近年、個人情報漏えいが増加しています。情報漏えいは、個人のプライバシーだけでなく、企業の信用そのものにも大きな悪影響を与えます。

この記事では、改正個人情報保護法に準拠した対応および被害事例を紹介します。情報漏えいによる被害を最小限に抑えるためにも、リスクを理解し、適切な対策を講じてください。

個人情報の漏えいが発覚した場合はどうすればよいのか？

情報持ち出しなどの社内不正や、ハッキングなどのサイバー攻撃によって個人情報（氏名、住所、電話番号、クレジットカード番号、パスワードなど）の漏えいが発覚した場合、端末のハッキングや詐欺、不正送金などの金銭被害に発展する可能性があります。

個人情報の漏えいが発覚した場合、企業や警察から連絡が入る場合もあります。このようにして情報漏えいが発覚した場合は、速やかにアカウントや端末のパスワードを変更することが一般的に推奨されます。

しかし、状況によってはパスワードの変更やアカウントの作り直しを行っても不正アクセス被害などが発生することがあります。

個人情報漏えいが発覚した場合に有効なのが端末の「フォレンジック調査」です。フォレンジック調査とは、パソコンやスマホなどデジタル機器から、不正アクセスやデータ漏えいなどの痕跡を調査し、インシデントの詳細な事実を明らかにする調査です。これによって情報漏えいの有無や、漏えいの経路などを明らかにできることがあります。

企業の情報漏えいインシデント対応が義務化されています

個人情報の漏えいが発生した場合、速やかに関係当局に報告し、データ収集や解析、ログの調査を行ったうえで、侵害の経緯や被害範囲を明らかにする法的義務が組織にはあります。

2022年4月から改正個人情報保護法が施行されました

2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。

もしマルウェアに感染したり、不正アクセスが発生した場合、まず感染経路や漏えいしたデータを確認することが重要です。

特に「脆弱性」を悪用した攻撃を受けた場合、再度、攻撃を受けないよう、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。

しかし、セキュリティツールはマルウェアを検知・駆除できますが、感染経路や情報漏えいの有無を適切に調査することはできません。したがって、自社調査だけでは客観性や正確性が担保できないことがあるため、調査を実施する場合、フォレンジック（Forensic）の専門家と提携することをおすすめします。

フォレンジック調査の詳細については、下記の記事でも詳しく解説しています。

フォレンジック調査のメリット・活用事例・業者選定のポイントを解説フォレンジック調査とはデジタル機器を調査・解析し、「法的証拠」に関わる情報を抽出し、インシデントの全容を解明する調査です。フォレンジック調査会社では、警察でも使用される技術を用いて、サイバー攻撃からハッキング、情報持ち出しや横領などの調査を行います。本記事ではフォレンジック調査の必要性・活用事例・業者選定のポイントを解説します。...

＼相談から最短30分でWeb打ち合わせを開催／

漏えい等報告が必要なケース

個人情報の保護に関する法律の第六十八条（漏えい等の報告等） では次のように規定されています。

通知を受けた行政機関の長等（地方公共団体など）は、個人情報の流出・消失が起こり、個人の権利や利益を害する可能性が高い事態が起きた場合、個人情報保護委員会に報告しなければならない。またその場合、規則に従って、本人にその旨を通知する必要がある。

特に令和4年（2022年）4月1日からは、データの漏えい等が発生ないし、その恐れがあり、個人の権利利益を害するおそれがある場合、個人情報取扱事業者は、個人情報保護委員会への報告と、本人への通知が必要となりました。

たとえば以下のような場合、個人情報保護委員会への報告と本人への通知が必要です。

• （1）要配慮個人情報が含まれる個人データの漏えい等
• （2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
• （3）不正の目的をもって行われたおそれがある個人データの漏えい等
• （4）個人データに係る本人の数が1,000人を超える漏えい等
• （５）条例要配慮個人情報が含まれる保有個人情報の漏えい等

（1）要配慮個人情報が含まれる個人データの漏えい等

要配慮個人情報とは、人種、信条、社会的身分、病歴、犯罪歴、身体障害、精神障害など「社会的差別の原因となるおそれのある個人情報」をいいます。

要配慮個人情報が含まれる個人データが漏えいした場合、個人のプライバシーが侵害されるだけでなく、差別や偏見につながる可能性があります。そのため、要配慮個人情報の漏えい等が発生した場合は、速やかに個人情報保護委員会へ報告する必要があります。

（2）不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等

財産的被害が生じるおそれがある個人データとは、クレジットカード番号、口座番号、生年月日などの個人情報、あるいは企業秘密などの機密情報をいいます。

これらの個人データが漏えいし、不正に利用されると、損害を被ったりする可能性があります。そのため、財産的被害が生じるおそれがある個人データの漏えい等が発生した場合は、速やかに個人情報保護委員会へ報告する必要があります。

（3）不正の目的をもって行われたおそれがある個人データの漏えい等

これは、不正アクセスやマルウェア（ランサムウェア）感染などの不正行為により個人データが漏えいしたケースをいいます。この場合、個人や企業に重大な被害が及ぶ可能性があるため、速やかに個人情報保護委員会へ報告する必要があります。

（4）個人データに係る本人の数が1000人を超える漏えい等

個人情報保護法で定められた一定要件（1000人）を満たす漏えい等が発生した場合は、速やかに個人情報保護委員会へ報告し、個人情報の所有者へ通知する必要があります。

（５）条例要配慮個人情報が含まれる保有個人情報の漏えい等

条例要配慮個人情報とは、本人に対する不当な差別、偏見その他の不利益が生じないよう、その取扱いに特に配慮を要する個人情報を地方公共団体の条例で特別に規定したものです。

条例要配慮個人情報に該当する具体的な個人情報は、地方公共団体によって異なりますが、例えば以下のような個人情報条例が該当する場合があります。

• 性的指向
• 性自認
• 妊娠
• 出産
• 育児
• 障害
• 疾病
• 経済的困窮
• DV被害
• 虐待被害
• 人身売買被害

条例要配慮個人情報の取扱いについては、厳格な規制が設けられており、漏えい・滅失・毀損を防止するための安全管理措置を講じる必要があります。

いずれにせよ、個人情報の漏えい等が発生した場合は、速やかに被害の全容を正確に把握し、個人情報保護委員会へ報告するとともに個人情報の所有者へ通知する必要があります。

＼サイバーセキュリティの専門家へ24時間365日で無料相談／

個人情報保護法における漏えい等の報告フロー

個人情報保護法における漏えい等の報告フローは、以下のとおりです。

• 【速報】漏えい等の事実が発覚した時点で、速やかに委員会へ通報（3〜5日以内）
• 【確報】被害を調査して委員会へ詳細を続報（速報から30日以内）
• 【通知】本人に漏えい等の事実を通知（漏えい等の事実を把握した日から7日以内）

データ漏えいが発生した場合、速やかに個人情報保護委員会へ報告し、指示に従って対応することが重要です。また外部の専門家に調査を依頼し、再発防止を講じることが重要です。

【速報】漏えい等の事実が発覚した時点で、速やかに委員会へ通報（3〜5日以内）

当該組織が個人情報の漏えい等の事実を確認した場合、速やかに個人情報保護委員会への通報が必要です。通報は事実を確認した日から3〜5日以内に行うようにしてください。なお、内容には、漏えい等の事実やその背景、影響範囲について簡潔かつ明確に記載します。

【確報】被害を調査して委員会へ詳細を続報（速報から30日以内）

通報後、速報から30日以内に、委員会へ被害の調査結果や影響範囲、再発防止策などの詳細な報告を行ってください。報告には、漏えい等の事実、原因や経緯、被害の程度、個人情報の保護策の再評価などが含まれるべきです。

しかし、自社だけでの調査は不完全とされています。その理由は、以下のとおりです。

• 漏えいの原因や影響範囲を把握しきれない場合がある。
• 再発防止策を十分に講じれない可能性がある。

そのため、データ漏えいが発生した場合は、外部のサイバーセキュリティ専門家に調査を依頼することが重要です。

専門技術を保有する外部の専門家は、漏えいの原因や影響範囲を的確に把握し、再発防止策を十分に講じることができます。これにより、個人情報の所有者に漏えいの事実を適切に通知することができます。

＼サイバー攻撃被害　24時間365日受付／

【通知】本人に漏えい等の事実を通知する（漏えい等の事実を把握した日から7日以内）

漏えい等の事実を把握した場合、被害を受ける可能性のある個人に対しては、速やかに通知する必要があります。通知は、漏えい等の事実を把握した日から7日以内に行うようにしてください。

通知の内容には、「漏えいした個人情報の種類」、「影響の可能性」、「対処方法」などを明確かつ分かりやすく記載してください。また、通知方法についても適切な方法を選択し、個人情報保護法に準拠した手続きを行ってください。

以上が個人情報保護法における漏えい等の報告フローです。迅速かつ適切な対応を行い、個人情報の保護と被害の最小化に努めるようお願いいたします。

出典：個人情報保護委員会

情報漏えいが起きてしまった場合の流れ

情報漏洩が起きてしまった場合、以下のような流れでの対応が必要とされます。

1. 漏えいの状況を把握する
2. 漏えいした情報の種類とデータ量を特定する
3. 漏えいした情報にアクセスした可能性がある人物を特定する
4. 漏えいした情報の被害を最小限に抑える対策を講じる
5. 漏えいした情報の本人や関係者に通知する
6. 個人情報保護委員会や監督官庁に報告する
7. 情報漏えいの原因を調査し、再発防止策を講じる

①漏えいの状況を把握する

情報漏えいがどのような経路で発生したのかを迅速に把握するため、関連するログや記録を調査し、漏えいの範囲や影響を特定します。

②漏えいした情報の種類とデータ量を特定する

漏えい情報の種類や個数、漏えいした範囲を特定することで、被害の程度を把握します。

ただし、情報漏えいの状況を正確に把握するには、フォレンジック調査で膨大なデータを調査する必要があります。

フォレンジック専門家は、データ収集、ログ分析、データ復元などの高度なスキルを持っており、効率的にデータを解析し、情報の種類やデータ量を詳細に特定することができます。

③漏えいした情報にアクセスした可能性がある人物を特定する

アクセス権限を持つ人物や不正の痕跡を調査し、漏えいした情報にアクセスした可能性がある人物を特定します（これには内部の不正行為やハッカーの関与が考えられます）。

④漏えいした情報の被害を最小限に抑える対策を講じる

被害を最小限に抑えるためには、漏えいした情報を悪用される可能性を排除するための防止措置を講じる必要があります。

これには、漏えいした情報のアクセス権限の剥奪、パスワードの変更、セキュリティパッチの適用、暗号化などのセキュリティ対策が含まれます。

⑤漏えいした情報の本人や関係者に通知する

漏えいした情報の本人や関係者に対して、適切な通知を行います。この際、情報漏えいの事実や影響範囲、対応策などを適切な形で伝えることが重要です。

⑥個人情報保護委員会や監督官庁に報告する

情報漏えいが発生した場合は、個人情報保護委員会や監督官庁に速やかに報告することが求められます。この際、第三者の調査機関と提携して、適切な報告手続きを行いましょう。

＼フォレンジック調査の専門家へ24時間365日無料相談／

⑦情報漏えいの原因を調査し、再発防止策を講じる

個人情報漏えいの原因を徹底的に調査し、再発防止策を実施します。これにはセキュリティポリシーの見直し、セキュリティ対策の強化などが含まれます。

ただし、現在の不正アクセス・サイバー攻撃は、より巧妙で複雑なものとなっており、従来のセキュリティソフトでは対策が追いつかなくなっています。そのため、ネットワークの入口・内部・出口で、多層防御を行う必要があります。

効果的な情報セキュリティ対策については下記の記事でも詳しく解説しています。

【2023最新】効果的な情報セキュリティ対策とは？専門家が徹底解説この記事では、代表的なセキュリティリスクを説明するとともに、それぞれのリスクに合わせた対策について解説します。個人情報や企業情報の漏洩は深刻な問題であり、セキュリティ対策はますます重要性を増しています。自社の体制に合わせた、適切な対策を実施しましょう。...

個人情報保護法における漏えい等の罰則

万が一漏えい等が発生した場合、個人情報取扱事業者は、速やかに委員会と本人に報告するよう努めなければなりません。

個人情報保護法における漏えい等の罰則は、以下のとおりです。

• 安全管理措置の不備など重大な過失があった場合：100万円以下の罰金または2年以下の懲役
• 報告を怠った場合：50万円以下の罰金または1年以下の懲役

安全管理措置の不備など重大な過失があった場合：100万円以下の罰金または2年以下の懲役

安全管理措置に不備や重大な過失があった上で漏えい等が発生した場合、100万円以下の罰金または2年以下の懲役が科される可能性があります。

安全管理措置の不備や重大な過失の具体例としては以下のようなものが考えられます。

• 不適切なアクセス制限
• セキュリティ対策の欠如
• 暗号化やデータの保護措置の欠如
• 不適切なデータの保管・廃棄処理

報告を怠った場合には、罰金が科される可能性があります。

報告を怠った場合：50万円以下の罰金または1年以下の懲役

個人情報の漏えい等の事実を報告せず、適切な措置を講じなかった場合、50万円以下の罰金または1年以下の懲役が科される可能性があります。よって個人情報の漏えい等が発生した際には、遅滞なく個人情報保護委員会への報告が求められます。

なお、情報漏えいの経路や原因を明らかにする場合は、デジタル端末を科学的な手法を用いて解析する「フォレンジック調査」が有効です。

フォレンジック調査をおこなうことで、漏えいの原因となった感染経路、脆弱性、漏えいデータなどを正確に把握し、被害範囲に関して適切な報告をおこなうことができます。

情報漏えいによる被害調査は専門業者に相談する

＼法人様は現地駆けつけ対応も可能／

DDFの調査事例

調査背景	退職した社員から情報漏洩の疑いがある。退職者は競合他社へ転職済み。その際、顧客情報やマニュアルを含めた機密データを持ち出している可能性があるため、当社に調査を依頼。
調査機器	ノートパソコン 1 台
調査内容	退職者が使用していたパソコンの「証拠保全」と「削除データ復旧」「外部接続機器、クラウドサービスの利用履歴」を調査。
調査結果	USB 接続履歴、削除Office データ、検索キーワードを調査した結果、転職先にデータが持ち込める状態になっている事が確認された。更に、退職者のインターネット閲覧履歴・検索キーワードの解析から、業務に関係のない検索履歴を確認。業務時間中の職務怠慢の可能性も併せて報告。

情報漏えい調査会社への相談方法

＼法人様　最短30分でお打合せ可能です／

調査の料金・目安について

 

日本国内の主な個人情報漏えい事件

上記は、2004年から2022年までの主な情報漏えい事件の一覧です。情報漏えい事件は、個人情報の流出だけでなく、二次被害としてなりすましや詐欺、不正利用などの問題が発生する可能性があります。よって企業や団体は、情報漏えい対策を講じることが重要です。

 

なぜ個人情報が漏洩するのか：最多は「不正アクセス」次いで「誤操作、設定不備」

個人情報の漏えいは、複数の原因で起こります。

デジタルアーツ社が2022年2月に公開した「過去3年分の国内セキュリティインシデント集計」によれば、個人情報の漏えいで最も多いのが「不正アクセス」です。

不正アクセスとは、悪意のある第三者が、不正な手段でシステムに侵入して、個人情報を盗み出すことで、脆弱性を突いたハッキングが過半数を占めています。

次に多いのが「誤操作や設定不備」です。誤操作とは不注意やミスによる漏えいで、設定不備はシステムやソフトウェアの設定が不十分で、個人情報が漏えいしてしまうことです。

つまり、個人情報の漏えいを防ぐには、不正アクセスや設定不備の対策が大切です。

たとえば、以下のようなものがあります。

• セキュリティソフトを導入し、最新の状態に保つ
• パスワードを定期的に変更し、強固なものにする
• 不必要に個人情報をインターネット上に公開しない
• 端末を紛失・盗難しないように注意する
• 端末を不正アクセスから保護する設定を行う
• 社内ネットワークを保護する設定を行う
• 従業員にセキュリティ教育を行う

これら対策を講じることで、個人情報の漏えいを最大限防ぐことができます。

仮に、個人情報の漏えいが発生した場合は、速やかに関係当局に報告し、適切な調査・報告を行う必要があります。

＼官公庁や上場企業、捜査機関　対応実績対数／

個人情報の漏えいを未然に防ぐために行うべきこと

個人情報漏えいを未然に防ぐためには、以下の対策を行うことが大切です。

• セキュリティ意識の向上
• ネットワークセキュリティの強化
• アクセス制御の強化
• データの暗号化
• バックアップと復旧計画の策定
• 定期的なセキュリティ評価

セキュリティ意識の向上

• 従業員に対してセキュリティ教育を実施する
• フィッシング詐欺やスパムメールなどの手口を理解し、警戒心を持たせる
• 強力なパスワードの使用と定期的な変更を促す

ネットワークセキュリティの強化

• ファイアウォールや侵入検知システム（IDS）などのセキュリティツールを導入する
• ソフトウェアのアップデートやセキュリティパッチの定期的な適用を行う
• 不要なネットワークサービスやポートを無効化する

アクセス制御の強化

• 個別のユーザーアカウントを作成し、必要最小限のアクセス権限にする。
• ユーザーの活動を監視し、不審な活動（アクティビティ）を検出する仕組みを導入する。
• 機密データへのアクセスには二要素認証を導入する

データの暗号化

• 機密データを暗号化することで、情報漏洩時の被害を最小限に抑える
• モバイルデバイスや外部メディアなどのデータも暗号化する

バックアップと復旧計画の策定

• 定期的にバックアップを取得する
• バックアップデータの保管先は感染防止のため物理的に切り離された場所に保管する
• 不正アクセスによりデータが損なわれた場合を想定した復旧計画を策定する

定期的なセキュリティ評価

• 上記の項目を基準として、セキュリティ対策の状況を定期的に評価し、改善を行う
• 評価の結果をもとに、脆弱な箇所を改善し、セキュリティ対策を強化する

これらの対策を講じ、定期的なセキュリティ評価を講じることで、個人情報の漏えいなどのリスクを低減することができます。