「個人情報が流出すると、会社はどうなるのか」。不正アクセスの痕跡を見つけた、メールを誤送信した、委託先から情報漏洩の連絡が来た――こうした状況では、担当者は短時間で多くの判断を迫られます。
個人情報の流出によって企業に起こり得ることは、大きく「個人情報保護委員会への報告・本人通知」「損害賠償や事故対応費用の発生」「行政上・刑事上の責任」「取引や売上への影響」「流出情報を利用した二次被害」の5つに整理できます。
特に注意したいのは、情報漏洩が発生した後の対応には期限があることです。ただし、すべての漏洩で一律に報告義務が発生するわけではありません。漏洩した情報の種類や人数、発生原因などを確認し、個人情報保護法上の「報告対象事態」に該当するかを速やかに判断する必要があります。
この記事では、CyberCrewのホワイトハッカーの視点から、個人情報が流出すると企業に何が起きるのかを、実際の事例、初動対応、原因、防止策まで含めて解説します。
この記事でわかること
- 個人情報が流出したときに企業へどのような影響が生じるのか
- 漏洩発覚後に企業が行うべき対応と法令上の期限
- 個人情報流出を防ぐために企業が実施すべき対策
個人情報が流出するとどうなる？企業に起こる5つのこと
個人情報が流出すると、単に「顧客へ謝罪すれば終わり」というわけにはいきません。
企業では、原因や影響範囲の調査と並行しながら、法令対応、本人への連絡、取引先への説明、システム復旧、再発防止などを進める必要があります。大規模なサイバー攻撃であれば、通常業務そのものが停止することもあります。
主な影響を整理すると次のとおりです。
| 企業に起こること | 主な影響 |
|---|---|
| 報告・本人通知への対応 | 個人情報保護委員会への速報・確報、対象者への通知 |
| 損害賠償・事故対応費用 | 賠償、調査、問い合わせ対応、お詫び対応など |
| 行政上・刑事上の責任 | 指導・助言、勧告、命令、一定の場合の刑事罰 |
| 取引・売上への影響 | 信用低下、取引条件の見直し、新規商談への影響 |
| 二次被害 | 詐欺、不正ログイン、フィッシングなどへの悪用 |
それぞれ詳しく見ていきます。
報告対象なら速やかな報告が必要｜3〜5日以内が目安
個人データの漏洩等が発生した場合、一定の条件に該当すると、個人情報保護委員会への報告が必要です。
報告対象となる主な事態は、次の4つです。
- 要配慮個人情報を含む個人データの漏洩等
- 不正利用によって財産的被害が生じるおそれがある個人データの漏洩等
- 不正の目的をもって行われたおそれがある行為による個人データの漏洩等
- 1,000人を超える本人に関する個人データの漏洩等
重要なのは、「3日以内」という固定された法定期限ではないことです。個人情報保護委員会のガイドラインでは、報告対象事態を知った場合は速やかに速報を行い、その目安を概ね3〜5日以内としています。その後、原則30日以内に確報を提出し、不正目的で行われたおそれがある事案では60日以内となります。
そのため、漏洩の疑いが判明した段階から、対象情報、人数、原因、影響範囲を整理する必要があります。
損害賠償・お詫び費用が発生する
個人情報が流出すると、被害者から損害賠償を請求される可能性があります。
ただし、「個人情報1件につき一律○円」という基準があるわけではありません。漏洩した情報の内容、秘匿性、二次被害の有無、事業者側の管理状況など、個別の事情によって判断されます。
過去の裁判例を見ると、宇治市住民基本台帳データ漏洩事件では、慰謝料1万円と弁護士費用5,000円の合計1万5,000円が認められました。エステティックTBCの情報漏洩事件では、原告の多くに1人3万5,000円の支払いを命じる判決が出ています。TBCのケースでは、氏名や住所だけでなく、関心のあるエステコースなどプライバシー性の高い情報が含まれていたことが特徴です。
一方、ベネッセの個人情報漏洩を巡る訴訟では、東京地裁が一部原告について慰謝料3,000円と弁護士費用300円、合計3,300円の賠償を認めた例もあります。
つまり、賠償額を「漏洩件数×一定金額」だけで正確に予測することはできません。
さらに企業側には、フォレンジック調査、システム復旧、問い合わせ窓口の設置、郵送・メールによる通知、弁護士への相談、再発防止策などの費用も発生します。
実際、ベネッセでは2014年の情報漏洩事故に関連し、お客様へのお詫び、問い合わせ対応、調査、情報セキュリティ対策などを含む費用として約260億円の特別損失を計上しています。
損害賠償だけを見て事故コストを見積もると、実際の経営負担を大きく過小評価する可能性があります。
行政上の措置・刑事罰の対象になる場合がある
「個人情報を漏洩したら、その時点で会社に1億円の罰金が科される」と理解するのは正しくありません。
個人情報の不適切な取り扱いが確認された場合、個人情報保護委員会は報告徴収や立入検査、指導・助言、一定の場合には勧告や命令を行うことができます。
そのうえで、個人情報保護委員会の命令に違反した行為者には、1年以下の拘禁刑または100万円以下の罰金が科される可能性があります。
また、法人の従業者等が法人の業務に関して命令違反や個人情報データベース等の不正提供・盗用を行った場合、両罰規定によって法人にも1億円以下の罰金が科される可能性があります。
さらに、従業者または元従業者が、業務で取り扱った個人情報データベース等を自己または第三者の不正な利益を図る目的で提供・盗用した場合には、本人が刑事罰の対象となる可能性があります。
したがって、「情報漏洩＝即座に1億円の罰金」ではなく、事故の原因や、その後の法令違反の内容によって行政上・刑事上の責任が問題になります。
取引停止や売上減少につながる
情報漏洩による損失は、賠償金や復旧費用だけではありません。
特にBtoB企業では、取引先から顧客情報や機密情報を預かっているケースがあります。そこで情報漏洩が発生すると、取引先から原因説明、セキュリティ対策状況、再発防止策などの提示を求められる可能性があります。
重大な管理上の問題が見つかれば、契約条件の見直し、新規発注の停止、セキュリティ監査の強化などに発展することも考えられます。
また、BtoC企業でも、利用者が「この会社に再び個人情報を預けてよいのか」と不安を持てば、解約や利用控え、新規顧客獲得への影響につながります。
ベネッセでは、情報漏洩事故後の2015年4月時点で「進研ゼミ」「こどもちゃれんじ」の会員数が前年同月比94万人減となりました。会員数の減少すべてを情報漏洩だけの影響と断定することはできませんが、事故が経営へ与え得る影響の大きさを考えるうえで無視できない事例です。
個人情報流出は、IT部門だけの問題ではなく、営業、経営、広報、法務まで巻き込む経営リスクです。
ダークウェブなどで流通し、二次攻撃に再利用される
企業から一度外部へ流出した情報は、企業側の操作だけで完全に回収することは困難です。
氏名、メールアドレス、電話番号などが流出すれば、フィッシングメールや詐欺の材料になる可能性があります。個人情報保護委員会も、漏洩後の二次被害の例として、クレジットカードやポイントの不正利用、漏洩したメールアドレスへの不審メール・詐欺メールの送信などを挙げています。
特に危険なのが、IDとパスワードなどの認証情報です。
従業員が複数サービスで同じパスワードを使い回していれば、1つのサービスから漏洩した認証情報を別のシステムへのログインに試す「パスワードリスト攻撃」に利用される可能性があります。
盗まれた認証情報や企業データが、ダークウェブ上のマーケットや犯罪者コミュニティなどで流通するケースもあります。
その結果、自社だけでなく、グループ会社、取引先、利用しているクラウドサービスなどに攻撃が広がる可能性もあります。
CyberCrewでは、ダークウェブ上に流出・売買されている企業関連のID・パスワードや機密情報などを調査・監視しています。
ダークウェブの仕組みについて詳しく知りたい方は、CyberCrewの「ダークウェブとは？」の記事も参考にしてください。
個人情報が流出した企業の被害事例
個人情報流出の影響を理解するには、実際の事例を見るのが分かりやすいでしょう。
ここでは、流出規模だけでなく、「なぜ起きたのか」「企業や組織に何が求められたのか」という点に注目して4つの事例を紹介します。
【事例1】ベネッセ｜約3,504万件の大規模流出
2014年、ベネッセコーポレーションが管理する顧客情報の大規模な流出が発覚しました。
同社の公表によると、システム開発・運用に関係していた業務委託先の元社員が顧客情報を不正に取得し、約3,504万件分の情報を名簿業者3社へ売却していました。実際に被害を受けた顧客の件数については、約2,895万件と推計されています。
流出した情報には氏名、住所、電話番号、生年月日などが含まれていました。
ベネッセは顧客への通知や問い合わせ対応を行い、対象顧客には500円分の金券をお詫びの品として用意しました。
また、事故対応、調査、セキュリティ対策などに関連して約260億円を特別損失として計上しています。
この事件で注目すべきなのは、攻撃者がインターネット経由で侵入したのではなく、委託業務に関係する人物が正規の業務環境に近い位置から情報を持ち出した点です。
ファイアウォールやウイルス対策ソフトだけでは、正規権限を持つ人間による不正利用を完全には防げません。委託先を含むアクセス権限、ログ監視、データ持ち出し制御が必要であることを示した代表的な事件です。
【事例2】エステティックTBC｜3万5,000円の賠償が認められた例
エステティックTBCのWebサイトから個人情報が流出した事件では、2007年の東京地裁判決で、原告の多くについて1人3万5,000円、1人について2万2,000円の損害賠償が認められました。
この事例のポイントは、「何件漏れたか」だけで賠償額が決まるわけではないことです。
漏洩した情報には氏名、住所、電話番号などに加え、「関心のあるエステコース名」など、本人にとってプライバシー性の高い内容が含まれていました。また、漏洩後に迷惑メールが届いたことなども指摘されています。
住所やメールアドレスだけの漏洩と、健康状態、身体に関する悩み、金融情報などが含まれる漏洩とでは、本人が受ける影響は同じではありません。
個人情報を管理するときは、「何件持っているか」だけでなく、漏れたときに本人へどの程度の不利益が生じる情報なのかまで評価する必要があります。
【事例3】従業員・委託先による情報の持ち出し
個人情報流出は、外部のハッカーだけが引き起こすものではありません。
従業員や委託先の関係者が、業務上アクセスできる顧客名簿などをUSBメモリ、クラウドストレージ、私用メールなどを通じて持ち出すケースがあります。
2025年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故について、東京商工リサーチが集計した180件のうち、「不正持ち出し・盗難」は7件確認されています。
内部不正が難しいのは、攻撃者が最初から正規アカウントを持っている場合があることです。
そのため、
- 必要以上の情報へアクセスできないようにする
- 大量ダウンロードなど異常操作を監視する
- USBメモリなどへのコピーを制御する
- 異動・退職時に権限を速やかに変更する
- 操作ログを一定期間保存する
といった仕組みが重要になります。
「従業員を信用するかどうか」という問題ではありません。内部不正が発生しても被害を広げにくくし、後から事実を確認できる仕組みを用意することが必要です。
【事例4】宇治市｜住民基本台帳データの漏洩
1998年、京都府宇治市がシステム開発を委託していた業務に関連し、再々委託先のアルバイト従業員が住民基本台帳等のデータを不正にコピーし、名簿業者へ販売する事件が発生しました。
国会答弁でも、宇治市が民間事業者へ委託した業務の再々委託先から情報が流出した経緯が確認されています。
その後の訴訟では、宇治市の使用者責任が認められ、原告について慰謝料1万円、弁護士費用5,000円の合計1万5,000円の支払いが認められました。
この事件は、委託したからといって情報管理上の問題まで相手任せにできるわけではないことを示す代表的な事例です。
現在の個人情報保護法でも、個人データの取扱いを委託する場合には、委託元には委託先に対する必要かつ適切な監督が求められます。
自社のセキュリティ対策が強固でも、業務委託先やクラウド事業者などを経由して情報が流出する可能性はあります。サプライチェーン全体を含めた管理が必要です。
個人情報以外も含めた情報漏洩事例については、CyberCrewの「情報漏洩の事例12選」でも詳しく紹介しています。
個人情報が流出した場合に企業が行うべき対応
情報漏洩が疑われる場合、重要なのは「すぐ原因を突き止めること」だけではありません。
被害拡大防止と証拠保全を両立させながら、法令上の期限に沿って対応することが必要です。
実務上の流れを大きく分けると、次のようになります。
| 時期の目安 | 主な対応 |
|---|---|
| 発覚直後〜24時間 | 被害拡大防止、証拠保全、社内エスカレーション、専門家への相談 |
| 概ね3〜5日以内 | 報告対象事態なら個人情報保護委員会へ速報 |
| 30日以内 | 確報を提出。不正目的のおそれがある事案は60日以内 |
| 状況に応じて速やかに | 対象となる本人への通知等 |
| 調査と並行 | 公表の要否判断、復旧、再発防止 |
なお「24時間以内」は法律上の期限ではなく、被害拡大を防止するための実務上の初動目安です。
24時間以内｜被害拡大の防止と証拠保全
サイバー攻撃が疑われる場合、最初に優先するのは被害の拡大防止です。
ランサムウェアなどに感染した端末であれば、LANケーブルを抜く、Wi-Fiを無効化するなどしてネットワークから隔離します。侵害されたアカウントが判明している場合は、状況を確認したうえで停止や認証情報の変更を検討します。
ただし、ここで注意したいのが安易に端末を初期化したり、電源を切ったりしないことです。
IPAは2026年に公開したインシデント初動対応の実践例で、ランサムウェアなど証拠保全が必要なケースでは「メールやファイルを削除しない」「PCの電源を切らない」などを例示しています。また、専門知識がない状態で調査すると攻撃の痕跡を消してしまう可能性があるとして、外部専門組織を確保しておくことを推奨しています。
警察庁も、ランサムウェア被害時にはネットワークから隔離する一方、調査に必要なログ等が消失する可能性があるため、機器の電源を落とさないよう案内しています。
保存すべきものには、アクセスログ、認証ログ、セキュリティ製品の検知ログ、メール、端末の状態、攻撃者との通信記録などがあります。
不正アクセスやランサムウェアが疑われる場合は、警察のサイバー犯罪相談窓口やフォレンジック対応が可能な専門事業者への相談も早い段階で検討してください。
概ね3〜5日以内｜個人情報保護委員会への速報
調査と並行して、今回の事故が個人情報保護法上の報告対象事態に該当するかを判断します。
該当する場合は、個人情報保護委員会へ速やかに速報を行います。3〜5日以内は法令上の固定期限ではなく、「速やか」の目安です。
速報時点では、すべての事実が確定している必要はありません。判明している範囲で報告します。
確報では最終的に、主に次の事項を報告します。
- 事案の概要
- 漏洩等した個人データの項目
- 対象となる本人の数
- 原因
- 二次被害またはそのおそれ
- 本人への対応状況
- 公表状況
- 再発防止措置
- その他参考事項
個人情報保護委員会はWeb上に漏洩等報告フォームと記入例を公開しています。
また、報告対象事態に該当する場合は、本人への通知も必要です。ただし、本人通知について「3〜5日以内」という同一の期限が定められているわけではなく、事案の状況に応じて速やかに行うこととされています。
本人への直接通知が困難な場合には、Webサイトでの公表や問い合わせ窓口の設置など、本人の権利利益を保護するための代替措置が認められる場合があります。
30日以内｜確報の提出と公表の判断
報告対象事態では、原則として報告対象事態を知った日から30日以内に確報を提出します。
不正な目的をもって行われたおそれがある行為による漏洩等の場合は、調査に時間を要することを考慮して60日以内です。
「30日までに原因が判明しなかったらどうするのか」と不安になる担当者も多いでしょう。
個人情報保護委員会のガイドラインでは、合理的な努力を尽くしても一部の事項が判明していない場合、期限時点で把握している内容を報告し、判明次第追完することとされています。
原因が完全に分からないからといって、報告期限そのものが自動的に延長されるわけではありません。
また、事故を必ず一般公表しなければならないわけでもありません。
個人情報保護委員会は、本人通知の代替措置として公表する場合を除き、漏洩事案の公表自体は一律に義務付けられていないとしています。ただし、事案の内容によっては公表が望ましい場合があります。反対に、公表によって被害が拡大する可能性がある場合などは、公表しない判断も考えられます。
したがって、公表のタイミングや内容については、二次被害、捜査、取引先、本人への影響などを考慮して判断することが重要です。
個人情報が流出する4つの原因
個人情報流出というと「ハッカーによる攻撃」をイメージしがちですが、原因はそれだけではありません。
2025年に上場企業とその子会社が公表した漏洩・紛失事故180件を東京商工リサーチが集計したところ、ウイルス感染・不正アクセスが116件（64.4％）、誤表示・誤送信が37件（20.5％）、紛失・誤廃棄が18件（10.0％）、不正持ち出し・盗難が7件（3.8％）でした。
つまり、現在はサイバー攻撃による大規模事故が目立つ一方、人的ミスや内部不正も依然として発生しています。
外部からのサイバー攻撃
近年、個人情報漏洩の大きな原因となっているのが外部からのサイバー攻撃です。
代表的な手口には次のものがあります。
不正アクセス
VPN機器、Webアプリケーション、クラウドサービスなどの脆弱性や認証上の弱点を悪用してシステムへ侵入します。
個人情報保護委員会の2024年度年次報告でも、不正アクセスによる漏洩等の原因として、公開済みの脆弱性を放置していたケース、推測されやすいID・パスワード、設定ミスによる不適切なデータベースアクセス制御などが挙げられています。
マルウェア感染
メール添付ファイルや侵害されたWebサイトなどを経由してマルウェアへ感染し、端末内の認証情報やファイルを窃取されるケースがあります。
フィッシング
偽のログインページへ誘導し、従業員のIDやパスワードを盗みます。盗まれた認証情報がクラウドサービスやVPNへの侵入に利用される場合があります。
ランサムウェアでは、データを暗号化するだけでなく、事前に情報を窃取し、「公開されたくなければ金銭を支払え」と迫る二重恐喝型の攻撃も確認されています。
内部不正による持ち出し
従業員や委託先関係者が、顧客情報や営業秘密などを意図的に持ち出すケースです。
動機には、転職先への情報持ち出し、金銭目的、個人的な利用、組織への不満などが考えられます。
こうした事故では、「アクセスできたこと」自体が問題になるケースがあります。
たとえば一般社員が業務上必要のない数十万人分の顧客情報まで閲覧・ダウンロードできるのであれば、情報を持ち出そうとする人物にとって非常に有利な環境です。
最小権限の原則に基づいて、必要な人が必要な情報だけにアクセスできるようにし、大量ダウンロードや通常と異なる時間帯のアクセスなどを検知できる仕組みを整える必要があります。
人的ミス
悪意がなくても個人情報は流出します。
代表的なのが、メールの宛先間違い、CCとBCCの取り違え、誤ったファイルの添付、クラウドストレージの公開設定ミス、パソコンやUSBメモリの紛失などです。
人的ミスだからといって、「悪意がなかったので問題ない」とはなりません。
その事故が個人情報保護法上の報告対象事態に該当するのであれば、原因が不正アクセスであっても誤操作であっても、必要な報告・通知への対応が求められます。
ただし、すべての人的ミスで報告義務が生じるわけではありません。漏洩した情報の種類、人数、二次被害のおそれなどから個別に判断する必要があります。
人間がミスをしないことを前提にするのではなく、誤送信防止、アクセス制御、承認フローなどによって「ミスをしても重大事故になりにくい仕組み」を作ることが重要です。
委託先・サプライチェーン経由の流出
自社のセキュリティ対策が十分でも、委託先を経由して個人情報が漏洩することがあります。
ベネッセ事件、宇治市の住民基本台帳データ漏洩事件はいずれも、委託・再委託の関係を考えるうえで重要な事例です。
現在の企業システムでは、クラウドサービス、システム開発会社、保守会社、コールセンター、決済サービスなど、多数の外部事業者が個人データの処理に関わっています。
したがって、「自社ネットワークが安全なら大丈夫」とは言えません。
委託する個人データの範囲、委託先の安全管理措置、再委託の有無、アクセス権限、事故発生時の連絡体制などを事前に確認しておく必要があります。
個人情報の流出を防ぐ基本の対策
個人情報流出を100％防ぐ方法はありません。
一方、事故につながりやすい基本的な弱点を減らすことで、発生可能性と被害範囲を下げることはできます。
まず取り組みたいのは、アクセス権限、暗号化、社内ルール、従業員教育の4つです。
アクセス権限を最小限に管理する
個人情報へアクセスできる人を、業務上必要な範囲に限定します。
これを「最小権限の原則」と呼びます。
営業担当者が担当顧客の情報だけを閲覧できれば業務上十分なのであれば、全顧客データをダウンロードできる権限を与える必要はありません。
特に注意したいのが、人事異動と退職です。
以前の部署で必要だった権限がそのまま残っていたり、退職者のアカウントが停止されていなかったりすると、不正アクセスや内部不正の入口になります。
アカウント作成時だけでなく、異動、休職、退職などのタイミングで定期的に権限を棚卸しする仕組みを作りましょう。
管理者権限や外部からアクセス可能なアカウントについては、多要素認証を組み合わせることも重要です。
データを暗号化する
個人情報は、保存時と通信時の両方で適切に保護する必要があります。
通信時にはTLSなどを用いて盗聴を防止し、重要なデータを保存する場合には、リスクに応じてデータベースやストレージ、端末などの暗号化を検討します。
暗号化は、個人情報保護法上の漏洩等報告を考えるうえでも意味があります。
漏洩した個人データについて、第三者が見読可能な状態にすることが困難な高度な暗号化等が適切に実施され、復号鍵も適切に管理されている場合には、報告対象から除外される場合があります。
ただし、「暗号化している」というだけで自動的に報告不要になるわけではありません。
暗号方式の安全性、実装状態、復号鍵の管理まで含めた判断が必要です。
社内ルールを整備する
個人情報を取り扱うルールを明文化します。
少なくとも、
- 個人情報を保存してよい場所
- 私物端末への保存可否
- USBメモリなど外部媒体の利用
- 社外への持ち出し
- クラウドサービスの利用
- データの廃棄方法
- インシデント発生時の連絡先
などは決めておきたいところです。
特に重要なのが、事故発生時の連絡ルールです。
従業員が誤送信に気づいたにもかかわらず、「怒られるかもしれない」と考えて翌日まで報告しなければ、対応開始が遅れます。
セキュリティインシデントは、早期に把握できるほど被害を抑えやすくなります。
ルールを作るだけではなく、「誰へ」「何を」「どの方法で」報告するのかまで従業員が分かる状態にしておくことが重要です。
従業員教育を実施する
情報漏洩防止では、従業員教育も欠かせません。
フィッシングメールの見分け方、パスワード管理、個人情報の持ち出しルール、生成AIやクラウドサービスの利用ルールなど、実際の業務に合わせて教育する必要があります。
ただし、年1回資料を読ませるだけでは十分とは言えません。
標的型メール訓練やインシデント対応訓練などを組み合わせ、「知っている」だけではなく「実際に行動できるか」を確認することが大切です。
攻撃手法や利用するITサービスは変化するため、教育内容も定期的に見直す必要があります。
情報漏洩の対策ならCyberCrew
アクセス権限を見直し、暗号化し、社内ルールを整備して教育を実施する。これらは個人情報流出を防ぐための基本です。
しかし、「対策を導入していること」と「実際の攻撃に対して機能すること」は同じではありません。
個人情報保護委員会の年次報告でも、公開済みの脆弱性を放置していた、推測されやすい認証情報を使っていた、データベースのアクセス制御が設定ミスで不適切だった、といったケースが確認されています。
企業側が「設定したつもり」「導入したつもり」でも、攻撃者から見れば突破可能な状態になっていることがあります。
CyberCrewでは、この問題を攻撃者の視点から検証します。
ペネトレーションテストでは、Webアプリケーション、クラウド、ネットワークなどを対象に、単に脆弱性を列挙するだけでなく、実際に攻撃が成立するか、どの情報まで影響が及ぶかを検証します。
Redチーム演習では、実際の攻撃者を想定したシナリオで模擬攻撃を行い、EDRやSIEMなどの防御製品だけでなく、SOCや社内担当者が攻撃を「検知できるか」「止められるか」「適切に対応できるか」を評価します。
そしてダークウェブモニタリングでは、自社の対策を確認するだけでなく、すでにID・パスワードや機密情報などが社外へ流出していないかを外部から調査・監視します。
この3つは役割が異なります。
- ペネトレーションテスト：今、侵入できる弱点がないか
- Redチーム演習：侵入されたとき、組織が検知・対応できるか
- ダークウェブモニタリング：すでに外部へ情報が漏れていないか
サイバー保険も重要な選択肢ですが、基本的には事故発生後の経済的負担を軽減するためのものです。保険に加入しただけで情報漏洩そのものを防げるわけではなく、顧客や取引先からの信用低下を元に戻せるわけでもありません。
個人情報漏洩が発生してから、数週間から数か月にわたって調査、復旧、法令対応、顧客対応を続けることを考えれば、平時から「実際に攻撃を受けたらどうなるのか」を検証しておく意義は大きいといえます。
自社のセキュリティ対策が本当に機能しているか確認したい場合や、情報漏洩の可能性があり原因調査が必要な場合は、CyberCrewへご相談ください。
個人情報の流出に関するよくある質問
最後に、個人情報流出が発生した際によくある疑問について整理します。
実際の報告義務や法的責任は事案ごとに異なるため、判断に迷う場合は個人情報保護委員会、弁護士、フォレンジック・セキュリティ事業者などの専門家へ早めに相談することが重要です。
Q. 1件の漏洩でも報告義務がありますか？
1件でも報告義務が発生する可能性があります。
個人情報保護法上の報告対象事態は、単純な「件数」だけで決まるわけではありません。
要配慮個人情報を含む場合、不正利用による財産的被害のおそれがある場合、不正目的の行為による漏洩等の場合には、1件であっても報告対象になり得ます。
一方、「本人の数が1,000人を超える」という条件も別途存在します。
そのため「1,000件以下なら報告しなくてよい」という理解は誤りです。情報の内容と事故の性質を含めて判断してください。
Q. 漏洩した場合はどこに相談すればいいですか？
内容によって相談先が異なります。
個人情報保護法上の報告や本人通知については個人情報保護委員会、不正アクセスやランサムウェアなど犯罪の可能性がある場合は警察のサイバー犯罪相談窓口が相談先になります。
IPAも中小企業向けのセキュリティインシデント対応資料などを公開しています。
一方、侵入経路、漏洩した情報、攻撃者の行動などを技術的に特定するには、フォレンジックやインシデントレスポンスを扱う専門事業者による調査が必要になる場合があります。
重要なのは、「原因が分かってから相談する」のではなく、証拠が残っている早い段階で専門家へ相談することです。
Q. お詫びの品は必ず用意すべきですか？
お詫びの品を配布すること自体が、個人情報保護法で一律に義務付けられているわけではありません。
事故の内容、漏洩した情報、対象人数、二次被害、顧客との関係などを考慮して各企業が判断します。
過去には、ベネッセが個人情報漏洩の対象となった顧客に対し、500円分の電子マネーギフトまたは図書カードをお詫びの品として用意した例があります。
ただし、この500円を一般的な「相場」と考えるべきではありません。
仮に100万人へ500円分を配布すれば、それだけで5億円です。さらに郵送、問い合わせ対応などの費用が加わります。
お詫びの品の有無や金額は、事故対応全体の中で慎重に判断する必要があります。
Q. 従業員に損害賠償を請求できますか？
状況によっては請求できる可能性がありますが、従業員が原因だからといって、会社が被った損害の全額を当然に請求できるわけではありません。
特に通常の業務中に生じた過失の場合、会社側の管理体制や事故防止策、業務の内容、従業員の過失の程度などを踏まえて判断されます。
最高裁判例でも、使用者から被用者への求償について、事業の性格や規模、業務内容、加害行為の態様、使用者側の損害防止への配慮などを考慮し、「損害の公平な分担」という観点から信義則上相当な範囲に制限されるという考え方が示されています。
一方、従業員が不正利益を目的として個人情報データベースを意図的に提供・盗用するような行為は、個人情報保護法上の刑事罰が問題になる可能性もあります。
事故発生時には、個人への責任追及だけを急ぐのではなく、まず被害拡大の防止、原因究明、再発防止を優先することが重要です。
Q. 原因が分からないまま確報の期限が来たらどうなりますか？
原因が完全に判明していなくても、報告期限を迎えた場合は、合理的な調査を尽くしたうえでその時点で把握している内容を提出します。
個人情報保護委員会のガイドラインでは、確報の期限までに一部の事項が判明していない場合、その時点で把握している内容を報告し、判明次第追完することとされています。
だからこそ、発覚直後の証拠保全が重要です。
端末の初期化、ログの削除、安易な再起動などによって攻撃の痕跡を失うと、「原因がまだ分からない」のではなく「原因を調べる材料そのものがない」という状態になりかねません。
平時からログを保存し、インシデント時に誰へ連絡するか決めておくことが、事故後の調査能力にも直結します。
まとめ：個人情報の流出から自社を守るために
個人情報が流出すると、企業にはさまざまな影響が生じます。
報告対象事態であれば個人情報保護委員会への報告と本人への通知が必要になり、損害賠償、フォレンジック調査、問い合わせ対応、復旧、再発防止などの費用も発生します。事故の内容によっては行政上・刑事上の責任が問題になり、顧客や取引先からの信用にも影響します。
さらに、流出した認証情報や個人情報は、フィッシング、不正ログインなど別の攻撃に利用される可能性があります。
事故が発生した場合は、被害拡大を防ぐと同時に証拠を保全し、報告対象事態に該当するかを速やかに確認することが重要です。報告対象であれば速報は概ね3〜5日以内を目安に行い、原則30日以内、不正目的の行為による事案では60日以内に確報を提出します。
予防では、アクセス権限の最小化、暗号化、社内ルール、従業員教育といった基本対策が欠かせません。
しかし、対策で本当に重要なのは、「実施しているか」ではなく「実際に機能しているか」です。
設定ミスや認証・認可の不備、複数の弱点を組み合わせた侵入経路などは、自社の確認だけでは見つからない場合があります。また、すでにダークウェブなどへ流出している情報は、社内システムだけを確認しても分かりません。
CyberCrewでは、ペネトレーションテスト、Redチーム演習、ダークウェブモニタリングなどを通じ、攻撃者の視点から企業のセキュリティ対策が実際に機能するかを検証しています。
「個人情報が漏れた可能性があり、何から対応すればよいか分からない」「対策はしているが、本当に安全なのか確認したい」という場合は、早い段階で専門家への相談をご検討ください。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
