サイバー攻撃を受けた企業において「情報の全面開示」こそが善とされる時代は終わりを告げようとしています。ニチレイが10億円の特別損失を計上しながらも詳細を語らなかった背景には、詳細な開示自体が次なる攻撃のヒントとなり得るという「セキュリティ上のトレードオフ」が存在すると考えられます。
決算で明らかになった10億円の特損と「沈黙」の対応
ニチレイは2026年8月7日の決算説明会において、同年7月13日に公表したサイバー攻撃被害への対応費用として10億円の特別損失を計上することを明らかにしました。しかし、被害の具体的な原因や詳細な再発防止策についての開示は見送られました。
経営陣が会見で説明を行ったアサヒグループホールディングスやアスクルといった事例とは対照的であり、ニチレイは情報開示がもたらすセキュリティ上のリスクを極めて重く評価した対応をとったと言えます。
なぜ「詳細を話さない」ことが高度な防衛策になり得るのか
一般的に、トラブル発生時の不透明な対応はステークホルダーからの不信感を招くリスクがあります。しかし、サイバーセキュリティの領域においては「開示しすぎることの悪影響」が極めて大きいという見落とされがちな側面が存在します。
攻撃の手口やシステム構成の脆弱性を詳細に明かしてしまうと、攻撃者グループや他のサイバー犯罪者に対して「どの防御システムが機能していないか」「どのような迂回路が存在するか」という答え合わせ（手の内を見せること）をさせてしまう恐れがあります。これは、自宅の鍵の型番や壊れている窓の位置を公に発表するようなものと言えるでしょう。
開示・非開示におけるメリットとリスクの対比
企業がサイバー事案に直面した際、公開範囲をどのように設定すべきか、判断の比較を以下に整理しました。
| 開示姿勢 | メリット | 懸念点・リスク |
|---|---|---|
| 詳細を開示する姿勢 (アサヒGHD、アスクル等) |
・企業の透明性と誠実さをアピールできる ・市場や顧客からの信頼回復につながりやすい |
・攻撃者にシステム構造を把握される危険性 ・同種の手口による二次被害や追撃のリスク |
| 詳細を非開示とする姿勢 (今回のニチレイ事例) |
・さらなるサイバー攻撃や侵入経路の悪用を防げる ・防衛体制の再構築に専念できる |
・説明責任の不足と捉えられる可能性がある ・短期的にはステークホルダーに不満が残る |
ビジネスパーソン・経営層が今取るべきアクション
今回の事例は、すべての企業にとってIR・広報戦略とインシデント対応の融合がいかに重要かを示しています。今後の対応として以下のステップを検討することをお勧めします。
- 開示ガイドラインの事前策定：事案発生時に「何を公開し、何をセキュリティ保護のために伏せるか」の基準を平常時から定めておく。
- セキュリティと広報の連携強化：技術部門の視点（攻撃リスク）と、広報・IR部門の視点（説明責任）をすり合わせるトレーニングを実施する。
- 経営判断としてのリスク評価：単に「隠す」のではなく、保護すべき情報資産を守るための妥当な非開示理由を提示できる体制を整える。
よくある質問
Q1. 被害の詳細を公表しないことは法令やルール違反にならないのでしょうか？
財務上の重大な影響（今回の場合は特損10億円の計上）を適時開示していれば、技術的な詳細や侵入経路までを公表する法的義務は必ずしもありません。企業の安全確保と説明責任のバランスをとった経営判断として扱われるケースが増えています。
Q2. 今後の企業におけるサイバー攻撃公表のトレンドはどうなりますか？
被害規模や金銭的影響の開示は求められつつも、システム構成や具体的な侵入経路などの「防衛に直結する技術情報」については非開示、あるいは大幅に抽象化して公表するスタイルが定着していく可能性があります。