Crisis Management
サイバー攻撃・情報漏えい対応
サイバー攻撃は、もはや「情報システム部門の問題」ではなく、事業継続・信用・法的責任のすべてに関わる経営レベルの危機です。当事務所は、「企業の有事に、初動から収束まで」という方針のもと、発覚直後の法的助言、法令・契約上の報告、本人・取引先への対応、公表、責任追及、再発防止の検討を支援します。フォレンジック調査、システムの封じ込め・復旧等の技術対応については、事案に応じて外部専門事業者との連携を支援します。
発覚直後に確認すること
- 社内の責任者へ直ちに連絡し、発覚時刻、確認済みの事実、対応経過を記録する
- 感染・侵害が疑われる機器をネットワークから隔離し、専門家の指示なく電源断、初期化、駆除、復元を行わない
- ログ、メール、端末、身代金要求画面等を削除・上書きせず、バックアップを感染環境へ接続しない
- フォレンジック事業者、弁護士、サイバー保険会社へ連絡し、法令・契約上の報告期限と事前承認条項を確認する
- 身代金の支払い、公表、本人・取引先への説明を未確認情報だけで即断しない。BECによる送金被害では、金融機関と警察へ直ちに連絡する
※必要な措置は攻撃の状況によって異なります。ネットワーク隔離等の被害拡大防止を優先しつつ、機器の操作や対外説明は専門家と協議して進めてください。
ご相談いただけること初動の法的判断／法令・契約上の報告・通知・公表への対応／外部技術事業者との連携支援
お問い合わせフォームへ目次
1 想定される事案の類型
- ランサムウェア被害：システム・データが暗号化され、復号と引換えに身代金を要求される。近年は、データを窃取したうえで「支払わなければ公開する」と迫る二重恐喝（ダブルエクストーション）型も多く確認されています。
- 不正アクセス・標的型攻撃による個人情報（顧客情報・従業員情報）の漏えい。
- 役職員・退職者による営業秘密（技術情報・顧客名簿等）の持ち出し、競合他社への流出。
- メールアカウントの乗っ取り、ビジネスメール詐欺（BEC）による送金被害。
- 取引先・委託先が攻撃を受けたことによる、自社データの漏えい（サプライチェーン型）。
2 ランサムウェア・情報漏えい発覚直後の初動対応
サイバーインシデントでは、発覚後の数時間から数日間に、被害の封じ込め、証拠保全、事業継続、法令上の報告要否を並行して検討する必要があります。報告期限は適用法令ごとに異なるため、発覚時刻と社内の各部署が事態を認識した時点を記録し、期限管理を開始することが重要です。
（1）対策本部の設置と事実関係の把握
経営層を含む対策本部を速やかに立ち上げ、「いつ・どこから・何が・どの範囲で」漏えい・感染したのかの把握に着手します。この段階の事実認定が、後の当局報告・公表・責任判断の基礎となるため、憶測と確認済みの事実を峻別して記録することが重要です。対策本部・取締役会での意思決定の過程も、記録として残します。
（2）証拠保全と封じ込め
感染・侵害が疑われる機器は、可能な限り速やかにネットワークから隔離します。電源操作、初期化、ログ削除、バックアップからの復元等は証拠や揮発性情報を失わせる可能性があるため、自己判断で進めず、フォレンジック事業者等の指示を受けます。認証情報の変更は、侵害されていない端末・環境から、封じ込めの手順と整合させて実施します。当事務所は、法的観点から調査範囲・報告事項・記録化を助言し、必要に応じて外部専門事業者との連携を支援します。
3 法令・契約上の報告・通知義務
（1）個人情報保護委員会への報告と本人通知
個人データの漏えい、滅失または毀損、またはそのおそれがあり、①要配慮個人情報を含む、②不正利用により財産的被害が生じるおそれがある、③不正の目的をもって行われたおそれがある、④本人の数が1,000人を超える、のいずれかに該当する場合、原則として個人情報保護委員会への報告と本人への通知が必要です。不正アクセスによる漏えい等は③に該当することが多いものの、サイバー攻撃を受けたという事実だけで直ちに報告対象となるわけではなく、対象データやアクセス状況を確認する必要があります。
※不正の目的による類型では、取得し、または取得しようとしている個人情報で、個人データとして取り扱われる予定のものを含みます。
報告は二段階で、報告対象事態を知った後「速やか」（目安として概ね3〜5日以内）に速報を行い、知った日から原則30日以内（不正の目的によるおそれがある場合は60日以内）に確報を提出します。本人への通知は、事態の状況に応じて速やかに行います。
（2）その他の報告・通知・開示
- 委託を受けて取り扱う個人データの場合：委託先が、報告義務を負う委託元へ所定の通知を行ったときは、委託先の委員会報告・本人通知は免除され、委託元が対応します。
- 上場会社の場合：適時開示の要否の検討。
- 業法上の報告：金融機関・電気通信事業者等は、所管官庁への報告義務が別途課される場合があります。なお、サイバー対処能力強化法（令和7年法律第42号）に基づき、2026年10月1日から、協議会の設置や、基幹インフラ事業者によるインシデント報告・資産届出等の官民連携制度が開始されます。特別社会基盤事業者（経済安全保障推進法に基づく特定社会基盤事業者のうち、特定重要電子計算機を使用する者をいいます。）には、特定重要電子計算機に関する届出や、一定の特定侵害事象等が発生した場合の報告が求められます。自社が対象となるか、また届出・報告の対象や期限については、関係法令等に基づく個別の確認が必要です。
- EU・EEA域内の拠点の活動に関連して個人データを処理する場合や、域外の事業者がEU・EEA域内にいる者に商品・サービスを提供し、またはその行動を監視する場合などには、GDPRが適用される可能性があります。GDPRが適用される管理者は、個人データ侵害が自然人の権利・自由に対するリスクを生じさせる可能性が低い場合を除き、侵害を認識した後、不当な遅滞なく、可能な場合は72時間以内に監督機関へ通知する必要があります。処理者は、侵害を認識した後、不当な遅滞なく管理者に通知します。そのほか、外国法令上の義務の適用についても調査します。
（3）契約・サイバー保険上の通知
法令上の報告義務とは別に、取引先との契約やサイバー保険契約に、事故通知期限、指定業者の利用、費用支出の事前承認等が定められている場合があります。被害の封じ込めを遅らせない範囲で、発覚後速やかに契約内容を確認し、必要な通知を行います。
4 ランサムウェアの身代金は支払うべきか
身代金の支払いを一律に禁止する一般的な国内法があるわけではありませんが、支払先、決済経路、関係当事者によっては、外為法に基づく経済制裁や、米国との接点がある場合のOFAC規制等が問題となり得ます。支払っても復号、窃取データの削除、再攻撃の防止は保証されません。警察庁も、支払いが犯罪グループ等の活動資金となることが懸念されることや、復号が保証されないことを指摘しています。サイバー保険会社への通知、警察への相談、利用可能なバックアップや復号手段の確認、事業継続計画（BCP）に基づく復旧可能性の検討を行ったうえで、支払回避を基本に慎重に判断する必要があります。当事務所は、技術面・事業継続・法令・制裁規制等の検討事項と判断過程を整理し、記録化することを支援します。
5 ビジネスメール詐欺（BEC）による送金被害
不正送金が判明した場合は、まず送金元の金融機関へ直ちに連絡し、組戻しや送金先金融機関との連携を依頼するとともに、警察へ相談します。メール、送金指示、振込記録、アクセスログ等を削除せず保全することも重要です。
6 営業秘密・機密情報の漏えいへの対応
不正競争防止法上の営業秘密として保護されるためには、秘密管理性、有用性、非公知性の三要件を満たす必要があります。アクセス権限、秘密表示、社内規程、秘密保持契約等の管理状況は、権利行使の可否や立証に大きく影響します。当該情報が営業秘密に該当し、その取得・使用・開示行為が不正競争防止法所定の営業秘密侵害行為に当たる場合には、事案に応じて差止請求、損害賠償請求、信用回復措置等を検討します。さらに、営業秘密侵害罪の要件を満たすと考えられる場合には、刑事告訴も選択肢となります。営業秘密に該当しない機密情報や契約上の秘密情報についても、契約に基づく責任追及や通知義務が問題となるため、あわせて検討します。
7 被害者対応・公表と役員の責任
漏えいの対象となった本人・取引先・従業員への通知と問い合わせ窓口の設置、損害賠償請求への対応、必要に応じた公表・記者会見は、法的正確性とレピュテーションの双方に配慮した設計が必要です。なりすまし・フィッシング等の二次被害の防止策もあわせて案内します。また、会社の規模、事業内容、取り扱う情報、予見可能性等によっては、サイバーセキュリティ体制の整備・運用が、取締役の善管注意義務や内部統制体制の問題となることがあります。収束段階では、原因究明報告書の作成、再発防止策の策定・公表までを見据えた対応を行います。
8 当事務所のサポート内容
- 発覚直後の初動助言（証拠保全・封じ込めに関する法的助言、対策本部運営）と外部専門事業者との連携支援
- 個人情報保護委員会への速報・確報、本人通知、監督官庁報告、適時開示の起案・対応
- 身代金要求への対応方針の検討支援、警察対応、外為法その他の制裁規制の確認（外国法については、必要に応じて外国法資格者等との連携を支援）
- 被害者・取引先対応、損害賠償請求への対応、公表文・想定問答の作成
- 営業秘密侵害等に関する民事上の請求、刑事告訴・被害申告の支援
- 原因究明・再発防止策の策定支援、平時のインシデント対応体制（CSIRT・規程・訓練）の整備
よくあるご質問
Q1 漏えいしたかどうかまだ確定していません。報告すべきでしょうか。
報告義務は、報告対象となる漏えい等が発生した「おそれ」がある段階でも生じます。ただし、根拠のない抽象的な可能性だけで当然に報告義務が生じるものではありません。不正アクセスの痕跡、対象データ、ログの状況等を確認しつつ、報告対象となるおそれが認められる場合には、確定を待たず速報を行います。
Q2 身代金を支払ってはいけないのですか。
支払いを一律に禁止する一般的な国内法はありませんが、支払先、決済経路、関係当事者によっては外為法上の規制が問題となるほか、米国との接点がある場合にはOFAC規制等も検討する必要があります。支払っても復旧の保証はありません。支払いの是非は、事業継続への影響・法的リスク・レピュテーションを総合した経営判断であり、その検討過程を記録し、後から説明できるようにすることが重要です。
Q3 公表は必ず必要ですか。
法令上、一般公表が常に義務付けられるわけではありません。ただし、報告対象事態について本人への通知が困難な場合には、本人の権利利益を保護するために必要な代替措置を講じる必要があります。ホームページ等での公表や問い合わせ窓口の設置はその例ですが、事案の性質、対象者への情報到達の可能性、二次被害防止の必要性等を踏まえて、適切な方法を選択します。公表のタイミングと内容は、当局報告・被害者対応と一体で設計すべきです。
Q4 報告期限はどのように数えるのですか。
速報は、法人のいずれかの部署が当該事態を知った時点から、概ね3〜5日以内に行うことが目安とされています。確報は、当該事態を知った日を1日目として、土日・祝日を含め、原則30日以内、不正の目的によるおそれがある場合は60日以内です。ただし、確報期限の末日が土日、祝日または年末年始の閉庁日に当たる場合は、次の開庁日が期限となります。連休を挟む場合には実働日数が短くなるため、早めの着手が重要です。
早期の適切な対応が、被害拡大の防止と法令対応に重要です。「攻撃を受けたかもしれない」という段階でも構いません。まずは当事務所までご相談ください。
Contact
まずはご相談ください
早期のご相談が、対応の選択肢を確保するために重要です。
お問い合わせフォームへ本記事は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。具体的な対応については、当事務所までご相談ください。記事の内容は最終更新日時点の法令等に基づいています。