仕事関係 — コンセプト記事
— 対応手順書・報告義務の一覧・経営判断の事前整理 —
サイバー事故が起きると、時間も情報も足りない中で重い判断を迫られます。 答えを先に言うと、「誰が何をするか」「どこへいつまでに報告するか」「何を誰が決めるか」の3つを、平時に文書にしておくことです。
この記事を読むとできること
想定している使い方
情報セキュリティ委員会の事務局や法務の担当者が、自社の文書を作るときのたたき台にすることを想定しています。 部署名や時間の目安は例です。法令の記述は 2026年10月時点の一般的な内容で、法的な助言ではありません。使う前に、最新の改正と自社の業種に固有の決まりを確かめてください。
読む目安：約11分 ・ 仕事関係のコンセプト記事 ・ 図2枚
サイバー事故（不正アクセスやランサムウェア（データを人質にして金銭を要求する攻撃）など、情報セキュリティを損なう出来事。インシデントとも呼びます）が起きた直後は、何が起きているかも分からないまま判断が続きます。システムを止めるか、誰に知らせるか、公表するか。その場で決めようとすると、承認を待つ間に被害が広がり、法律で決まった報告の期限を過ぎることもあります。
そこで、迷うことが分かっている判断は、平時に文書で決めておきます。文書は3つに分けます。現場が動くための対応手順書、期限のある報告を漏らさないための一覧、そして経営が決めておく判断の原則です。3つ目を取締役会（会社の重要な方針を決める役員の会議）で決めておけば、経営として備えを整えていたことを後から示す記録にもなります。
図の見方：上の段は、事故が起きてから何をするかを考える場合です。承認を待つ間や期限を見落とす間に、被害が広がり報告も遅れます。下の段は、手順・報告先・判断の原則を平時に文書で決めておく場合です。決めておいた人がすぐに動けるので、被害を抑え、期限内に報告できます。
DOCUMENT 1
対応手順書の中心は、重大度の区分、役割、時間の目安の3つです。対象には、自社とグループ会社の従業員に加え、派遣社員や常駐する委託先の人も含めます。報告は「漏れたかもしれない」というおそれの段階で行い、確定を待たないことを最初に書いておきます。
初動で重大度を仮に決め、状況に応じて見直します。迷ったときは上の区分にします。
| 区分 | 例 | 指揮と経営への報告 |
|---|---|---|
| 重大 | ランサムウェアで基幹システムが停止した。個人情報が大量に漏えいした、または要配慮個人情報が漏えいした | 社長を本部長とする対策本部。判定から2時間以内に社長へ |
| 中 | 個人情報保護委員会への報告の対象になる漏えい。一部のシステムの停止。委託先での事故 | CSIRT（社内で事故に対応する専門の体制）の責任者。当日中に担当役員へ |
| 軽微 | 報告の対象にならない誤送信。検知して駆除済みのウイルス。暗号化済みの端末の紛失 | CSIRT の担当者。月ごとに情報セキュリティ委員会へ |
対策本部長（社長）、担当役員、CSIRT の責任者、法務、広報、上場会社なら IR（投資家向けの広報）、被害を受けた事業部門、人事、委員会の事務局、そして外部の支援先（セキュリティの専門業者・顧問弁護士・サイバー保険の保険会社）を並べ、それぞれの責任を1行で書きます。各役割に代わりの人を1人ずつ決め、連絡先は紙でも保管します。メールや社内のチャットそのものが使えなくなる事態を考えておくためです。
図2 対応の流れと時間の目安（例）
図の見方：上から順に、発見と報告、初動と重大度の判定、経営への報告と対策本部、拡大の防止と証拠の保全、報告と公表の初回の判断、調査・復旧・事後の報告と進みます。各段の見出しにある時間は目安の例で、自社で決めます。色を濃くした2段が、経営と法務が時間に追われる場面です。
あわせて、やってはいけないことも書いておきます。感染した端末の電源を切る・初期化する・ウイルス対策ソフトで駆除する（調べられなくなる）、攻撃者と個人の判断で連絡を取る、対策本部の承認なく社外に話す、事故を知った役員や従業員が自社の株を売買する（インサイダー取引になり得る）の4つです。
最後に、記録の様式を決めます。日時・分かった事実・判断や指示の内容・判断した人・根拠の資料を、時系列で残します。後で監督官庁へ説明するときや訴訟になったときに、「いつ何を知り、どう判断したか」を示す根拠になります。
DOCUMENT 2
法務が初動から24時間以内に「どこへ、いつまでに、何を」を対策本部に示すための一覧です。期限は報告先ごとに違い、業法には数時間以内のものもあります。どの会社にもかかわりやすいのは、個人情報保護委員会への速報（発覚からおおむね3〜5日以内）で、上場会社なら適時開示（投資の判断に影響する出来事の公表。直ちに）も加わります。個人情報の要件と期限は、個人情報保護委員会の案内で確かめました。
| 報告先 | 報告が必要になる場合 | 期限 |
|---|---|---|
| 個人情報保護委員会（個人情報保護法） | 次のいずれかの漏えい等が起きた、またはそのおそれがある：要配慮個人情報（病歴など）を含む／不正に使われると金銭の損害が出るおそれ（クレジットカードの番号など）／不正の目的によるおそれ（不正アクセスなど）／本人の数が1,000人を超える | 速報は発覚からおおむね3〜5日以内。確報は30日以内（不正の目的によるおそれがあるものは60日以内） |
| 本人 | 上の報告の対象に当たる場合 | 状況に応じて速やかに。通知が難しければ、公表などの代わりの措置 |
| 個人情報保護委員会（マイナンバー法） | 従業員のマイナンバーなどを含む情報の漏えい等。不正の目的によるもの、本人の数が100人を超えるものなど | 専用の報告の様式で。速報・確報の考え方は上と同じ |
| 証券取引所（適時開示＝上場会社が、投資の判断に影響する出来事を直ちに公表する決まり） | 上場会社で、事業の停止・多額の損失・業績予想の修正など、投資の判断に大きく影響する場合 | 直ちに。事前に取引所の担当に相談する |
| 金融庁（臨時報告書＝大きな出来事があったときに随時出す開示の書類） | 有価証券報告書を出す会社で、財政の状態や経営の成績に大きく影響する事象が起きた場合 | 遅滞なく |
| 業界の監督官庁（業法） | 電気通信・金融・医療など、業種ごとの法律が報告を求める場合 | 業法ごとに違い、数時間以内のものもある |
| 政府（基幹インフラ） | サイバー対処能力強化法の「特別社会基盤事業者」（国が指定する基幹インフラの事業者）に当たる会社の、決められた事象 | 段階的に施行。自社が当たるかを平時に確かめる |
| 海外の当局（GDPR＝EU の個人データを守る法律 など） | EU に拠点がある、または EU に住む人のデータを扱う場合 | GDPR は知ってから72時間以内 |
委託先で事故が起きても、預けた個人データの報告の義務は、原則として預けた側の会社にもあります。逆に、自社が他社から個人データを預かっている側なら、預けた会社に通知すれば、自社の委員会への報告は免除されます。義務ではないが通常は行う連絡も一覧に入れておきます。
上場会社のインサイダー管理：重大な事故は、公表までの間、金融商品取引法の「重要事実」（公表前に知って株を売買するとインサイダー取引になる情報）に当たり得ます。重大と判定した時点で、事故を知った人の一覧（社外の業者や弁護士も含む）を作り、自社の株の売買を止めます。社内への周知は必要な範囲にとどめ、投資家からの問い合わせには公表の前に個別に答えません。
平時には、個人情報保護委員会の報告の様式の項目を把握して下書きの雛形を作り、公表文と本人へのお知らせの雛形（第一報・続報・最終報）も用意します。委託先の一覧には「契約上の通知の期限」の列を足しておくと、事故のときにそのまま使えます。
DOCUMENT 3
3つ目は、経営が平時に決めておく判断の原則です。取締役会で決議しておきます。最初に決めるのは身代金を払わないという原則です。払っても、データが元に戻る保証も、盗まれたデータが消される保証もありません。「払う会社」として再び狙われ、攻撃者が制裁の対象の団体や反社会的勢力であれば、払うこと自体が法令違反や信用の失墜につながります。
人命や安全に関わる場合などに例外を検討するなら、外部の弁護士の意見、警察への相談、バックアップから戻せないことの専門業者による確認の3つを条件にし、取締役会が決めることにしておきます。攻撃者との連絡も、対策本部長の承認を得て、外部の専門業者を通じてだけ行うと決めます。
有事に「承認待ち」で被害が広がらないよう、権限をあらかじめ渡しておきます。
| 判断すること | 決める人 | 条件 |
|---|---|---|
| 感染した端末やネットワークの一部を切り離す | CSIRT の責任者 | すぐに実行してよい。事後に担当役員へ |
| 外部との接続をすべて断つ・基幹システムを止める | 担当役員 | 業務が止まってもよい。直ちに社長へ |
| 全社の事業を止める・再開する | 対策本部長 | 再開は専門業者の安全の確認を得てから |
| 外部の専門家を雇う・対応の費用を出す | 担当役員・対策本部長 | それぞれ金額の上限まで自分の判断で決める（専決）。事後に取締役会へ |
| 公表・適時開示 | 対策本部長 | 法務と IR の意見を踏まえる。取締役会の決議を待たない |
| 身代金を払う（例外） | 取締役会 | 上の3つの条件をすべて満たす場合に限る |
公表は、調査中を理由に遅らせないと決めておきます。分かった事実だけを、第一報・続報・最終報と段階的に出します。事業が外から分かるほど止まっている、本人への個別の通知が難しい規模で漏えいした、盗まれたデータが公開された、適時開示に当たる、のいずれかなら原則として公表します。「漏えいは確認されていない」と書くときは、調べた範囲と時点を添えます。後で覆ると、信用を大きく損なうからです。
ほかに、復旧の優先順位（顧客への製品やサービスの提供に直結する業務から）、対策本部長が不在のときの代わりの順番、外部の専門業者や弁護士との事前の契約（有事に契約の交渉から始めないため）、サイバー保険の補償の範囲、平時に取締役会へ報告する頻度も、この文書で決めておきます。
3つの文書は、経営判断の事前整理を取締役会で決議し、手順書と報告義務の一覧を委員会で承認する形にすると、権限の根拠がはっきりします。承認の前に、セキュリティ部門（技術的に実行できるか）、広報と IR（開示の流れ）、人事、主な事業部門（優先順位）、グループ会社の管理部門に見てもらい、外部の弁護士・専門業者・保険会社にも目を通してもらいます。
文書は、一度動かしてみて初めて穴が見つかります。承認から数か月以内に、経営陣を交えた机上訓練で使ってみて、その結果と実際の事故、法律の改正を踏まえて年に1回見直します。事務局として、文書の中身以上に効くのは、連絡先が最新であることと、一度通しで動かしてみることです。