【11/6政府決定】サイバー緊急対策パッケージで中小企業も標的に！私用スマホ・情報漏洩で会社が負う「民法上の使用者責任」と企業防衛
2026年11月6日、政府は第2回サイバーセキュリティ関係閣僚会議を開催し、予備費100億円を投じる「サイバーセキュリティ緊急対策パッケージ」を決定しました。
「国の政策や大企業の話だろう」と読み飛ばした経営者様は、来年以降、自社の取引基盤を一瞬で失う重大なリスクを背負うことになります。今回の決定で最も注目すべきは、令和9年3月から大企業の委託先管理基準として導入される「サプライチェーンセキュリティ対策評価制度（SCS評価制度）」です。もはや、下請けや取引先の中小企業がセキュリティ対策を怠っている場合、「元請け企業から即座に取引を打ち切られる時代」が現実のものとなりました。
そして、大企業が狙われるサイバー攻撃の最大の抜け穴は、最新のITシステムではなく
「御社の従業員が普段使っているスマートフォン」です。
「従業員が勝手にやったミスなのだから、漏洩の責任は本人に取らせればいい」
経営者としてそう考えるのは自然な感覚かもしれません。しかし、日本の裁判所はそこまで甘くありません。最高裁判所の確定判例において、業務上の損害を従業員個人に弁償（求償）させられる範囲は、信義則上「せいぜい損害額の1〜2割程度」と厳しく制限されているのが現実です。
従業員が私用スマホで業務データを扱い、ウイルス感染や端末紛失で数千万円の情報漏洩事故を起こした場合、残りの巨額の賠償金は民法第715条（使用者責任）に基づき、すべて会社自身が背負わされることになります。
今回は、大阪・泉州エリアや関西圏の経営者様に向けて、なぜサイバーセキュリティの最大の弱点が「労務管理」にあるのか、そして民法上の責任を回避するための実務防衛策を解説します。
1. 「ITベンダー任せ」では防げない：情報漏洩の真因は労務管理にある
どれほど高額なセキュリティシステムを導入しても、侵入経路の大部分は「従業員の不用意な行動（ヒューマンエラー）」です。
従業員が個人所有のスマートフォン（BYOD）に社外秘の顧客リストや見積データを転送して紛失した
業務用のチャットやファイル共有を、管理の行き届いていない個人の無料アカウントで行っていた
疑わしい添付ファイルを「取引先からの連絡だ」と思い込んで開いてしまい、マルウェアに感染した
こうした事態は、ITシステムの問題というよりも、「社内ルールの欠如」「従業員の教育不足」という人事労務・コンプライアンスの問題です。
さらに、大企業を直接狙うのではなく、セキュリティの甘い下請け・取引先の中小企業を「踏み台」にして本丸へ侵入するサプライチェーン攻撃が常態化しています。
自社が踏み台になって元請けに甚大な被害を与えた場合、即座に取引停止となり、企業の生命線が断たれることになります。
2. 「従業員のミス」で会社が破滅する民法上の2大リスク
法廷において、従業員による情報漏洩が発生した際に会社が直面する法的責任は極めて過酷です。
① 使用者責任（民法第715条）による巨額損害賠償
民法第715条第1項に基づき、従業員が事業の執行に関して第三者に損害を与えた場合、
会社は使用者としてその全額を連帯して賠償する責任を負います。
会社が免責されるためには「従業員の選任および監督について相当の注意をしたこと」を立証しなければなりませんが、就業規則に明確なIT利用規程もなく、セキュリティ教育も行っていなかった場合、裁判所で会社の過失（監督義務違反）は100％認定されます。
② 「従業員に弁償させればいい」という誤解（求償権の限界）
「漏洩させた本人が悪いのだから、社員に損害賠償を払わせればいい」と考える社長も少なくありません。
しかし、最高裁判所の判例（茨城石炭商事事件）において、使用者が従業員の業務上のミスに対して損害の賠償（求償）を求められる範囲は、「損害の公平な分担という見地から信義則上相当と認められる限度」に厳しく制限されています。
裁判実務上、会社が従業員に請求できるのは損害額の1〜2割程度にとどまるケースがほとんどであり、残りの数千万円〜数億円の損害はすべて会社が自腹で背負うことになります。
3. すぐに企業が着手すべき「労務セキュリティ3つの防衛要件」
サイバー被害から会社を守り、万が一の漏洩時にも「会社は監督義務を尽くしていた」と
法的に立証するためには、平時からの労務環境・就業規則、規程の整備が必須となります。
「IT機器利用規程」および「BYOD（私用端末利用）規程」の策定
会社の許可なく私用PCや私用スマホで業務データを取り扱うことを明確に禁止し、
例外的に許可する場合のセキュリティ条件を就業規則の一部として義務付ける。
入社時・退職時における「秘密保持誓約書」の確実な徴求
労働契約上の付随義務（民法第415条）にとどまらず、退職後も含めた情報管理ルールを明文化し、不正利用や持ち出しに対する懲戒処分・損害賠償の根拠を書面で確定させておく。
公的支援制度・相談窓口の把握と導入
国が推進する中小企業向け支援制度であるIPA 独立行政法人 情報処理推進機構などを活用し、監視・駆け付け体制を整備しておく。
4. デジタル時代の企業防衛・就業規則、規程整備は当社労士事務所へ
サイバーセキュリティは、もはや「IT担当者だけの仕事」ではありません。
従業員がスマートフォンを持ち、いつでもどこでも社内データにアクセスできる現代において、最大のセキュリティ対策は「就業規則と社内ルールの厳格な法制化」です。
取引先からセキュリティ体制の提示を求められた際、あるいは万が一の情報事故が発生した際に、会社を守り切れる規程と体制が整っているでしょうか。
当事務所では、
情報漏洩・スマホ業務利用（BYOD）に対応した「IT利用規程」の策定・改定
元請け企業からのSCS評価制度等を見据えた社内労務体制の整備支援
入社時・退職時の秘密保持誓約書および競業避止義務の条項設計
を実践的にサポートしております。
「社員が私用スマホで業務を行っている」
「情報管理に関する就業規則の条文が昔のままになっている」
という経営者様は、深刻な情報流出や損害賠償問題に直面する前に、ぜひお気軽にご相談ください。
【参考リンク】
【お問い合わせ・労務管理体制の見直し相談】
IT利用規程の策定や秘密保持・企業防衛の体制整備相談は
下記のお問い合わせボタンまたはお電話からお気軽にお問い合わせください。
【法的対応・弁護士法遵守について】
本記事は人事労務・企業防衛の一般的な法解釈を解説したものであり、個別の法的鑑定や代理交渉を行うものではありません。当事務所は弁護士法第72条を遵守し、社内規程整備や労務管理の助言を行います。
個別具体的な法的紛争や訴訟等への対応が必要な場合は、提携弁護士と速やかに連携して対応いたします。
