情報漏えいが起きたら最初の24時間に何をするか — 中小企業の初動ガイド

情報漏えいへの初動対応とは、被害の発生に気づいてから最初の24時間程度の間に、被害の拡大を防ぎ、必要な連絡や記録を行うための一連の動きを指す。中小企業では専門部署がないことも多く、いざというときに何から手をつければよいか分からないという声は少なくない。本稿では、初動対応の基本原則と、最初の24時間で確認すべき項目を整理する。

情報漏えいは、外部からの不正アクセスだけでなく、メールの誤送信や設備の紛失、委託先経由の事故など、様々な経路で発生し得る。原因や規模にかかわらず、発覚直後の対応の巧拙が、その後の被害の広がりや取引先・顧客からの信頼回復のしやすさに影響すると考えられている。あらかじめ初動の流れを把握しておくことは、実際に事故が起きた際の混乱を減らすことにつながる。

情報漏えいの初動対応では、一般に次の3つが原則とされる。第一に「隠さない」こと。事実を隠したり過小に扱ったりすると、後になって発覚した際の信頼低下がより大きくなる傾向がある。第二に「広げない」こと。被害が疑われるシステムやアカウントを速やかに切り離し、被害範囲がそれ以上拡大しないようにする。第三に「記録する」こと。いつ、誰が、何に気づき、どう対応したかを時系列で記録しておくことは、後の報告や再発防止の検討に不可欠になる。

情報漏えいの被害は、発覚直後の対応次第で範囲が変わり得る。たとえば、不正アクセスに気づいてからネットワークを遮断するまでの時間が長引けば、その分だけ被害が拡大する可能性がある。また、対外的な説明が後手に回ると、取引先や顧客からの信頼低下、風評面での影響が長引くことにもつながりかねない。初動の遅れは、技術的な被害だけでなく、事業継続や取引関係にも波及するリスクを持つ。

以下は、情報漏えいの疑いに気づいた際、最初の24時間を目安に確認・実施したい項目の例である。実際の対応は事案の内容や規模によって異なるため、あくまで一般的な流れとして参考にしていただきたい。

- 被害範囲の特定: どのシステム・データ・関係者が影響を受けた可能性があるかを確認する
- 被害の拡大防止: 疑わしいアカウントの無効化、該当システムのネットワーク遮断などを検討する
- パスワードの変更: 影響を受けた可能性があるアカウントのパスワードを速やかに変更する
- 社内の情報共有: 経営層・関係部署に事実関係を共有し、対応体制を決める
- 専門機関・警察相談窓口への相談: 状況に応じて警察のサイバー犯罪相談窓口や外部の専門家に相談する
- 取引先への一報: 影響が及ぶ可能性がある取引先には、判明している範囲で早めに一報を入れる
- 記録の作成: 気づいた時刻、対応内容、判断の根拠を時系列で記録する

漏えいした情報に個人情報が含まれる場合、個人情報保護法に基づき、一定の要件を満たす事案では個人情報保護委員会への報告や本人への通知が義務付けられている場合がある。報告が必要となる要件や期限、対象となる情報の範囲は事案によって異なるため、判断に迷う場合は自己判断せず、個人情報保護委員会の公式サイトや弁護士など専門家に早めに確認することを強く推奨する。

初動対応では、良かれと思った行動が状況を悪化させることもある。証拠となり得るログやファイルを安易に削除・上書きしてしまうと、後の原因調査が難しくなる。また、事実関係が固まる前に断定的な発表を行うと、後の訂正が新たな信頼低下を招くこともある。担当者個人の判断だけで対外対応を進めるのではなく、社内の意思決定ラインを明確にしておくことも重要である。

- 証拠になり得るログ・端末・ファイルを削除、初期化する
- 事実関係が固まる前に対外的な断定発表をする
- 個人の判断だけで公表や関係者対応を進める
- 大したことはないと自己判断し、確認や相談を先送りする

初動対応をスムーズに行うためには、平時からの備えが土台になる。誰が第一報を受け、誰が意思決定するかという連絡体制をあらかじめ決めておく、警察や専門家の相談窓口の連絡先を控えておく、ログを一定期間保存する設定にしておくといった準備は、いずれも大きな投資を伴わずに進められる。

情報漏えいの初動対応は、隠さない・広げない・記録するという3原則を軸に、最初の24時間でやるべきことを事前に把握しておくことが土台になる。個人情報が関わる場合の報告義務など、法的な判断が必要な場面では自己判断せず、個人情報保護委員会や弁護士など専門機関への確認を優先したい。中小企業のITリスク対策全般については中小企業のITリスク対策ガイド、被害発生の主な原因の一つであるランサムウェアについては中小企業のためのランサムウェア対策基礎、事後対応にかかる費用の備えについては中小企業のためのサイバー保険基礎もあわせて参考にしていただきたい。