動の遅れによる被害拡大を防ぎ、賠償額の軽減にもつながります。逆に、準備ができていなければ、対応の遅れが「管理体制の不備」と認定され、賠償額が増額される可能性もあります。

第4章：予防と検知の具体策 ― 明日からできるアクション

理論を理解しただけでは、リスクは減りません。ここからは、中小企業が明日から実行できる具体的なアクションを紹介します。

予防策(1)：個人情報の棚卸し（所要時間：2～3時間）

場所： オフィスの会議室
参加者： 経営者、情シス担当者、総務担当者
準備物： PC（Excelまたはスプレッドシート）

まず、自社がどんな個人情報を、どこに、どれだけ持っているかを把握します。

確認項目	具体例
どんな情報か	氏名、住所、電話番号、メールアドレス、マイナンバー、給与情報等
どこに保管しているか	社内サーバー、クラウド、紙ファイル、個人のPC、USBメモリ等
誰がアクセスできるか	全従業員、特定部署、特定の個人
いつまで保管するか	法定保管期間、契約期間中、期限なし等
委託先に渡しているか	給与計算会社、クラウドサービス、人材紹介会社等

この棚卸しだけでも、「退職者の情報がいつまでも残っている」「全員がアクセスできる共有フォルダに個人情報がある」「個人のPCにExcelで顧客リストを保存している」といった問題が見つかることがよくあります。これらの問題の発見が、具体的な対策の第一歩になります。

予防策(2)：アクセス権限の見直し（所要時間：1～2時間）

「最小権限の原則」を適用します。これは、「業務に必要な人だけが、必要な情報にだけアクセスできる」ようにするという考え方です。

具体的なチェックポイント：

退職者・異動者のアカウントは即日で無効化されているか
共有フォルダのアクセス権限は必要最小限になっているか
管理者権限を持つアカウントは限定されているか
パスワードの共有（1つのアカウントを複数人で使う）をしていないか
個人の端末（BYOD）から個人情報にアクセスできる状態になっていないか

予防策(3)：従業員教育の実施（所要時間：年1回・1～2時間）

人的ミスは漏洩原因の約6割を占めるとされています（JNSA「情報セキュリティインシデントに関する調査報告書」）。技術的な対策だけでなく、従業員の意識を高めることが不可欠です。

教育で取り上げるべきテーマ：

フィッシングメールの見分け方：差出人アドレスの確認、URLの確認、不審な添付ファイルを開かない
SNS・私用端末の利用ルール：業務情報を私用のスマートフォンやSNSで扱わない
報告の仕方：「怪しいメールを開いてしまった」「USBメモリをなくした」などの報告先と手順
テレワーク時のセキュリティ：公共Wi-Fiの利用制限、画面の覗き見防止

教育は「やったかどうか」を記録に残すことも重要です。参加者リスト、教育資料、テスト結果などを保管しておけば、万が一漏洩が起きた場合に「従業員教育を実施していた」ことを証明でき、過失の程度を軽減する材料になります。

予防策(4)：多要素認証（MFA）の導入（所要時間：1～2時間）

メール、クラウドサービス、VPN（社外から社内ネットワークに接続する仕組み）など、個人情報にアクセスできるすべてのシステムに多要素認証（MFA：Multi-Factor Authentication）を導入します。

多要素認証とは、「パスワード」に加えて「スマートフォンへの通知」や「ワンタイムパスワード（一度だけ使える使い捨てパスワード）」など、2つ以上の方法で本人確認を行う仕組みです。仮にパスワードが漏洩しても、もう1つの認証手段が突破されなければ不正アクセスは成立しません。

Microsoft社の報告によれば、多要素認証を導入することでアカウント侵害の99.9%以上を防止できるとされています。導入コストはほぼゼロで、効果は非常に高い対策です。

検知策(1)：ログの取得と定期確認（所要時間：月1回・30分）

「誰がいつどの情報にアクセスしたか」の記録（ログ）を取得し、定期的に確認する仕組みを作ります。すべてのログを細かくチェックする必要はありません。まずは以下のポイントに絞って確認するだけでも効果があります。

深夜・休日のアクセス：業務時間外に個人情報へのアクセスがないか
大量ダウンロード：一度に大量のデータをダウンロードしている形跡がないか
退職予定者のアクセス：退職が決まった従業員が通常以上にデータにアクセスしていないか
海外からのアクセス：通常ありえない地域からのログインがないか

検知策(2)：報告しやすい体制づくり

技術的な検知と同じくらい重要なのが、従業員が「何かおかしい」と感じたときにすぐ報告できる体制です。

「怪しいメールを開いてしまったが、怒られるのが怖くて黙っていた」というケースは実際に多く報告されています。報告が遅れれば遅れるほど、被害は拡大します。

報告しやすい体制のポイント：

報告者を責めないことを明文化する（「報告したら罰則」ではなく「報告しなかったら罰則」）
報告先を明確にする（「困ったらこの人に連絡」が全員にわかっている状態にする）
報告の手段を複数用意する（メール、チャット、電話、口頭など）
報告から対応開始までの時間目標を設定する（「報告から30分以内に初期確認を開始」など）

第5章：事後対応の準備 ― インシデント発生時のフロー

どれだけ予防と検知に力を入れても、事故の可能性をゼロにすることはできません。この章では、漏洩が実際に起きてしまった場合の対応フローを解説します。

ステップ1：初動対応（発覚後～24時間以内）

漏洩の疑いが生じたら、最初に行うべきことは以下の3つです。

被害の拡大を止める：漏洩元のシステムをネットワークから切り離す、該当アカウントを停止する、不正アクセスが疑われる端末を隔離する
事実関係の初期把握：何が、いつ、どこから、どれだけ漏れた（可能性がある）のかを確認する
対応チームの招集：経営者、IT担当、法務（顧問弁護士）に連絡する

重要：この段階では「犯人探し」をしないでください。原因究明は専門家に任せるべきです。社内で勝手にログを消したり、機器を初期化したりすると、後のフォレンジック調査（デジタル証拠の保全・分析）に支障をきたします。「まず専門家に連絡」「勝手にシステムを触らない」が鉄則です。

ステップ2：報告（発覚後～概ね3～5日以内）

2022年4月施行の改正個人情報保護法により、以下の条件に該当する漏洩が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されています。

報告が義務となるケース：

要配慮個人情報（病歴、信条、犯罪歴など）の漏洩
財産的被害が発生するおそれがある漏洩（クレジットカード番号など）
不正の目的をもって行われたおそれがある漏洩
1,000人を超える漏洩

報告は「速報」と「確報」の2段階で行います。

報告種別	期限	内容
速報	発覚後、速やかに（概ね3～5日以内）	わかっている範囲の事実関係
確報	発覚後30日以内（不正目的の場合は60日以内）	原因、再発防止策を含む詳細な報告

ステップ3：被害者への通知と損害賠償への対応

報告義務に該当する場合、漏洩した個人情報の本人にも通知する義務があります。通知に含めるべき内容は以下のとおりです。

漏洩した個人情報の項目
漏洩の原因（判明している範囲で）
二次被害を防ぐための注意喚起（パスワード変更の依頼など）
問い合わせ窓口の案内

損害賠償については、前述のとおり1人あたり3,000円～5万円が相場です。被害者から個別に請求される場合もあれば、集団訴訟に発展する場合もあります。弁護士と連携し、適切な対応を進めることが重要です。

ステップ4：原因究明と再発防止

初動対応と報告が落ち着いたら、漏洩の原因を徹底的に調査します。原因調査は自社だけで行うのではなく、専門のフォレンジック調査会社に依頼することを強く推奨します。費用は300万～1,000万円程度かかりますが、訴訟に発展した場合の証拠保全としても不可欠です。

原因が判明したら、再発防止策を策定し、実行します。この再発防止策は個人情報保護委員会への確報にも記載が必要です。

ステップ5：サイバー保険の活用

サイバー保険（サイバーリスク保険）は、個人情報漏洩などのサイバーインシデントによって発生する費用を補償する保険商品です。

補償項目	内容
損害賠償金	被害者への賠償費用
調査費用	フォレンジック調査にかかる費用
対応費用	通知費用、コールセンター設置費用など
利益損害	事業停止による逸失利益
復旧費用	システム復旧にかかる費用

保険料の目安は年商や業種、従業員数によって異なりますが、中小企業の場合、年間10万～50万円程度で加入できるプランもあります。数千万円のリスクに対して、この保険料は合理的な投資といえるでしょう。

事前に準備しておくべきもの一覧

万が一の際にパニックにならないよう、以下を事前に準備・リスト化しておきましょう。

準備項目	内容
インシデント対応手順書	発覚から報告・通知・復旧までのフローを文書化
連絡先リスト	個人情報保護委員会、弁護士、フォレンジック調査会社、保険会社
対応責任者の指定	「最終判断は誰がするか」を決めておく
広報対応の方針	顧客・取引先・メディアへの説明方針
サイバー保険の加入	補償内容と請求手続きの確認

まとめ：「いくら払うの？」を「こう備えればいい」に変えよう

このコラムでは、個人情報漏洩の賠償リスクについて、具体的な数字とともに備え方を解説しました。

変化のBefore → After：

Before	After
漏洩時の賠償額がまったくわからない	1人あたり3,000円～5万円、総額は件数×単価＋対応費用と把握できる
「うちは大丈夫」と根拠なく安心している	自社が持つ個人情報を棚卸しし、具体的なリスクを認識できる
漏洩が起きたらパニックになる	対応手順書と連絡先リストで冷静に行動できる
何から手をつけていいかわからない	3層構造フレームワークで優先順位をつけて段階的に対策できる

最後に強調したいのは、「完璧を目指す必要はない」ということです。100点満点の対策を一度に実現することは、中小企業のリソースでは困難です。しかし、0点と10点の差は、10点と100点の差よりもはるかに大きい。まずは「自社がどんな個人情報を持っているか」の棚卸しから始めてみてください。2～3時間あればできる作業です。そこから見えてくる課題を1つずつ解決していくことが、最も確実な備えになります。

アクセルパートナーズでは、中小企業のサイバーセキュリティ対策を包括的にサポートしています。
「何から始めればよいかわからない」「自社に合った対策を知りたい」という方は、まずは無料相談からお気軽にお問い合わせください。
SECURITY ACTION二つ星の取得支援、補助金・助成金の活用サポート、セキュリティ体制の構築まで、貴社の状況に合わせたご提案をいたします。