会社が不正アクセスされたらどうする？初動と届け出の順番を解説します

会社が不正アクセスされたら、記録を消さないように被害の広がる通信を止め、体制を立てて外部へ相談し、必要な届け出を期限までに出します。

今日やることは1つです。社内で気づいたときに誰へ連絡するか、保守会社の連絡先は何番か、経営者が不在のとき誰が止める判断をするかを、紙1枚⁠に書いて共有してください。事故の最中に連絡先を探す時間を減らせます。

順番の土台は、IPAが2026年6月⁠に公開した中小企業のためのセキュリティインシデント対応の手引きです。Webサイトまわりの守りの全体はWebセキュリティの解説⁠にまとめています。

不正アクセスに気づいたら、どの順番で動く？

全体の流れは次の6段階です。実際には同時に進むので、担当を分けて並行して動きます。

外部から「御社のサイトがおかしい」⁠と連絡が来る場合もあります。手引きは、通報者の連絡先を控えることを最初の作業に挙げています。

遮断するとき、電源は切っていい？

被害が広がるおそれがあれば、ネットワークの遮断、対象機器の隔離、システムやサービスの停止を行います。ただし同じ手引きが、電源を切るなどの不用意な操作でシステム上の記録を消さないよう注意しています。

ここで迷いやすいのが、「止める」⁠の中身です。社内ネットワークから切り離すことと、電源を落とすことは別の操作です。メモリの中の情報は、調査の対象の1つです。迷ったら、保守会社か次の節の窓口に聞いてから操作します。

パスワードの変更も急ぎます。警察庁の不正アクセス対策のページは、ログインできるなら早急に変更し、同じパスワードを使っている他のサービスも変えるよう案内しています。Webサイトが改ざんされた場合は、ウェブサイト改ざん対策のページが、直ちにサービスを止めてアクセスログを保存するよう求めています。同じページは、改ざんが見つかっていない機器も調査の対象に含めるよう書いています。

証拠として何を残す？

警察庁の資料が例に挙げているのは、通信ログ、アクセスログ、不正プログラムなど被害サーバーに記録された情報、システム構成図です。

ログは保存期間を過ぎると自動で消える機器があります。最初に保存期間を確かめ、必要なら別の場所へ写します。日ごろからログを1か所に集めておく道具は、統合ログ管理ツールの比較で種類と保管期間の違いを確かめられます。

社内で調べきれないときは、専門の会社に頼みます。IPAの手引きは、パソコンのハードディスク、メモリ、サーバーやネットワーク機器のログを調べるフォレンジック調査を、必要に応じて行うものとしています。頼める会社はインシデント対応・フォレンジックの比較で窓口と調査範囲を比べられます。日本ネットワークセキュリティ協会の緊急対応企業一覧⁠も手引きが案内している先で、受付時間と対応地域が載っています。

どこに相談し、どこに届け出る？

相談と届け出の先は、目的ごとに分かれています。

IPAの特別相談窓口は2026年10月16日に開設されました。対象は全国の企業・組織で、被害の可能性がある段階でも使えます。電話は03-6759-5760、受付は平日9時30分から17時30分で、12時から13時は除きます。

警察へは、最寄りの警察署か都道府県警察本部の相談窓口へ連絡します。全国統一のオンライン窓口⁠もあります。「捜査で復旧が遅れないか」という心配には、警察庁の資料が答えています。被害企業の意向を尊重し、最初はログの保全など必要最小限の措置をお願いして、落ち着いてから聴取することなどがあると説明しています。

業法で報告を求められる業種は、所管の省庁への報告も確かめます。

個人情報保護委員会への報告はいつまで？

個人データの漏えい等で一定の事態に当たると、委員会への報告と本人への通知が義務になります。期限は個人情報保護法施行規則の第8条⁠にあり、委員会事務局の2022年5月の資料⁠が目安とあわせて整理しています。

対象の事態は、規則の第7条⁠に4つあります。

• 要配慮個人情報の漏えい等（例：従業員の健康診断の結果）
• 財産的被害のおそれがある漏えい等（例：クレジットカード番号）
• 不正の目的をもって行われたおそれがある行為による漏えい等（例：不正アクセス）
• 本人の数が1,000人⁠を超える漏えい等

不正アクセスは3つ目の例に挙げられています。この3つ目は件数を問いません。条文は「発生したおそれがある事態」⁠も対象にしているので、漏えいの確定を待つ必要はありません。確報の時点で分からない事項は、分かり次第あとから足します。

委託を受けて預かっているデータの場合は、委託元への通知で報告に代えられる定めがあります（法第26条第1項ただし書き、規則第9条⁠）⁠。契約の連絡条項とあわせて確かめます。法令や様式は変わることがあるので、提出の前に委員会の案内も確認してください。

製造業では、どこで判断に迷う？

たとえば、部品メーカーの受発注用のWebシステムに不審なログインが見つかった場合を考えます。

個人の顧客を持たない会社でも、このシステムに取引先担当者の氏名やメールアドレス、自社の従業員の情報が入っていれば、個人データの確認が必要です。図面や単価のような取引情報は個人データではなくても、取引先との秘密保持契約で連絡の義務を負っていることがあります。委員会への報告の要否と取引先への連絡の要否は、分けて確かめます。

工場の生産が止まっていないから被害はない、とも言い切れません。不正アクセスは情報を盗む行為のこともあり、仕事が普段どおり動いていても調査は要ります。生産設備につながるネットワークを切り離すかどうかは、生産を止める判断と重なるので、経営者と工場の責任者を早い段階で入れます。

復旧の前に確かめることは？

修理の前に原因を調べます。警察庁は、原因の調査をもとにソフトの更新と脆弱性の修正を行い、攻撃者に触られた可能性のある機器のパスワードを変えるよう案内しています。IPAの手引きは、正しく修復できたと確認してからシステムを戻し、結果を経営者に報告する流れを示しています。

Webアプリの弱点が入口だった場合は、修正とあわせて手前の守りも見直します。WAFとファイアウォールが守る場所の違い⁠を読むと、今の機器で止められない通信が分かります。導入を比べるならWAF製品の比較の見方⁠に確かめる項目をまとめました。

調査や賠償の費用への備えは、事故のあとには間に合いません。サイバー保険の比較で補償の範囲を見ておくと、次の見直しの材料になります。