情報漏洩の緊急事態に備える！ 初動対応・報告・対策FAQ
2026.04.02
情報漏洩の緊急事態に備える！ 初動対応・報告・対策FAQ
情報漏洩は、企業活動において重大なリスクの一つであり、発生時には迅速かつ適切な対応が求められます。
対応の遅れや判断の誤りは、被害の拡大や信用低下につながる可能性があります。
そのため、あらかじめ基本的な対応手順や考え方を理解しておくことが重要です。
しかし、実際には「何から対応すればよいのか分からない」と感じる方も多いのではないでしょうか。
本記事では、情報漏洩が発生した際の基本的な対応や、よくあるご質問について分かりやすくご案内しています。
万が一の事態に備え、安心して対応いただくための参考として、ぜひご活用ください。
⇒サンクネットのアウトソーシングサービス
【質問一覧】
【初動対応・基本理解】
・情報漏洩が発覚したら最初に何をすべきですか？
・社内だけで対応することは可能ですか？
・フォレンジック調査とは何ですか？
【報告・公表・通知】
・どのような場合に個人情報保護委員会へ報告が必要ですか？
・報告の期限はいつまでですか？
・漏洩の疑い段階で公表すべきでしょうか？
・本人通知は必ず必要ですか？
・WEB公開、メール配信、郵便のどれで通知すべきですか？
・メール通知が届かない場合、WEB公開だけでよいですか？
【個別ケース対応】
・郵便の宛先一覧（氏名・住所）の漏洩は報告が必要ですか？
・ダークサイト・リークサイトに掲載された場合の対応は？
・マイナンバー・基礎年金番号が漏洩した場合は？
・クレジットカード情報が漏洩した場合は？
【法的責任・リスク】
・従業員のミスでも企業責任になりますか？
・委託先で漏洩した場合は誰の責任ですか？
・セキュリティソフトを入れていれば責任は免れますか？
・公表しないとどうなりますか？
【実務対応・判断】
・1000件未満なら報告不要ですか？
・お詫び品は必要ですか？
・再発防止策として何をすべきですか？
【対象となる個人情報の範囲】
・どこまでが「個人情報」に該当しますか？
・名刺情報（氏名・会社名・メール）は個人情報ですか？
・企業の代表メール（info@～）は個人情報ですか？
・IPアドレスやCookieは個人情報ですか？
・ハッシュ化・匿名化すれば個人情報ではなくなりますか？
・従業員情報や応募者情報は対象ですか？
【DB（データベース）・DB化に関して】
・「個人データ」とは何ですか？
・DB（データベース）化されていない情報は対象外ですか？
・紙の書類（履歴書・名簿）は対象外ですか？
・PDFの履歴書はDB化されていますか？
・メールに添付された個人情報はDBですか？
・「DB化されていないから軽微」と考えてよいですか？
・DBかどうかで何が変わりますか？
【実務判断の核】
・結局、何が一番重要ですか？
【初動対応・基本理解】
・ネットワーク隔離・アクセス遮断
・ログ・証拠の保全（削除・再起動禁止）
・関係者のアクセス制限
同時に、社内に対策本部を設置し、対応方針を一本化することが重要です。
情報漏洩対応には以下の専門領域が必要です。
・IT（原因調査・封じ込め）
・法務（報告・通知判断）
・広報（公表対応）
初動で専門家と連携することで、被害とリスクを最小化できます。
・不正アクセスの有無
・流出データの特定
・内部不正の有無
カード情報漏洩等では実施が強く求められるケースがあります。
【報告・公表・通知】
・要配慮個人情報（健康・病歴など）
・クレジットカード・口座情報
・不正アクセス・不正取得
・不特定多数への拡散
・1000件以上
⇒ 「1000件未満＝不要」は誤りです
・速報：原則3～5日以内
・確報：30日以内（不正アクセスは60日以内）
ただし、不確定情報の公表は混乱を招くため、事実確認とのバランスが重要です。
・直接通知（メール・郵送）が原則
・連絡不能な場合はWEB公表で代替
・原則：メール・郵送など直接通知
・補完：WEB公表（連絡不能時）
・高リスク：郵送など確実な手段推奨
⇒WEBのみでは不十分な場合があります。
・再送
・郵送通知
など、確実な手段を検討する必要があります。
【個別ケース対応】
・要配慮情報なし
・不正アクセスではない
・件数1000未満
・拡散していない
ただし、回収不能・大量漏洩・拡散の可能性がある場合は報告対象となる可能性があります。
・証拠保全（画面保存・ログ確保）
・警察への相談
・個人情報保護委員会への報告判断
・対象者への注意喚起
⇒初動の遅れは二次被害につながります。
企業としては
・個人情報保護委員会への報告（原則必須）
・本人通知
・行政機関への相談案内
・不正利用防止の注意喚起
が必要です。
・即時報告（PPC・カード会社）
・本人通知
・フォレンジック調査
・利用停止・再発行対応
⇒メール未達の場合は郵送対応が望ましいです。
【法的責任・リスク】
企業は使用者責任および安全管理義務違反を問われます。
委託先の監督義務が問われます。
組織的・人的・技術的対策の総合的実施が必要です。
・行政指導・命令
・損害賠償
・炎上・信用失墜
のリスクが高まります。
【実務対応・判断】
件数ではなく「情報の性質」で判断されます。
・被害の重大性
・社会的影響
・他社事例
⇒過度な対応は逆効果となる場合もあります。
・技術：アクセス制御・多要素認証
・運用：ルール・監査
・人：教育・訓練
⇒継続的な改善が不可欠です。
【対象となる個人情報の範囲】
例：
・氏名、住所、電話番号
・メールアドレス
・顧客ID・会員番号
・IPアドレス（他情報と紐づく場合）
⇒単体で識別できなくても、他情報と組み合わせて識別できれば対象です。
⇒法改正・ガイドライン上も
「業務用情報であっても個人情報」と整理されています。
ただし
・担当者個人と紐づく
・利用履歴と結びつく
⇒場合によっては個人情報として扱われる可能性があります。
・会員情報
・ログイン情報
と紐づく場合は個人情報として扱われます。
⇒法改正後は広く解釈される傾向にあり注意が必要です
・復元可能（ハッシュ・疑似匿名） → 個人情報
・完全匿名化 → 個人情報ではない
⇒実務では「匿名化したつもり」が最も危険です。
・履歴書
・職務経歴書
・評価情報
⇒ DB化されていなくても今後DB化、要配慮情報を含む場合は対象です。
【DB（データベース）・DB化に関して】
例：
・顧客管理システム
・Excel名簿
・CRM
⇒これが「個人データ」です。
単に対象外ではありません。
⇒法改正・ガイドラインにより
「DB化されていなくても個人情報として保護対象」になる場合があります。
ただし
・個人データ（DB） → 義務が重い
・単なる個人情報 → 一部義務が異なる
ただし
・ファイリングされている
・検索可能な状態
⇒「個人情報データベース等」に該当する可能性があります。
・フォルダ管理＋検索可能 → DB扱いの可能性あり
・単なる保存のみ → 個人情報
⇒実務ではDB扱いされるケースが増えています
・メールボックス検索可能
・整理・蓄積されている
⇒DBに準ずる扱いになる可能性があります。
⇒「DBかどうか」より「リスク」で判断されます。
例
・履歴書1枚でも漏洩 → 重大
・紙でも高リスク → 報告対象
・安全管理義務のレベル
・開示・訂正対応義務
・事故時の評価
⇒ただし、漏洩時のリスク判断はDBかどうかに依存しません。
【実務判断の核】
・初動の速さ
・判断の正確性
・専門家との連携
⇒「対応力」そのものが企業価値に直結します。
【サンクネットの緊急事態支援サービス】
情報漏洩が発生した際、企業担当者が直面するのは「膨大な実務」と「法的な判断」の荒波です。
自社のリソースだけで、通常業務をこなしながらこれらに対応するのは極めて困難です。
サンクネットでは、「有事の際の実務支援」をワンストップで提供しています。
⇒参考記事：
情報漏洩時の強い味方！ サンクネットが提供する総合支援サービスとは？
・迅速な「お詫び・通知」の発送代行
数千、数万件に及ぶ対象者への通知文の作成から、封入・発送までを迅速に代行します。
マイナンバーやクレジットカード情報の漏洩では、一刻も早い本人通知が二次被害を防ぐ鍵となります。
・専門コールセンターの即時立ち上げ
漏洩発覚後、企業には問い合わせの電話が殺到します。
サンクネットでは、専門のトレーニングを受けたオペレーターによる専用コールセンターを短期間で構築。
混乱する対象者への誠実な応対を通じ、二次炎上を防ぎます。
・原因調査と再発防止策のコンサルティング
ウイルス、マルウェア、フィッシング詐欺など、なぜ漏洩が起きたのかという原因の切り分けから、今後同じ過ちを繰り返さないための体制構築まで、専門的な知見からバックアップします。
また、サンクネットでは「すべてを頼む」のではなく、企業の予算や状況、対応の優先度に応じて、必要なサービスを選択して依頼することも可能です。
「どこまで外部に委託すべきか分からない」「対応可能な部分は自社で担いたい」といった悩みにも、サンクネットは丁寧に相談に乗り、最適なプランを提案いたします。
クリックしても別ウィンドウが表示されない場合はinfo@sanku.jpをご利用下さい。お問合せは、「アウトソーシング部」がお受けいたします。お電話でのお問い合わせはフリーダイヤル0120-445-039までお気軽にお問い合わせ下さい。
