セキュリティの手引き

情報漏洩が発覚したら｜最初の72時間の対応フロー

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

最初の5分：止める・残す・知らせる

1. 広がりを止める：不正アクセスなら、その機器をネットワークから外します。電源は切りません。
2. 記録を残す：気づいた時刻、きっかけ、画面をスマホで撮ります。
3. 責任者に報告する：社長か、決めてある責任者へ。メールが乗っ取られている場合に備え、電話で伝えます。

個人情報保護委員会のガイドラインも、漏えいが分かったら責任ある立場の人にすぐ報告し、被害が広がらないようにすることを最初に挙げています。

1時間以内：窓口を決め、時系列を書き始める

社内外への連絡は窓口を1人にします。話す人が増えるほど、説明が食い違います。窓口の人は、下のひな形で時系列のメモを書き始めます。

■時系列メモ（分かった順に1行ずつ足す）
〇月〇日 〇時〇分　（誰が）（何で）気づいた
〇月〇日 〇時〇分　（責任者名）に報告した
〇月〇日 〇時〇分　（機器名）をネットワークから外した
〇月〇日 〇時〇分　（保守会社名）に調査を頼んだ

■まだ分からないこと
・いつから起きていたか
・どの情報が、何人分か

このメモは、あとで委員会への報告、本人へのお詫び、警察への相談のすべてに使います。推測は「未確認」と書き分けます。

24時間以内：影響の範囲を洗い出す

ガイドラインが求める対応は、①社内報告と拡大防止、②事実の調査と原因の究明、③影響範囲の特定、④再発防止策、⑤委員会への報告と本人への通知です。24時間で③の見通しを立てます。

• 誰の：顧客か、従業員か、取引先の担当者か。
• どの情報：氏名、住所、メールアドレス、クレジットカード番号、健康診断の結果など。
• 何人分：確定しなければ、最大で何人になりうるか。

次の4つのどれかに当たれば、委員会への報告と本人への通知が義務です。漏れた確証がない「おそれ」の段階でも対象です。

データが高度に暗号化されているなど、本人の権利を守る措置があれば報告はいりません。判断に迷うときは、報告する前提で準備を進めます。

72時間以内：報告・通知・連絡の準備

1. 委員会への速報：報告フォームに、その時点で分かっていることを入力します。期限の数え始めは、会社のどこかの部署が知った時点です。
2. 本人への通知：状況に応じて速やかに。全部分かるまで待つ必要はありません。

1. 委託元への連絡：預かった情報が漏れた場合は、委託元に速やかに（概ね3〜5日以内）知らせます。知らせれば、自社の報告義務は免除されます。
2. 警察への相談：不正アクセスや盗難なら、警察庁のオンライン受付窓口か、都道府県警察に相談します。

お詫び文はお詫び文の例文集、フォームの入力は報告フォームの書き方にまとめています。公表するかどうか、どこまで書くかは、弁護士に相談してから決めます。

よくある質問

参考にした資料

1. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5
2. 個人情報保護委員会「漏えい等の対応とお役立ち資料」
3. 個人情報保護委員会「本システムの利用について」（漏えい等報告フォーム）
4. 警察庁「サイバー事案に関する相談窓口」