APT（標的型攻撃）に対する企業の防御義務と責任範囲

APTのように高度な攻撃はすべてを完全に防ぐのが困難であり、法律上も「絶対に侵入を許さない」ことまでは要求されていません。企業が負うのは、業界水準やガイドラインに照らした合理的なセキュリティ対策を実施する注意義務です。たとえば最新のセキュリティパッチの適用、社内教育の徹底、ログ監視や多層防御の導入などが挙げられます。これらを怠った結果被害が拡大したなら過失が認められ、損害賠償責任を問われる可能性があります。しかし対策が十分かつ迅速な被害拡大防止に努めたことを立証できれば、責任が軽減されるか、免責となるケースも考えられます。またサイバー保険への加入などで事後のリスクヘッジを行う企業も増えています。