「漏洩を検知したかもしれないが、まず何をすればいいか分からない」――中堅企業の情報セキュリティ責任者が直面する最も切迫した瞬間が、最初の 72 時間だ。 改正個人情報保護法では、一定要件を満たす漏洩等は個人情報保護委員会への報告と本人通知が義務化されており、速報の期限も明確化された。本記事は中堅企業（200-500 名）向けに、検知から 72 時間で何を判断し、誰に連絡するかの決定フローを整理する。
目次
- 改正個情法における報告義務の概要
- 72 時間タイムライン全体像
- 0-1 時間：初動と封じ込め判断
- 1-6 時間：影響範囲確定と社内連絡
- 6-24 時間：速報判断と外部連絡先
- 24-72 時間：本人通知と確報準備
- 事案類型別の判断分岐
- 社内連絡網と外部連絡先テンプレ
- よくある質問（FAQ）
改正個情法における報告義務の概要
改正個人情報保護法（個情法）では、以下の事案で個人情報保護委員会（個情委）への報告と本人通知が義務化されている（個情委ガイドライン参照）。
| 報告対象事案 | 概要 |
|---|---|
| 要配慮個人情報の漏洩等 | 病歴・犯罪歴等の漏洩・滅失・毀損 |
| 不正アクセス等によるおそれ | サイバー攻撃で漏洩のおそれが生じた場合 |
| 財産的被害が生じるおそれ | クレジットカード番号等の漏洩 |
| 1000 人超の漏洩等 | 件数規模で報告対象 |
72 時間タイムライン全体像
| 経過時間 | 主要アクション | 判断ポイント |
|---|---|---|
| 0-1h | 検知・封じ込め | サーバ隔離可否 |
| 1-6h | 影響範囲特定 | 件数・要配慮の有無 |
| 6-24h | 速報判断・外部連絡 | 個情委・警察・保険会社 |
| 24-72h | 本人通知準備・確報草案 | 通知文面・代替措置 |
0-1 時間：初動と封じ込め判断
| 判断 | 選択肢 | 留意点 |
|---|---|---|
| サーバ隔離 | 即時隔離／観測継続 | 隔離は揮発性証拠を失うリスク |
| ネットワーク遮断 | 全社／対象セグメント | 業務影響と封じ込めの天秤 |
| アカウント無効化 | 該当／全員パスワード変更 | 攻撃者の追加アクセス防止 |
「観測継続」を選ぶ場合でも、調査ログとアクセス制限の両輪で進めること。
1-6 時間：影響範囲確定と社内連絡
影響範囲の確認項目
- 漏洩・漏洩のおそれの種別（個人情報／要配慮／決済情報／その他）
- 件数（概算でも可）
- 影響対象（顧客／従業員／取引先）
- 漏洩経路（外部不正アクセス／内部不正／誤送信／紛失）
社内連絡網（標準）
| 順序 | 連絡先 | 役割 |
|---|---|---|
| 1 | CISO / 情報セキュリティ責任者 | 全体指揮 |
| 2 | 法務責任者 | 報告義務の法的判断 |
| 3 | 経営層（社長 / COO） | 対外開示判断 |
| 4 | 広報責任者 | プレスリリース準備 |
| 5 | カスタマーサポート責任者 | 問い合わせ対応準備 |
6-24 時間：速報判断と外部連絡先
速報の発動条件チェック
外部連絡先（標準）
| 連絡先 | 連絡タイミング | 目的 |
|---|---|---|
| 個人情報保護委員会 | 速報期限内 | 法定報告 |
| 所轄警察 / サイバー犯罪相談窓口 | 不正アクセス確認時 | 被害届 / 捜査協力 |
| サイバー保険会社 | 検知早期 | 保険金請求準備 |
| 顧問弁護士 | 検知早期 | 法的助言 / 通知文面レビュー |
| インシデント対応ベンダ | 必要時 | フォレンジック / 復旧支援 |
| 業界 CSIRT / 業界 ISAC | 任意 | 横断情報共有 |
24-72 時間：本人通知と確報準備
本人通知の判断
本人通知は速報報告対象事案で原則必要。通知が困難な場合は代替措置（公表等）が認められることがあるため、ガイドラインを参照しつつ法務判断する。
通知文面の必須要素
- 漏洩等が発生した旨と概要
- 漏洩等した個人情報の項目
- 漏洩等が生じた原因
- 二次被害またはそのおそれの有無と内容
- 本人が取り得る措置（パスワード変更等）
- 問い合わせ窓口
確報の準備
確報は 30 日以内（不正アクセス等は 60 日以内）に提出。原因分析と再発防止策が中核となるため、フォレンジック調査の進捗と並行で文書化する。
事案類型別の判断分岐
| 類型 | 初動の優先 | 特有の留意点 |
|---|---|---|
| 外部不正アクセス | 通信遮断 / 痕跡保全 | 攻撃の継続有無確認 |
| ランサムウェア | 隔離 / バックアップ確認 | 身代金は単独判断せず（後述記事参照） |
| 内部不正 | 該当者アクセス停止 / 監査 | 労務 / 人事と協調 |
| 誤送信 | 受信者への削除依頼 | 削除証跡の保全 |
| 端末紛失 | リモートワイプ / GPS 確認 | 暗号化有無で報告判断変動 |
| 委託先からの漏洩 | 委託先と報告分担 | 個情委への報告主体の整理 |
社内連絡網と外部連絡先テンプレ
| 項目 | テンプレ |
|---|---|
| 一斉連絡用文面 | 「インシデント検知。○○時に CISO 主催の対策本部を招集。〜」 |
| 個情委への速報文面骨子 | 概要 / 種別 / 件数 / 原因 / 二次被害 / 対応状況 |
| 本人通知メール骨子 | お詫び / 概要 / 項目 / 原因 / 措置 / 問い合わせ窓口 |
| プレスリリース骨子 | 事実関係 / 影響範囲 / 対応 / 再発防止 / 問い合わせ |
「インシデント対応の体制が不安、緊急時の連絡先も決まっていない」
CSIRT 立上げ支援とインシデント対応リテーナーで、24 時間体制を構築します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
よくある質問（FAQ）
Q. 漏洩のおそれだけで報告が必要か？ A. 不正アクセス等で漏洩のおそれが生じた場合は報告対象になり得る。確定的な漏洩証拠が揃う前でも判断が必要なため、個情委ガイドラインと弁護士助言で発動を確定する。
Q. 暗号化された端末紛失は報告対象か？ A. 解読困難な暗号化が施されている場合は報告対象外となる余地があるが、暗号化の強度・鍵管理の状況により判断が分かれるため、ガイドラインを参照のこと。
Q. 速報期限内に詳細が確定しない場合は？ A. 速報は判明している範囲で提出し、追加情報は確報で補足する運用が一般的。期限超過よりも、現時点情報での速報が優先される。
Q. 中小事業者でも対象か？ A. 取扱う個人データの規模に関わらず適用範囲となるため、中小であっても対応設計が必要。
参考資料
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- 経済産業省「サイバーセキュリティ経営ガイドライン」
- IPA「情報セキュリティ早期警戒パートナーシップガイドライン」
中堅企業のインシデント対応体制設計、CSIRT 立上げ、個情法対応文書整備は GXO のセキュリティ支援サービスで対応可能です。