個人情報漏えいの対応マニュアル　発覚から報告までの社内の動き方を整理

個人情報漏えいの対応マニュアルとは、発覚から調査、報告、本人への通知までを、誰が何をするかで時系列に決めた社内の手順書です。IPAの中小企業のためのセキュリティインシデント対応の手引き（2026年6月の資料）⁠は⁠、対応を検知・初動、報告・公表、復旧・再発防止の3段階に分けています。

今日やることは、下の1枚⁠の表に、自社の担当者の役職を書き入れることです。外部の連絡先まで埋めたら、印刷して総務と社長の手元に置きます。サーバーが止まると、社内の文書を開けない場合があるからです。

発覚から報告までを1枚⁠にすると？

IPAの手引きと個人情報保護法の施行規則⁠をもとに、私たちが中小企業向けの時系列に整理しました。時間の区切りのうち、法令と委員会が示しているのは報告の期限だけで、それ以外は社内で決める目安です。

担当の欄は役職で書きます。人の名前だと、休みや退職で動かなくなります。責任者と総務の代理を1人⁠ずつ決めておきます。社員が10人⁠の会社なら、社長と総務の2人⁠が全部の欄に入っても構いません。

発見した直後は何をする？

目的は、被害を広げないことと、記録を消さないことの2つです。

責任者へ報告する

手引きは、兆候や発生を見つけたら情報セキュリティの責任者に報告するとしています。社員には「確証がなくても報告する」「報告したことで責めない」⁠と決めておきます。

理由は期限にあります。委員会のガイドライン（通則編）では、報告の期限の起点は、いずれかの部署が事態を知った時点です。現場で止まっている間も、時間は進みます。

広がりを止める

対象の情報に外部から入れる場合や、被害が広がる可能性がある場合は、手引きはネットワークの遮断、機器の隔離、システムやサービスの停止を挙げています。ランサムウェアなら、感染したPCやサーバーの利用を止めて、ネットワークから切り離します。

一方で、電源を切るなどの不用意な操作で記録を消さないようにとも書かれています。LANケーブルを抜く、無線を切るといった具体的な操作は、機器ごとに保守会社へ先に聞いて、表の余白に書いておきます。

記録を始める

時刻と事実を、この時点から書き留めます。手引きが整理すべき事項に挙げているのは、インシデントの分類、発覚日時、発生日時、発生した事象、対応の経過、想定される原因、被害を受けたシステムの状況などです。

後の委員会への報告、取引先への説明、保険の請求に、同じ記録を使います。事実と推測は分けて書きます。

当日に決めることは何か？

社長の仕事は、体制を立ち上げて、責任者と担当者を指名することです。手引きも、経営者が速やかに体制を立ち上げ、役割を明確にするとしています。

自社だけで調べきれないときは、手引きの連絡先を使います。

• 技術的な相談：IPAの企業組織向けサイバーセキュリティ相談窓口
• サイバー犯罪の相談：警察庁のオンライン受付窓口
• 対応の依頼先を探す：JNSAのサイバーインシデント緊急対応企業一覧、JPCERT/CCのインシデント対応依頼

調査の費用は、JNSAのインシデント損害額調査レポート（2024年）⁠によると、PCとサーバー数台で300万〜400万円⁠が参考値です。事故の後に探すと比べる時間がないので、インシデント対応・フォレンジックの比較を平時に見ておきます。社内に担当がいなければ、セキュリティ運用代行・顧問サービスの比較で、事故のときの動きまで含むかを確かめます。保険に入っていれば、保険会社への連絡もこの日に行います。未加入なら、平時にサイバー保険の比較を見ておきます。

誰に、いつ報告する？

報告先は、事故の中身によって分かれます。

4つ⁠の場合の中身と迷いやすい例は報告義務の判断の基準⁠にまとめました。委員会の期限のうち、30日⁠と60日は規則8条2項に、3〜5日⁠は通則編にあります。提出は報告フォームから行います。速報は、わかっている範囲で出します。

製造業で先に確かめるのは、自社が委託先の立場かどうかです。たとえば、部品メーカーが取引先の個人データを預かって名簿の管理や発送をしている場合、法26条1項ただし書⁠の委託元への通知の話になります。図面など個人情報ではない取引先の情報が含まれるときは、秘密保持の契約に基づく連絡も要ります。

手引きは、関係者への通知が難しい場合や影響が広い場合は、ウェブサイトなどで公表するとしています。公表の時期や内容は、被害の拡大を招かないよう考えます。公表や共有の考え方は、総務省などのサイバー攻撃被害に係る情報の共有・公表ガイダンス⁠が参考になります。

本人への連絡と窓口はどう動かす？

手引きは、顧客や消費者に関係する場合は受付専用の問い合わせ窓口を開くとしています。窓口には、通知と同じ内容の想定問答を渡します。

通知の文面は短くします。規則10条が求めるのは、概要、個人データの項目、原因、二次被害やそのおそれ、その他の参考事項です。原因が調査中なら、調査中と書きます。本人がとれる対策と窓口の連絡先も入れます。

窓口を外部に頼むと、JNSAのレポートでは3か月⁠で700万〜1,000万円⁠が参考値です。人数が少ないなら、総務の直通番号と専用メールで受ける方法もあります。金券を送るかどうかは、窓口を作ってから考えます（お詫びの金額と費用の内訳）⁠。

公表された時系列の例は？

実際の流れを見ると、報を重ねて伝えることがわかります。2025年⁠に公表された快活フロンティアの第五報には、対応の経緯が次のように書かれています。

規模も業種も会社によって違うので、同じ速さを求めるものではありません。ただ、検知から委員会への初報まで数日で進み、調査の完了を待っていないことは参考になります。

マニュアルはどう維持する？

作って終わりにしないために、次の3つ⁠を決めます。

• 連絡先は半年に1回確かめる。人事異動と同じ時期にすると忘れにくくなります
• 年に1回⁠、机の上で訓練する。「総務のPCからメールが漏れたら⁠」⁠と声に出して、表をたどります
• 事故の後は手順を直す。手引きも、根本原因の分析と体制や運用の改善を挙げています

文書の雛形は、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の付録5に、事故対応などのサンプル規程があります。内部の人が原因の場合の備えは内部不正対策の進め方⁠に書きました。関連の記事は情報漏えい対策のカテゴリ⁠にあります。

この記事は公開資料をもとにした一般的な整理です。個別の判断は、委員会の窓口や弁護士に確かめてください。