インシデント報告先チェックリスト2026｜個情委・所管官庁・警察へいつ何を報告するか

セキュリティインシデントが起きたとき、経営者と実務担当者が最初につまずくのは「復旧の手順」ではなく「報告」です。どこに連絡すればいいのか、それは義務なのか任意なのか、期限はいつまでか、どんな様式で何を書くのか。ここが整理できていないと、報告が遅れて信用を落とすか、逆に確定していない事実まで断定して二次的な混乱を生みます。

この記事は「報告」に特化して、どこへ・いつまでに・何を出すかを一次情報ベースで仕分けます。被害を止める初動や復旧の順番そのものは別の実務論点なので、社内フローの型が必要な方はインシデント対応支援の考え方も併せて確認してください。ここでは報告先の判定に集中します。

先に結論：報告は「義務の宛先」と「任意の宛先」を仕分ける

報告先の一覧をただ眺めても判断はできません。宛先ごとに「法的義務か・任意の相談か」「期限があるか」「決まった様式があるか」が違うからです。まず頭に入れるべきは次の5つの宛先と、その性質の違いです。

この表の要点は、個人情報保護委員会と所管官庁と取引先は「義務」、警察とJPCERT/CCは「任意」だということです。JPCERT/CCに連絡すれば法令上の報告が済むわけではありません。逆に、義務の宛先を「相談すれば足りる」と誤解すると、期限のある報告を落とします。報告の巧拙は、この義務・任意の仕分けを発覚直後に固定できるかで決まります。

そのうえで、社内で最初に確定すべきは「誰が報告主体になるか(経営判断者・法務窓口)」「どの事実が確定していて、どこが調査中か」「本人通知や公表の要否」の3点です。宛先を選ぶ前に、この3点が揺れていると、報告文面が宛先ごとにバラバラになり、後で矛盾が露見します。

この記事を読むべき人

次のいずれかに当てはまる経営者・事業責任者・情報システム担当者に向けています。社内に専任のセキュリティ人材がおらず、いざというとき「どこに報告すればいいのか」を調べるところから始まる会社ほど、平時に読んでおく価値があります。

• 顧客情報・従業員情報・採用応募者情報・取引先担当者情報を扱っており、漏えい時の報告先を把握していない
• ランサムウェア感染や不正アクセスが疑われ、個人情報保護委員会に報告すべきか迷っている
• 電気通信・金融・医療など、業法で事故報告が求められる業種で事業をしている
• 取引先から「セキュリティ事故が起きたら◯時間以内に報告」という契約条項を結んでいる、または結ばされそう
• 過去のインシデントで、報告の遅れや文面の不備を指摘された、または報告書の再提出を求められた
• ひとり情シス・兼任情シスで、報告判断を一人で背負うことに不安がある

報告は法務・技術・広報が同時に関わる作業です。技術担当だけ、あるいは経営者だけで完結しないため、平時に「誰がどの宛先を担当するか」を割り振っておくことが、この記事の一番の狙いです。

報告先マップ：5つの宛先と義務性の見分け方

宛先を選ぶときは、インシデントの中身を「個人データが絡むか」「業法対象か」「犯罪被害か」「契約があるか」の4つの軸で切ります。1件のインシデントが複数の軸に同時にかかることは珍しくなく、そのときは義務の宛先すべてに、それぞれの期限で報告する必要があります。

義務の宛先(個人情報保護委員会・所管官庁・取引先)は、たとえ復旧が終わっていなくても、期限内に「その時点で分かっていること」を報告します。任意の宛先(警察・JPCERT/CC)は、被害の性質や自社のリソースに応じて、必要なら早めに相談するという位置づけです。この義務・任意の線引きを間違えると、「JPCERTに連絡したから安心」といった判断ミスにつながります。

個人情報保護委員会への漏えい等報告：4類型・期限・記載項目

中小企業のインシデントで最も判定を迷うのが、個人情報保護委員会(PPC)への漏えい等報告です。個人情報保護委員会の公開情報によれば、報告が必要になるのは次の4類型のいずれかに該当する場合とされています(要約は当社によるもので、正確な要件は必ず公式案内を確認してください)。

1. 要配慮個人情報が含まれる漏えい等(人種・信条・病歴・犯罪の経歴など)
2. 財産的被害のおそれがある漏えい等(クレジットカード番号を含む個人データなど)
3. 不正の目的をもって行われたおそれがある行為による漏えい等(不正アクセス、ランサムウェアによる暗号化、従業者による持ち出しなど)
4. 本人の数が1,000人を超える漏えい等(発覚後に1,000人を超えた場合も含む)

ここで注意したいのは、「不正アクセスやランサムウェアが疑われる時点で、件数が少なくても第3類型に当たり得る」という点です。中小企業では「まだ数件しか確認できていないから報告不要」と早合点しがちですが、原因が不正アクセスなら件数に関係なく報告対象になり得ます。件数のハードル(第4類型の1,000人)だけで判断しないことが、最初の落とし穴を避けるコツです。

速報と確報：期限は2段階

個人情報保護委員会は、報告を速報と確報の2段階に分けています。二次情報の各法律事務所解説とも整合していますが、日数の根拠は公式案内にあります。

速報の段階で全てが確定している必要はありません。むしろ、確定した事実・未確定の事項・今後の調査予定を混ぜずに書くことが求められます。実務で失敗するのは、速報を出し渋って3〜5日を過ぎるケースと、逆に確定していない件数や原因を速報で断定してしまい、確報で数字が変わって信用を落とすケースです。「今わかっていること」と「これから調べること」を分けて書く姿勢が、両方の失敗を防ぎます。

確報で書く項目

確報では、概要・漏えいした個人データの項目・対象となった本人の数・原因・二次被害またはそのおそれの有無と内容・本人への対応状況・公表の実施状況・再発防止のための措置などを求められます。これらは発生後に急いで集めようとすると時間がかかるため、平時に「どのシステムに何の個人情報があるか」の台帳を持っているかどうかで、報告のスピードが大きく変わります。

本人への通知も忘れない

報告義務が生じる場合、原則として本人への通知も必要になります。二次情報の解説では、通知は「事態の状況に応じて速やかに」、方法は電子メールなど本人にとって分かりやすい形で行い、通知が困難な場合は問い合わせ窓口の設置や公表といった代替措置を取る、と整理されています。PPCへの報告だけで完結せず、本人通知と公表の要否も同じ土俵で検討する必要があります。

ランサムウェアは共通様式が使える

個人情報保護委員会は、ランサムウェア事案による個人データの漏えい等またはそのおそれについて、政府全体の方針に沿った共通様式で報告できることを案内しています。公開情報では令和7年(2025年)10月1日以降に共通様式(Excel)による提出が可能とされ、専用のメール窓口も設けられています。ランサムウェア被害では、暗号化されただけで持ち出しの証拠がなくても「漏えいのおそれ」として報告対象になり得る点に注意が必要です。

業法・所管官庁への事故報告：業種で宛先が変わる

個人情報保護委員会への報告とは別に、業種によっては業法に基づく事故報告が求められます。二次情報の各社解説を総合すると、代表的なものは次の通りです。自社が対象業種かどうかは、必ず所管官庁の公式ガイドラインで確認してください。

重要インフラ14分野に該当する事業では、個人情報の観点だけでなく、事業継続やサービス停止の観点でも報告が求められることがあります。同じ1件の事故でも、個人情報保護委員会と所管官庁の両方に、それぞれの様式・期限で報告する二重の義務が発生し得ます。「うちは重要インフラではないから関係ない」と思っていても、委託先として重要インフラ事業者のシステムを預かっている場合は、契約経由で報告を求められることがあります。

警察・JPCERT/CC：義務ではないが早い相談が効く任意の宛先

警察とJPCERT/CCは、法令上の報告義務とは別の任意の宛先です。義務がないからこそ後回しにされがちですが、早く相談したほうが得られる価値が大きい宛先でもあります。

警察は、不正アクセス禁止法違反・恐喝・詐欺などの犯罪被害について、所轄の警察署やサイバー犯罪相談窓口に相談し、必要に応じて被害届を提出します。ランサムウェアの脅迫や金銭要求があるケースでは、支払い判断や交渉方針にも関わるため、早い段階で相談ラインを持っておく意味があります。被害届の提出には証跡が要るため、証跡を消す前に相談するのが原則です。

JPCERT/CCは、国内が関連するインシデントに対応するCSIRTとして、報告受付・対応支援・手口分析・再発防止の助言を行うと説明しています。公式案内では、初動対応のサポート、標的型攻撃の調査、Webサイト改ざんへの対応、攻撃元の調整などを受け付ける一方で、捜査・取り締まりや法的代行、製品コンサルティングは対応範囲外とされています。つまりJPCERT/CCは「技術的な調整・助言の相談先」であって、法令上の報告義務や刑事手続きを代わりに担う組織ではありません。ここを取り違えると、「JPCERTに出したから個情委への報告は不要」という重大な誤りを犯します。

取引先・委託契約に基づく通知：一番見落とされる期限

法令とは別に、実務で最も見落とされるのが契約上の通知義務です。委託契約・SaaS利用契約・業務提携契約には、「セキュリティ事故が発生した場合、◯時間以内に通知する」「事故報告書と再発防止策を提出する」といった条項が入っていることが多く、この期限が法令より短いこともあります。

個人データの取扱いを委託している(または受託している)場合、委託元・委託先の双方に通知義務が生じることがあり、責任分界も契約で決まります。取引先への通知が遅れると、法令違反ではなくても契約違反として取引縮小や損害賠償の火種になります。平時に「どの契約に、何時間以内の通知条項があるか」を棚卸ししておくことが、発覚後の混乱を大きく減らします。

報告で失敗する典型パターン：GXOが現場で見る落とし穴

報告そのものは書式を埋める作業に見えますが、失敗の多くは「判断の設計」で起きています。中小企業の相談で繰り返し見かけるパターンを挙げます。数字や事例は挙げませんが、判断の型として押さえてください。

1. 件数だけで報告要否を決める：不正アクセスやランサムウェアなら少数でも報告対象になり得るのに、「まだ数件だから不要」と判断して速報を落とす。
2. 速報を出し渋る：完璧に調べてから報告しようとして3〜5日を過ぎる。速報は「今わかっていること」でよい。
3. 速報で断定してしまう：確定前の件数・原因を書き、確報で数字が変わって信用を失う。確定と未確定を分けて書く。
4. 義務の宛先と任意の宛先を混同する：JPCERT/CCや警察に相談したことで、個情委・所管官庁・取引先への義務報告を済ませたと勘違いする。
5. 本人通知と公表を後回しにする：PPC報告にだけ意識が向き、本人通知や窓口設置の要否を検討し忘れる。
6. 契約の通知条項を確認しない：取引先への通知期限が法令より短いのに気づかず、契約違反になる。
7. 報告文面が宛先ごとにバラバラ：技術・法務・広報が別々に書き、後で内容の矛盾が露見する。

これらはいずれも、報告体制を平時に設計していないことが根っこにあります。宛先ごとの義務・任意・期限・様式を一覧にして、担当と一次連絡先を割り振っておくだけで、多くは避けられます。

「誰にいつまでに」タイムライン：発覚からの時間軸で見る

宛先を性質で仕分けたら、次は時間軸に並べ替えます。同じインシデントでも宛先ごとに期限が違うため、時系列で見ておくと落としが減ります。

この時間軸を最初に共有できると、「誰が・いつまでに・どの宛先に・何を出すか」が組織として動きます。逆に、担当者が個別に判断すると、期限の異なる報告が抜け落ちます。

報告体制の発注前チェックリストと、ベンダーに聞くこと

平時の準備と、外部支援を入れる際の見極めをチェックリストにまとめます。報告は自社だけで完結しにくいため、どこまで自社で持ち、どこから外部に頼むかを設計しておくことが重要です。

平時に用意しておく報告の土台

• 個人情報台帳(どのシステムに何の個人情報が何件あるか)
• 資産・委託先一覧(サーバー・SaaS・ドメイン・管理者・委託先)
• 契約棚卸し(取引先・SaaS・委託契約の事故通知条項と期限)
• 報告の担当割り(PPC・所管官庁・取引先・警察/JPCERTの一次連絡先)
• ログの保存(認証・管理操作・Web・メール・クラウド)
• 報告文面のテンプレート(確定/未確定を分けて書く型)
• 本人通知・公表の判断基準と窓口設置手順

外部ベンダー・支援会社に必ず聞くこと

報告支援や復旧支援を外部に頼むときは、次の質問への答えで力量が見えます。

• 個人情報保護委員会への報告要否の判定を、どんな根拠で助言してくれるか
• 速報・確報の文面作成をどこまで支援するか(技術事実の整理まで含むか)
• 業法・契約上の報告についても宛先を洗い出してくれるか
• 証跡保全と報告に必要な事実整理を、復旧作業と両立できるか
• 本人通知・公表の文面や窓口設置まで見てくれるか
• 対応後の再発防止と継続運用まで伴走できるか

見積もりの読み方

インシデント対応の見積もりは、緊急度が高く判断材料が不足したまま出てくることが多い領域です。金額の大小だけで選ぶと、「調査は入っているが報告支援は範囲外」「初動は見るが再発防止は別料金」といった範囲の抜けで後から追加費用が膨らみます。見積もりを読むときは、(1)対象範囲(調査・報告・復旧・再発防止のどこまでか)、(2)成果物(報告文面・報告書・再発防止計画が出るか)、(3)前提条件(ログや証跡が残っている前提か)、(4)追加費用の発生条件、の4点を必ず確認してください。導入前に第三者の目で範囲と前提を点検したい場合は、導入前の第三者診断のような外部評価を挟むと、発注の判断ミスを減らせます。

GXOに相談すべきタイミング

次のいずれかに該当する場合は、記事を読み進めるだけでなく、早めに外部支援を検討してください。報告は期限との勝負なので、迷っている時間そのものがリスクになります。

• 不正アクセスやランサムウェアが疑われ、個人情報保護委員会への報告要否を自社で判断できない
• 業法・契約・個人情報の複数の報告義務が同時に発生していて、宛先と期限を整理しきれない
• 取引先に提出する事故報告書・再発防止策の作成に不安がある
• 復旧を急ぎたいが、報告に必要な事実整理と証跡保全も同時に進めたい
• 既存ベンダーが保守範囲外として、報告支援まで手が回らない
• インシデント後に、監視・ログ管理・報告体制を継続的に整えたい

GXOでは、被害範囲の切り分けと報告要否の整理、速報・確報に必要な事実の組み立て、取引先向け報告書の作成支援まで、初動から再発防止までを一続きで扱います。単発の復旧で終わらせず、月次で運用まで見てほしい場合はセキュリティ運用を月額で伴走してもらう体制(セキュリティ顧問)が向いています。優先順位の高い対策から体制ごと立て直したい場合は、現状のリスク・ログ・権限を棚卸しするセキュリティ再構築から入るのが近道です。緊急時の相談窓口はお問い合わせです。

緊急でご相談いただく際は、現在判明している事実、発覚時刻、影響システム、扱っている個人情報の種類、取引先との契約の有無、取得済みログの有無を整理のうえご連絡ください。この6点がそろっていると、報告要否と宛先の判定がその場で大きく進みます。

FAQ

不正アクセスで漏えいが数件しか確認できていなくても報告が必要ですか？

必要になり得ます。個人情報保護委員会が示す報告対象の類型には、不正の目的をもって行われたおそれがある行為による漏えい等が含まれるため、件数が1,000人に届かなくても、不正アクセスやランサムウェアが原因なら報告対象になり得ます。件数のハードルだけで「不要」と判断しないでください。正確な要件は公式案内で確認します。

JPCERT/CCや警察に連絡すれば、法令上の報告は済みますか？

済みません。JPCERT/CCは技術的な調整・助言を行う相談先、警察は犯罪被害の相談・被害届の窓口であり、いずれも個人情報保護委員会への漏えい等報告や、業法・契約に基づく報告の代わりにはなりません。義務の宛先と任意の宛先は別々に管理する必要があります。

速報はどこまで確定してから出せばいいですか？

すべてが確定している必要はありません。速報は発覚から概ね3〜5日以内に、その時点で判明している範囲を報告するものとされています。重要なのは、確定した事実・未確定の事項・今後の調査予定を混ぜずに書くことです。確定を待って期限を過ぎるより、範囲を明示して速報を出すほうが適切です。

ランサムウェアで暗号化されただけでも報告対象ですか？

なり得ます。データが暗号化されて復元できない状態も「漏えい等(滅失・毀損)」やそのおそれに当たる場合があり、不正の目的による行為でもあるため報告対象になり得ます。2025年10月以降はランサムウェア事案について共通様式での報告も案内されています。詳細は公式案内と専門家の助言で確認してください。

取引先への報告と、個情委への報告はどちらを優先しますか？

どちらか一方ではなく、両方を期限内に行います。取引先への通知は契約で期限が定められていることが多く、法令の期限より短い場合もあります。契約の通知条項を先に確認し、法令報告(速報3〜5日・確報30日等)と並行して進めてください。

中小企業でも本人通知や公表は必要ですか？

規模にかかわらず、報告義務が生じる場合は本人への通知も原則必要です。通知が困難な場合は、問い合わせ窓口の設置や公表などの代替措置が案内されています。PPCへの報告だけで完結させず、本人通知・公表の要否も同じタイミングで検討してください。

一次情報・参考情報

• 個人情報保護委員会：漏えい等の対応とお役立ち資料(4類型・速報確報・共通様式)
• 個人情報保護委員会：漏えい等報告・本人への通知の義務化について
• JPCERT/CC：インシデント対応とは
• JPCERT/CC：インシデント対応依頼(報告フォーム)

本稿は2026年7月16日に確認した個人情報保護委員会およびJPCERT/CCの公開情報を一次情報として参照し、報告期限・記載項目・本人通知・罰則の一部は法律事務所等の二次情報解説を補助的に参照しています(その旨は本文に明記しました)。個別事案の報告義務、本人通知、業法・契約に基づく報告、警察相談の要否は、被害内容・扱う個人情報の種類・業種・契約条件によって変わります。実対応では必ず公式窓口と専門家の確認を併用してください。