個人情報漏えいが発覚した直後にすること｜初動・証拠保全・社内分担

発覚直後は被害拡大防止と証拠保全を並行する

個人情報保護委員会のガイドラインは、責任ある立場への直ちの報告、被害拡大防止、事実関係と原因の調査、影響範囲の特定、再発防止、委員会への報告・本人通知を挙げています。順番待ちにするのではなく、役割を分けて並行させることが重要です。

例えば共有リンクの設定ミスなら、公開や閲覧が続いている経路は速やかに遮断します。同時に、別の担当者がURL、権限設定、アクセス履歴、発見日時を画面保存・ログ保存し、遮断操作そのものも記録します。保存作業の完了を待って被害を広げないことが重要です。不正アクセスなら、侵害が疑われるアカウントの停止や認証情報の変更を行いつつ、ログの上書きを止め、端末・サーバーの状態を保全します。端末の電源断が適切かは状況により異なるため、独断で初期化や再インストールをしないでください。

• 発見者、発見時刻、発見経路を記録する
• 公開URL・宛先・添付物・権限設定を画面保存する
• ログの保存期間を確認し、消失や上書きを防ぐ
• 拡散経路を止めるが、元データや証拠は削除しない
• 外部への説明は一本化し、推測を事実として発信しない

一枚の事実表と四つの担当を置く

初動会議では、①何が起きたか、②いつからいつまでか、③どの情報項目か、④何人か、⑤閲覧・取得された可能性、⑥現在の封じ込め、⑦未確認事項を一枚に集約します。更新履歴と根拠を付け、『確認済み』『推定』『未確認』を分けます。

統括責任者は意思決定と期限管理、調査担当は証拠保全と影響範囲、法務担当は報告対象性・契約・本人対応、広報担当は問い合わせ・通知・公表を受け持ちます。小規模企業でも兼務を明示すれば、誰かがやるだろうという空白を防げます。AIは大量のログや問い合わせの整理、時系列化、文案の比較に役立ちますが、秘密情報を無許可の外部AIへ入力せず、結論と対外説明は人が根拠を確認します。

• 統括：判断、期限、経営報告
• 調査：ログ、端末、アクセス範囲
• 法務：法令、委託契約、保険通知、報告・通知
• 広報・顧客対応：窓口、本人説明、公表、想定問答

相談前にそろえる資料

資料が完全になるまで相談を待つ必要はありません。分からない点を明示し、更新可能な形で渡します。サイバー保険や賠償責任保険がある場合、事故通知期限、事前承認が必要な費用、指定業者の有無を確認します。補償の可否や支払額は契約と保険会社の判断によります。

• 発覚から現在までの時系列
• 漏えいした可能性のある項目と対象人数
• システム構成の概要、関係する委託先一覧
• ログ、メール、画面、端末管理情報の所在
• プライバシーポリシー、社内規程、委託契約
• 保険証券と事故連絡先
• すでに行った封じ込め措置と未解決事項

判断記録は結論だけでなく根拠と時点を残す

事故対応では、その時点で情報が足りない中でも判断が必要です。『報告対象外と判断』だけでなく、誰が、いつ、どの資料を基に、どの未確認事項を残して判断したかを記録します。新事実が判明したら旧判断を消さず、更新理由を追記します。これにより、速報後の追完、本人通知の範囲変更、保険会社への説明を同じ経緯から組み立てられます。

会議メモには決定事項、保留事項、次の確認担当、期限を置きます。人数や情報項目は集計条件も残し、推測値が確定値に見えないようにします。法務評価と技術調査結果を一つに混ぜず、相互に参照できる形にします。

• 判断日時、判断者、参照資料
• 確認済み事実と仮説の区別
• 採用しなかった選択肢と理由
• 次回見直し条件と担当者

連絡マトリクスで連絡漏れと二重発信を防ぐ

連絡先を『規制当局』『本人』『取引先・委託先』『警察』『保険会社』『社内』に分け、連絡要否、期限、担当、承認者、実施証跡を一覧にします。委員会への報告とは別に、業法上の監督官庁報告や契約上の事故通知が必要な場合があります。保険は調査会社の起用前に承認が必要な契約もあるため、約款に基づいて確認します。

対外窓口を一本化しても、現場が新しい事実を上げられなければ意味がありません。発見者から統括への内部経路と、統括から外部への発信経路を分けます。誰に何を送ったかを保存し、口頭連絡は日時・相手・要旨を記録します。

• 連絡先、期限、担当、承認者
• 第一報、更新、完了報告の区分
• 送信文面と受領確認の保存
• 夜間休日の緊急連絡経路