「漏えいした」と「漏えいした可能性がある」は同じではない

1．「何が起きたか」と「何を調べているか」を別にする

「調査中」は作業の状態であって、漏えいの有無を示す結論ではありません。漏えいが確認された後も、原因や対象人数は調査中になり得ます。反対に、障害を調べているだけで、漏えいしたと決まるわけでもありません。

本記事では、確認済み、未確認、疑われる理由、調査の限界を分けて扱います。これらは情報整理のための区分です。「可能性」「おそれ」「疑い」を、どの会社にも共通する強弱の段階や確率として並べるものではありません。

「漏えい等のおそれ」には制度上の判断があり、その時点の事実に基づき個別に検討します。一方、担当者が日常語で使った「可能性があります」が、そのまま法的判断を表すとは限りません。用語だけで判断せず、何を根拠に、何を疑っているのかを確認することが出発点です。［1］

社内向けの状況一覧でも、「漏えいなし／あり」の二択だけでは足りません。項目ごとの状態と判断担当を残せる形にします。

2．一つ確認できても、原因・人数・二次被害まで確定しない

確認は、事案全体ではなく論点ごとに行います。不正なアクセス、情報の閲覧可能性、持ち出し、対象情報、対象者、実際の悪用は、同じ一つの事実ではありません。

例えば「不正なログインを確認した」と説明されたら、どのアカウント・サービスへのログインか、その権限で何が表示されるか、当該アクセスで何が分かっているかを調査担当へ聞きます。「侵入を確認した」を、窓口が「全データが流出した」へ広げてはいけません。

逆に、ダウンロードの記録がないことだけで漏えいを否定するのも避けます。個人情報保護委員会は、誤送信や誤公開について、第三者に閲覧されていないことが確認できる場合と、相手の取扱いやログ等が確認できない場合を分けています。公開停止や回収だけで、過去の閲覧まで否定できるわけではありません。［2］

事故の入口

不正アクセス、誤送信、誤公開等について、実際に確認された行為・設定・記録を整理します。

情報と対象の範囲

情報項目、対象期間、閲覧可能だった範囲、確認済みの対象者と照合中の対象を分けます。

原因と二次被害

侵入方法や原因の確定、悪用の申告、実被害と今回の事故との関係を別々に確認します。

対象者から「自分の名前を使ったメールが来た」と申告があっても、それだけで今回の事故に起因すると認定しません。申告を受け付けることは必要な確認の入口です。具体的な受付は二次被害申告の記事で扱っています。

3．「痕跡なし」と説明する前に、何を調べたかを確かめる

見つからなかった結果には、調べた範囲が伴います。確認したログの種類、保存されている期間、対象システム、確認担当、調査時点を添えて初めて、その説明の意味が分かります。

ログが残っていない期間は、調査して問題がなかった期間とは異なります。外部サービスのログについても、誰が取得でき、どの期間が残り、提供者と利用企業のどちらで確認できるかを整理します。IPAは、サービスごとにログの保有期間や確認できる主体が異なる可能性を踏まえた点検を案内しています。［3］

資料がないことを説明する際も、相手に不要な技術情報や攻撃の手掛かりを詳しく示す必要はありません。調査担当と広報・法務で、本人の判断に必要な範囲の説明へ整理します。「専門的なことなので不明です」と切り離すのではなく、次に何を確認するかを決めます。

確認範囲が狭い結果を「全体で問題なし」と集計しないことも重要です。部署や委託先からの説明をまとめるときは、対象条件と確認時点をそろえられるか確かめてください。

4．法令上の「おそれ」は、文章の言い換えだけで決まらない

「可能性」という言葉を使えば報告不要になるわけでも、少しでも不明なら必ず報告対象になるわけでもありません。対象となる情報、事態の類型、その時点の事実関係を、責任者と法務・個人情報管理担当が確認します。

通則編は、漏えい等が疑われるものの確証がない場合も「おそれ」の検討対象として示しています。判断には、判明している事実に基づく個別の検討が必要です。確定した持ち出しの証拠だけを待ち続ける運用にはしません。［1］

一方、マルウェアを検知したという事実だけで、直ちに漏えいのおそれがあると判断するわけではありません。個人情報保護委員会のQ&Aは、実行を抑止した状況や外部通信の遮断状況等も考慮するとしています。技術担当の確認と制度上の判断をつなげる必要があります。［2］

情報の種類による違いにも注意します。漏えい、滅失、毀損は同じ意味ではなく、データが利用不能になった事案にも別の検討があります。不正目的の行為による類型では、個人データとして取り扱う予定の取得前・取得過程の個人情報が関係する場合もあります。業法・マイナンバー等を含め、一般的な記事の表現だけで適用を決めないでください。［1］

窓口は法的結論を作るのではなく、「何が分かり、何がまだ分からないか」を承認済みの範囲で答えます。報告・通知の判断を待つ間も、資料の確保、安全な問い合わせ受付、説明文の準備は進められます。

5．根拠・確認状態・対外説明を一組で管理する

対外回答の一文に、根拠と適用範囲をたどれるようにします。専用システム等で事実の識別番号、原資料、確認者、対象範囲、確認日時、判断担当、承認済みの説明を結び付けます。実際の内部管理画面や判断閾値を公開する必要はありません。

委託先からの「対象外」という連絡も、連絡を受けた事実と、自社が根拠を確認した状態を分けます。自社の契約、利用期間、アカウント、対象情報に適用できるかを確認し、未照合ならその状態を残します。

不明事項には、確認担当、追加で必要な資料、次の見直し予定を付けます。確認できない理由が判明した場合も、担当欄を消して終えるのではなく、その限界を踏まえて誰が何を判断するかへつなげます。

複数の担当の説明が食い違ったら、文章だけを折衷しません。資料の版、確認した日時、対象範囲が違わないかを調べます。時点が違う説明を一つにまとめることで、どちらの根拠も失わないようにしてください。

6．短い説明でも、確認していない内容を付け足さない

「現時点で」と付けるだけでは、断定の問題は解消しません。何の確認が済み、何が残っているかを、読み手が必要な行動を選べる程度に示します。

説明では「誰の情報」「どの期間」「どのシステム」を必要に応じて添えます。ただし、少人数の属性や経緯の組合せから本人が特定されないように配慮します。個別の対象有無は、本人確認を伴う別の照会手順で扱います。

不明な人数をゼロと表示したり、最大影響範囲を確認済みの被害人数として載せたりしません。読みやすさのために数字を一つにまとめる場合も、その数字が何を表すかを明記します。

7．確認が進んだら、以前の説明を受けた人へ戻す

新しい結論が出たことと、それが説明に反映されたことは別です。調査担当の報告だけを更新して、窓口が古い説明を続ける状態を避けます。

確認範囲が広がったときは、新たに分かった事実、変わった判断、従来の説明への影響を区別します。「全体が調査中」から「一部の漏えいを確認」へ進んだ場合、判明した部分と未判明の部分を並べて示せます。全対象者が確定するまで、確認済みの事実まで未確認へ戻す必要はありません。

根拠のない断定をしていたなら、単なる続報ではなく誤りの訂正が必要かを確認します。誤りのない暫定説明だった場合も、本人が取るべき行動が変われば追加案内を検討します。実施方法はFAQ更新・再案内の記事で詳しく整理しています。

旧説明は経過確認用に保管し、現在使う回答と区別します。会社の説明、窓口の回答、行政報告がそれぞれ別の確認状態を示していないかも、判断担当が点検します。

8．表現を確かめるチェックと、よくある質問

伝える内容を弱くするのではなく、確認できた範囲に合わせて正確にすることが大切です。事実・限界・判断・次の確認を結び付けると、不確実な状況でも説明を続けられます。

続けて確認したい実務