情報漏えいが起きた。最初の24時間に何を決めるのか

1．最初の24時間は、解決の期限ではなく着手の目安

最初に整えるのは、原因の最終報告書ではなく、判断と作業を引き受ける体制です。原因、人数、情報項目がすべて判明するまで社内共有を待つと、その間の対応を誰も決められなくなります。

ここでいう「24時間」は初動を考えるための編集上の目安です。24時間以内にすべてを解決するという意味でも、24時間は様子を見てよいという意味でもありません。必要な報告や被害の拡大防止は、事態に応じて先に進めます。

個人情報保護委員会の通則編では、漏えい等やそのおそれが発覚した場合、責任ある立場の者への報告、被害の拡大防止、調査、影響範囲の特定など、事案に応じた措置が求められています。以下は、その必要な仕事を担当者へ割り当てるための運用案です。［1］

「漏えいなのかまだ分からない」という段階も、連絡を受けた時刻、情報源、疑われる業務を残して責任者へ渡します。事故と断定して全社へ広めることと、限られた担当で確認を始めることは別です。

2．責任者を決め、確認・判断・作業を分ける

誰が詳しいかだけでなく、誰が決められるかを確認します。システム担当に連絡しただけでは、事業停止、追加費用、本人への説明などの判断担当まで決まったことにはなりません。

事故対応責任者は、事実を持つ部署、技術調査、法務・個人情報管理、広報・本人対応の窓口をつなぎます。少人数の会社では兼務して構いません。担当者名に加え、連絡手段、不在時の代替者、任されている判断範囲をそろえます。役割の名称は各社の規程に合わせてください。

外部の弁護士や調査会社へ依頼した場合も、会社側で回答を受け取り、判断する担当を残します。専門家への相談を依頼した人と、問い合わせる本人へ結果を説明する人が同じとは限りません。

会議が開けない場合は、まず利用できる安全な連絡経路で担当を割り当てます。「全員がそろってから決める」ために、連絡も拡大防止も止まる状態を避けます。

3．被害の拡大を止めながら、調べるための記録を守る

「止めること」と「残すこと」を、技術担当と同時に確認します。不審な通信、外部公開の設定、誤った宛先への送信など、事故の入口によって必要な初期対応は異なります。一律に「全部停止」「全部削除」と指示するのではなく、影響する業務と安全面も含めて判断します。

不正アクセス等では、社内手順に従ったネットワークからの隔離などが拡大防止の例です。一方、独断での初期化、再インストール、メールやログの削除は、調査に必要な情報を失うおそれがあります。証拠保全を考慮した初動と外部専門組織への相談は、IPAの実践資料でも示されています。［2］［3］

窓口担当が端末の電源操作や復旧方法を決める必要はありません。何が起き、誰が、いつ、どの操作をしたかを技術担当へ伝えます。業務システムが使えなくなった場合は、事故対応の連絡や受付まで同時に止まらないよう、承認された代替経路を用意します。

誤送信や誤公開でも、設定を直したことと、過去に閲覧・取得されたかを確認することは別です。回収依頼や公開停止の実施記録を残し、実施した対策だけを理由に「影響なし」と結論づけないようにします。

4．最初の記録は、分かることと分からないことを分ける

最初の記録は不完全でも構いません。ただし、推測で空欄を埋めないことが重要です。専用の管理システム等で、事案の識別情報、受領日時、情報源、確認済みの事実、未確認事項、担当、次の確認予定を結び付けます。

発生・発見・社内共有の時刻

いつ起きたか不明なら、不明のまま残します。連絡を受けた時刻を発生時刻へ置き換えません。

確認した資料と範囲

委託先の連絡、操作記録、調査担当の報告など。口頭の説明と資料で確認した事項を区別します。

対象になり得る情報

顧客・従業員等の別、情報項目、期間、添付や自由記述の有無。データ件数と人数を混ぜません。

まだ決められない仕事

不足している情報、確認先、次に見直す時点を残します。「調査中」だけで済ませません。

想定例として、委託先から「問い合わせサービスの一部に影響の可能性」と連絡が来た場面を考えます。この時点で記録できるのは、連絡内容と受領日時、自社の利用状況です。「自社の全顧客情報が流出した」とは書けません。逆に、自社への影響が未判明だからといって、通知や窓口を判断する担当への共有を待つ理由にもなりません。

委託先には、対象サービス・期間、自社データとの関係、追加情報の予定、照合を受ける連絡先を確認します。委託先事故固有の役割分担は、公開済みの委託先事故の記事で扱っています。

資料は事故対応に必要な担当へ限定して共有します。大量の名簿を全員のメールへ添付したり、未承認の生成AIに調査資料を入力したりせず、原資料の保存場所と必要な要約を分けます。

5．報告・本人通知・公表・関係先説明を別々に判断する

「外へ知らせるか」という一つの議題にまとめないでください。行政への報告、情報の対象となる本人への通知、一般向けの公表、取引先等への説明は、相手と目的が異なります。それぞれ判断担当、確認する要件、必要な情報、期限・連絡予定を記録します。

報告対象の確認では、情報の性質、事故の内容、本人の数等を見ます。確実な流出の証拠が得られた場合だけを対象にするものではありません。報告担当は、確定している情報と、漏えい等のおそれを判断する情報を分けて確認してください。［1］

「判断保留」は作業の終了ではありません。例えば対象照合の回答を待つなら、照合担当と次の連絡予定を決めます。予定を過ぎた場合、誰が再照会し、判断方法を見直すかまで置いておくと、待っている仕事が見えます。

公表は、個人情報保護法上の報告や本人通知と同じ義務ではありません。事案に応じた二次被害防止等の必要性と、公表による弊害を検討します。他法令・上場規則・契約上の連絡は別に確認します。［5］

6．調査中でも、最初の問い合わせを受けられるようにする

原因の確定を待たず、今説明できる事実と質問の行き先をそろえます。初動で大きな窓口を完成させる必要はありませんが、通常の代表電話や営業担当に連絡が入ったとき、独自の判断で答えないための案内は必要です。

最初は、承認済みの事案概要、確認中の内容、問い合わせの受付先、個別照会の引継ぎ先を用意します。「私も対象ですか」にその場で答えられない場合は、対象者の確認手順と、会社側で確認する担当を決めます。一般案内だけで身分証等を一律に集めないようにしてください。

本人から進行中の不正利用等の申告が届いた場合は、通常の質問集計とは分けて責任者へつなぎます。申告の受付を、事故との因果関係の結論待ちにしません。具体的な受付方法は二次被害申告の記事を参照してください。

受付時間、記録先、回答権限を設計する段階では、問い合わせ窓口の記事へ進めます。本記事で決めるのは、その準備を始める担当と範囲です。

7．最初の一日を、次の担当へ渡せる状態にする

初動の区切りは「調査が終わった」ではなく、「残る仕事の持ち主が分かる」です。会議の終了時や担当交代時には、何が変わったか、何が未判断か、誰に次の連絡をするかを短く確認します。

責任者への報告は、問い合わせ件数だけでなく、被害拡大防止の実施状況、調査待ち、対象照合待ち、報告・通知の判断待ち、本人への連絡待ちを分けます。「依頼メール送信済み」ではなく、相手が引き受けたかも確認します。

夜間・休日をまたぐなら、通常の当番だけでなく、緊急時に判断する代替者と連絡方法を残します。安全性が不明な連絡手段をそのまま使わず、使える経路を確認します。担当の疲労や不在も、引継ぎを整える理由になります。

8．初動のチェックと、よくある質問

初動で目指すのは、分からないことをなくすことではなく、分からないことを確認する仕事が止まらない状態です。被害を広げない対応と、本人へ説明する準備を、担当・記録・次の連絡でつないでください。

続けて確認したい実務