何が問題になるか
場面
社内のサーバーに見覚えのない通信があったり、社員のアカウントに身に覚えのないログインがあったりして、不正アクセスを受けたことが分かる場面です。最初の数時間は、被害の拡大を止めることと、証拠を残すことを同時に進めます。慌てて端末の電源を切ったり初期化したりすると、原因を調べる手掛かりが失われます。
法律の整理
最初にやるのは被害の拡大を止めることです。該当する端末やサーバーは、ネットワークから切り離します。電源は切りません。メモリ上の証拠が消えるためです。侵害されたアカウントはパスワードを変え、多要素認証を設定します。外部からの接続経路も遮断します。
同時に証拠を残します。ログ・画面・時刻・対応者を記録し、原因調査が終わるまで初期化や上書きをしません。調査会社に頼む場合も、依頼前に保全の指示を受けます。
被害の拡大を止めることと、証拠を残すこと
報告先は並行して決めます。個人データの漏えいのおそれがあれば、個人情報保護委員会へ速報をします。個人情報保護委員会は、報告が必要な例として「不正アクセスにより個人データが漏えいした場合」を挙げています。期限は、速報とは別に「不正な目的で行われたおそれがある場合は、発覚日から、60日以内」と示しています。報告の権限が所管官庁に委任されている業種では、「権限委任先府省庁等に報告する必要があります」とされています。
警察には、都道府県警察のサイバー犯罪相談窓口に相談します。警察庁は「通報・相談等のオンライン受付窓口、都道府県警察の連絡先等」を案内しています。IPAは「企業/組織向けサイバーセキュリティ相談窓口」を設けています。所管官庁・取引先・保険会社への連絡も同時に進めます。
対外的な説明は、事実が確定した範囲で行います。推測で「漏えいはない」と断言しません。経営者を含む対応チームをつくり、社外への窓口を一本化します。
画面に異常がなくても、公開しているウェブシステムや社内向けシステムの API・管理機能の不備を突いて情報を取り出す手口があります。JPCERT/CC は2026年10月8日に注意喚起を出しています。確認の仕方は会員サイト・予約システムから顧客情報が抜き取られたと指摘されました。画面は何も変わっていません。何を確認すべきですかで扱っています。
会社が備えること
確認すること
- 社内ネットワークの構成と、外部から接続できる経路
- アカウントの一覧と、管理者権限を持つ人
- ログの保存場所と保存期間
- サイバー保険の加入状況と、事故時の連絡先
- 個人データを保存しているサーバーと、本人の数が「1,000人を超える」かどうか
- 外部に公開しているウェブシステム（会員ページ・予約・問い合わせ・管理画面）と、その API の鍵・管理者アカウントの一覧
対応
- 切り離す・電源を切らない・記録する、という初動の手順を書面にまとめます。
- 経営者を含む対応チームと、社外への窓口を決めておきます。
- 個人情報保護委員会、都道府県警察、IPA、所管官庁、取引先、保険会社の連絡先を一覧にします。
- 対外的な説明文は、事実が確定した範囲だけを書く運用にします。
ログ・画面・時刻・対応者を記録
パソコンの紛失による漏えいは顧客情報が入ったパソコンを社員が紛失しました。何をすればよいですかで扱っています。
ご相談で伺うこと
- 不正アクセスに気づいた日時ときっかけ
- 切り離しやパスワード変更など、すでに行った対応
- 漏えいのおそれがある個人データの種類と人数
- 調査会社・保険会社・警察への連絡の有無
- 取引先との契約にある事故報告の定め