Crisis Management
网络事件与数据泄露应对
网络攻击已不再只是IT问题，而是同时影响业务连续性、声誉和法律责任的经营层面的危机。本所秉持“从初期应对到问题解决”为企业提供支持的方针，就初期应对的法律问题、法定及合同上的报告、与受影响个人及交易伙伴的沟通、公开披露、追究责任人以及防止再次发生等提供建议。对于数字取证调查、系统隔离与恢复等技术措施，我们会根据案件需要，协助与外部专业服务商进行协调。
审核：吉川景司律师、专利代理师（第一东京律师会）
发现后的紧急确认清单
- 立即通知负责人员，并记录发现时间、已确认事实及已采取措施
- 将疑似被感染或被入侵的设备从网络中隔离；在没有专家指导的情况下，不要关闭电源、重新初始化、清除恶意软件或恢复系统
- 不要删除或覆盖日志、电子邮件、设备或勒索信息画面，也不要将备份连接到已被入侵的环境
- 联系数字取证服务商、法律顾问和网络保险公司，并确认法定及合同上的报告期限和事先同意条款
- 不要根据未经核实的信息，仓促决定是否支付赎金、是否公开披露或向受影响的个人及交易伙伴作出说明；如属商务电子邮件入侵（BEC）造成的汇款诈骗，应立即联系银行和警方
*必要措施因攻击的性质而异。应优先采取网络隔离等遏制措施，并在操作受影响设备或对外沟通之前咨询专家。
我们可以提供的帮助初期法律应对／法定报告、通知与披露／与外部技术专家的协调
联系表单目录
1. 典型事件情景
- 勒索软件攻击：系统和数据被加密，攻击者以解密为条件索要赎金。近年来，“双重勒索”攻击已十分常见，即攻击者先窃取数据，并威胁如不支付赎金就将其公开。
- 因非法访问或针对性攻击导致个人信息（客户或员工数据）泄露。
- 公司管理人员、员工或前员工带走商业秘密（技术信息、客户名单等）并泄露给竞争对手。
- 电子邮件账户被盗用，以及商务电子邮件入侵（BEC）造成的汇款诈骗。
- 因交易伙伴或分包商遭受攻击而导致本公司数据泄露（供应链事件）。
2. 发现后的初期应对
发生网络事件时，发现后的数小时至数日内，需要同时推进遏制、证据保全、业务连续性以及法定报告义务的评估。由于报告期限因适用的法律而异，因此应记录发现时间以及组织各部门知悉事件的时间，并从一开始就管理各项期限。
（1）组建应对团队与查明事实
迅速组建包括管理层在内的应对团队，开始查明在何时、从何处、何种数据、在何种程度上被泄露，或系统在何种程度上遭到入侵。这一阶段的事实调查是日后向监管机关报告、公开披露和责任评估的基础，因此必须在区分已核实事实与推测的同时进行记录。应对团队和董事会的决策过程也应记录在案。
（2）证据保全与事态控制
疑似被感染或被入侵的设备应尽快从网络中隔离。开关设备电源、重新初始化、删除日志或从备份恢复，可能会破坏证据或易失性数据，因此不应擅自进行，而应在数字取证专家的指导下实施。应按照与遏制计划相一致的方式，从未被入侵的设备和环境中更改认证信息。我们从法律角度就调查范围、应报告的事项及过程记录提供建议，并根据需要协助与外部专业服务商进行协调。
进一步了解网络事件中的决策与记录
- 网络事件的内部审批
概述对于无法根据内部权限规定确定决策权限的事项，由谁作出决定，以及决策人不在时由谁担任替代负责人。 - 委托开展网络事件调查
概述与调查目的相适应的范围和交付成果，以及委托追加调查的条件。 - 网络事件的初次及后续报告
概述在向客户和交易伙伴作出说明时，如何区分通知与个别回应，以及如何进行更正和更新。 - 供应商发生网络事件时
概述如何选择追加提问、文件摘录及替代的核实方法。 - 网络事件后的客户补偿与恢复费用
概述用于证明支出必要性、与事件的关联性及金额的记录。
3. 法律和合同规定的报告和通知义务
（1）向个人信息保护委员会报告及通知数据主体
个人数据已经或可能已经发生泄露、灭失或毁损，且属于以下任一类别的：（i）涉及需要特别注意的个人信息；（ii）存在因被不当使用而造成财产损失的风险；（iii）可能是出于不正当目的而引发的；或（iv）受影响的数据主体超过1,000人，原则上，根据《个人信息保护法》，须向个人信息保护委员会报告并通知受影响的个人。因非法访问导致的泄露通常属于第（iii）类；但仅凭遭受网络攻击这一事实，并不会自动产生报告义务，需要审查所涉数据和实际发生的访问情况。
*“不正当目的”类别也涵盖已取得或正准备取得、且拟作为个人数据处理的个人信息。
报告分两个阶段进行：在知悉应报告事态后“迅速”提交的初步报告（参考标准为大约3至5天以内），以及原则上在30天以内提交的最终报告（事件可能出于不正当目的而引发的，为60天以内），自知悉事件之日起计算。对受影响个人的通知，必须根据情况迅速进行。
（2）其他报告、通知与披露
- 在受托处理个人数据的情况下：如果受托方（服务提供商）向负有报告义务的委托方作出规定的通知，受托方即可免除向委员会报告及通知数据主体的义务，改由委托方进行应对。
- 上市公司：应研究证券交易所的规则是否要求进行适时披露。
- 行业特定的报告：金融机构、电信运营商及其他受监管行业的企业，可能负有向其监管机关另行报告的义务。此外，根据《网络应对能力强化法》（2025年法律第42号），包括设立协议会以及重要基础设施运营者的事件报告和资产申报在内的官民合作框架，预定于2026年10月1日开始实施。受该法规制的特别社会基础设施运营者（即《经济安全保障推进法》规定的、使用特定重要计算机系统的指定重要基础设施运营者），需要确认自身是否属于适用对象，以及相关申报和报告的范围与要求。
- GDPR可能适用于在欧盟/欧洲经济区内设立的机构开展活动过程中处理个人数据的情形，或欧盟/欧洲经济区以外的企业向欧盟/欧洲经济区内的个人提供商品或服务、或监控其行为的情形。受GDPR约束的数据控制者，必须在不存在不当延误的情况下向监管机关通知个人数据泄露，并在可行时于知悉后72小时内完成通知；但该泄露不太可能对自然人的权利和自由造成风险的情形除外。数据处理者在知悉数据泄露后，必须通知数据控制者，不得无故拖延。我们也会研究其他外国法律的适用问题。
（3）合同及网络保险上的通知要求
除法定报告义务外，与交易伙伴签订的合同和网络保险的保单中，可能规定了事件通知期限、使用指定服务商的要求或费用的事先同意条款。应在不延误遏制措施的前提下，于发现后迅速审查这些合同，并作出所需的通知。
4. 是否应支付勒索软件的赎金？
日本没有一律禁止支付赎金的一般性法律。但是，根据收款方、支付途径及所涉各方的不同，可能涉及《外汇及外国贸易法》规定的经济制裁；如与美国存在关联，还可能涉及OFAC规定。支付赎金并不能保证数据被解密、被窃数据被删除或不再遭受攻击。警察厅也发出警告，指出支付的款项可能成为犯罪集团的资金来源，且无法保证能够恢复。应以不支付为基本立场，在通知网络保险公司、咨询警方、确认可用的备份和解密手段，并根据业务连续性计划评估恢复前景之后，再作出决定。我们协助整理技术、业务连续性、法律及制裁等方面的考虑因素，并将决策过程记录在案。
5. 商务电子邮件入侵（BEC）造成的汇款诈骗
发现欺诈性汇款时，应立即联系汇款银行，申请撤回汇款并请其与收款银行进行协调，同时向警方咨询。保存（而非删除）相关电子邮件、付款指示、汇款记录及访问日志也很重要。
6. 应对商业秘密及保密信息的泄露
要作为《不正当竞争防止法》规定的商业秘密受到保护，信息必须满足三项要件：作为秘密进行管理、具有商业上的有用性、不为公众所知。信息的管理方式（访问控制、保密标识、内部规定和保密协议）对能否行使权利以及能否证明权利有重大影响。如果该信息属于商业秘密，且相关的取得、使用或披露构成该法规定的商业秘密侵害行为，可根据具体情况考虑禁令、损害赔偿请求以及恢复营业信誉的措施等救济。如果看起来符合商业秘密侵害罪的构成要件，提出刑事告诉也是一种选择。对于不属于商业秘密的保密信息，还应研究合同上的救济措施和通知义务。
7. 对受影响方的应对、公开披露及董事责任
向受泄露影响的个人、交易伙伴和员工发出通知、设立咨询窗口、应对损害赔偿请求，以及在必要时发布公告或召开新闻发布会，都需要在法律上的准确性与声誉考量之间取得平衡的设计。还应告知防止冒充、网络钓鱼等二次损害的措施。根据公司的规模、业务、所处理的信息以及事件的可预见性，网络安全体制是否充分，也可能引发董事注意义务和内部控制体制方面的问题。在问题解决阶段，我们协助编写调查报告，以及制定和公布防止再次发生的措施。
8. 我们如何支持您
- 就初期应对（证据保全、遏制、应对团队的运作）提供法律建议，并协助与外部专业服务商进行协调
- 起草和处理向个人信息保护委员会提交的初步报告和最终报告、对数据主体的通知、向监管机关的报告以及适时披露
- 协助决定如何应对赎金要求、与警方对接，并确认《外汇及外国贸易法》及其他制度下的制裁问题（涉及外国法律的，根据需要与具有相应资格的外国律师协调）
- 应对受影响的个人和交易伙伴、处理损害赔偿请求，以及准备公开声明和问答资料
- 针对商业秘密侵害的民事请求，以及协助提出刑事告诉和报案
- 查明根本原因与防止再次发生，以及构建平时的事件应对体制（CSIRT、内部规定和培训）
常见问题
Q1. 尚未确认数据是否确实泄露，也应该报告吗？
即使处于应报告的泄露“可能已经发生”的阶段，也会产生报告义务。不过，没有任何迹象支持的抽象可能性，并不会自动产生该义务。应在审查非法访问的痕迹、所涉数据及日志状态的同时，一旦认为很可能属于应报告事态，就无需等待确认，而应提交初步报告。
Q2. 支付赎金是否被禁止？
日本没有一律禁止支付的一般性法律，但根据收款方、支付途径及所涉各方的不同，可能适用《外汇及外国贸易法》下的规定；如与美国存在关联，还需要考虑OFAC规定。支付并不能保证恢复。是否支付最终是在权衡业务连续性、法律风险和声誉后作出的经营判断，重要的是将审议过程记录在案，以便日后能够说明该决定。
Q3. 是否一定需要发布公告？
法律并不总是要求进行面向公众的一般公告。但是，对于应报告事态，如果难以通知受影响的个人，就必须采取保护其权利利益所需的替代措施，例如在公司网站上公布和设立咨询窗口。应根据事件的性质、信息传达至受影响个人的可能性以及防止二次损害的必要性，选择适当的方法。任何公告的时间和内容，都应与向监管机关的报告以及对受影响个人的应对一并设计。
Q4. 报告期限如何计算？
初步报告应以大约3至5天以内为参考标准，自组织的任何部门知悉应报告事态之时起算。最终报告原则上应在30天以内提交，事件可能出于不正当目的而引发的，应在60天以内提交；计算时以知悉事件之日为第1天，并包括周末和节假日。如果最终报告的期限届满日为周末、法定节假日或年末年初休息日，则期限顺延至下一个工作日。长假会减少期限届满前可用的工作日数。
欢迎您在“我们可能受到攻击”阶段与我们联系。
Contact
提出咨询
请告知情况概要、已收到的通知及其日期，以及需要遵守的任何期限。
联系表单我们可以通过中文电子邮件与您沟通。由于能够使用中文进行面谈的人员有限，安排面谈日程可能需要较长时间。
本文仅提供一般性信息，不构成针对任何具体事项的法律意见。有关您的具体情况，请与我们咨询。内容依据最后更新日期时有效的法律法规编写。