サイバー攻撃で中小企業も謝罪会見？損保調査で平均数百万円

「大手企業がテレビカメラの前で頭を下げる謝罪会見や新聞の社告は、中小企業でもあり得るのか？実際に中小企業で会見や社告を行った事例はあるのか？」――先日、年商6億円規模の製造業を営む法人経営者様より、逼迫した面持ちでご相談をいただきました。

結論から申し上げますと、中小企業であっても「大企業（親会社）のサプライチェーンを停止させた場合」や「自治体・学校・病院の受託データが流出した場合」は、記者会見や新聞社告の実施を余儀なくされる事例が実際に発生しています。自社単体では地域の中小企業に過ぎなくても、取引先や委託元が社会インフラに関わっていれば、公の場での説明責任から逃れることはできません。ただし、無計画にカメラの前に立つと二次炎上を招くため、公表基準と適正な手順を平時に把握しておくことが極めて重要です。

【損保実務データに基づく社告・危機管理広報の費用内訳】

• 調査主体・根拠データ：損保各社サイバーリスク事故対応実績データおよび危機管理広報専門会社（PR会社）標準緊急出動料金
• 謝罪会見・社告関連の平均総額：中小企業1社あたり 約300万〜1,000万円（全国紙社告・緊急会見を開く場合）
• 広報・社告対策費用の内訳：
  • 大手全国紙（1紙・1/4段〜記事下枠）社告掲載費用：約150万〜400万円
  • 緊急記者会見・プレスリリース作成支援（PR会社出動費）：約100万〜300万円
  • 会見会場レンタル・配信設備手配費用：約30万〜100万円
  • 弁護士による対外説明資料リーガルチェック費用：約50万〜150万円

1. なぜ無駄金を払わされてしまうのか / 中小企業の公表実例と二次炎上の罠

過去、国内の中小企業において実際に謝罪会見や新聞社告に至った事例には明確な共通点があります。自動車メーカーの一次下請け部品メーカーがランサムウェアに感染して全工場が稼働停止したケースや、自治体から健診データ・学籍番号のデータ入力を受託していた小規模IT企業から情報が流出したケースです。自社は無名でも、「被害を与えた相手」が公的機関や上場企業である場合、世論と取引先からの強い要請で会見を開かざるを得なくなります。

ここで最大の失敗となるのが、パニック状態のまま「何を言えばいいか分からない」状態で会見を開くことです。記者からの「侵入経路は？」「セキュリティ対策は怠っていなかったのか？」という追及に答えられず、「隠蔽しようとしている」と報じられてブランドが完全に失墜し、信用回復のために更なる広告費やコンサル費を投じる悪循環に陥ります。

2. 費用対効果チェックシート：事故公表手法の比較

有事の際に中小企業が取り得る事故公表・説明の手法と、それぞれの費用目安、波及リスクを整理した比較表です。社内完結できる自社HP開示を第一歩としつつ、影響度に応じた冷静な判断が求められます。

3. 明日から社内でゼロ円でできる基本防衛のステップ

万が一メディアや取引先から説明を求められた際、0円で二次被害を防ぐための社内準備は以下の3点です。

1. 「対外公表文（プレスリリース）のひな形」を平時にストックしておく：
   公表文に記載すべき基本項目は「①発生事実」「②流出の恐れがある範囲」「③現在の対応状況」「④今後の調査方針」「⑤お客様相談窓口」の5つです。事故が起きてから文章を一から考えると半日以上かかり公表が遅れます。枠組みだけを平時に作っておくことが最大の初動対策です。
2. 「取材対応窓口の一本化」を全社に通達する：
   マスコミや取引先から記者が電話や突撃取材をしてきた際、一般社員や受付が中途半端に「データが全部消えたらしいです」などと口を滑らせると、それがそのままニュースの見出しになります。「いかなる問い合わせも社長（または専任窓口）以外は一切回答しない」というルールを全社員に周知徹底してください。
3. 取引先契約書の「事故報告義務条項」をチェックしておく：
   主要取引先との基本契約書に「セキュリティ事故発生時、何時間以内に報告しなければならないか」が明記されているか確認します。会見を開くかどうか以前に、大口取引先への報告が1日遅れただけで契約解除の法的リスクを負うため、報告の優先順位を明確にしておきます。

4. 最後のセーフティネットとしての見極め方

新聞社告の掲載費用や緊急記者会見のセッティング費用は、一撃で数百万円単位の直接キャッシュアウトを伴います。

• 損保約款における「危機管理広報費用」「社告掲載費用」の補償条項：
  サイバー保険の多くは情報漏洩の賠償金を主契約としますが、高度なプランでは「新聞社告掲載費用」「記者会見開催費用」「危機管理PR会社へのコンサルティング委託料」まで実費で支払われる特約が存在します。自社の証券にこの「広報・社告費用枠」が含まれているか、必ず確認してください。
• 保険会社提携の「緊急PR支援会社」の手配ルート：
  中小企業には自前の広報部がありません。事故発生時に即座に会見の想定問答集を作り、記者対応を代行・助言してくれる危機管理専門会社を自力で探すのは不可能です。損保会社の提携ネットワークから緊急出動できるルートが確保されているかどうかが、企業の命運を分けます。

5. まとめ

「中小企業でもサイバー攻撃で謝罪会見や社告はあり得るのか？」という問いへの答えは、「サプライチェーンや公共性の高い案件を抱えている場合、中小企業であっても十分にあり得る」ということです。

しかし、慌てて記者を呼ぶ必要はなく、まずは自社ホームページでの正確な開示と取引先への個別報告が実務の基本線です。平時のうちに公表文の骨子を用意し、社内の取材対応窓口を一本化しておくことから、自社の危機管理を始めてみてください。