要約

1. 米国では、近年、401(k)プランなど確定拠出型年金（DC）プランのサイバーセキュリティが強調されるようになっている。人々の退職資産におけるDCプランの重要性が増していることに加え、DC加入者等の資産が窃取される事案の発生などが背景にある。
2. DCプランは、加入者の個人勘定の記録管理を行うレコードキーパー等、サードパーティーが運営管理を担う。ランサムウェア、ソーシャルエンジニアリング、なりすまし、口座の乗っ取りなどがDCプランのサイバー脅威として挙げられるが、各主体が適切にサイバーリスクに対応する必要性が高まっている。
3. DCプランは、従業員退職所得保障法（ERISA）の規制下にあり、企業はフィデューシャリーとして、適切な業者選定と監視を行う責務を負う。所管官庁である労働省から、企業、サービス提供業者、加入者等に向けたサイバーセキュリティに関するガイダンスが発出されており、留意事項やベストプラクティスが示されている。
4. 日本のDC制度も、運営管理の外部委託など基本構造は米国と類似しており、共通の論点は参考にするのが適当であろう。企業がサイバーセキュリティ強化を推進するに当たり、DC制度の対応も確保することが重要と思われる。