近年、個人情報の漏えいが増加しています。情報漏えいは個人のプライバシーだけでなく、企業の信用にも深刻な影響を与えることがあります。

情報漏えいによる被害を最小限に抑えるためには、リスクをしっかりと理解し、適切な対策を講じることが重要です。また、対策が難しい場合には、専門の業者に相談することも有効な手段となります。

この記事では、個人情報漏えいが発生した際の報告フローや、インシデントを防ぐための具体的な対策について紹介します。

個人情報が漏えいする最も多い原因：最多は「不正アクセス」、次いで「設定不備」

個人情報の漏えいは様々な原因で発生しますが、最も多い原因は次の2つです。

• 不正アクセス
• 設定不備

不正アクセス

不正アクセス行為とは、悪意のある第三者が不正な手段を用いてシステムに侵入し、個人情報を盗み出す行為を指します。主にシステムの脆弱性を突いたハッキングが原因となり、結果的に個人情報が流出する事態が頻繁に発生しています。

警察庁の資料によると、令和5年における不正アクセス行為の認知件数は6,312件で、前年（令和4年）と比較して4,112件（約186.9％）増加しており、サイバー攻撃の脅威がますます深刻化していることが示されています。

設定不備

設定不備は、システムやソフトウェアの設定が不十分であるために、個人情報が漏えいしてしまう事態を指します。設定不備が原因で情報漏えいが発生する場合、システムやソフトウェアの脆弱性を悪用して不正アクセスが行われることが一般的です。

警察庁の資料によると、2023年にシステムの設定不備を悪用した攻撃は46件、また設定不備によるサイバー脆弱性を悪用した攻撃は62件発生しました。セキュリティ設定が不十分であることが、情報漏えいや不正アクセスを引き起こす原因となります。

個人情報の漏えいを防ぐためには、不正アクセスや設定不備に対する対策が重要です。

具体的な対策は以下の通りです。

対策を実行することで、個人情報の漏えいを最小限に抑えることができます。万が一漏えいが発生した場合には、迅速に関係当局に報告し、適切な調査と対応を行うことが求められます。

＼官公庁や上場企業、捜査機関　対応実績対数／

企業の情報漏えいインシデント対応が義務化されています

個人情報の漏えいが発生した場合、速やかに関係当局に報告し、データ収集や解析、ログの調査を行ったうえで、侵害の経緯や被害範囲を明らかにする法的義務が組織にはあります。

2022年4月から改正個人情報保護法が施行されました

2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。

もしマルウェアに感染したり、不正アクセスが発生した場合、まず感染経路や漏えいしたデータを確認することが重要です。

特に「脆弱性」を悪用した攻撃を受けた場合、再度、攻撃を受けないよう、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。

しかし、セキュリティツールはマルウェアを検知・駆除できますが、感染経路や情報漏えいの有無を適切に調査することはできません。したがって、自社調査だけでは客観性や正確性が担保できないことがあるため、調査を実施する場合、フォレンジック（Forensic）の専門家と提携することをおすすめします。

フォレンジック調査の詳細については、下記の記事でも詳しく解説しています。

フォレンジック調査とは？メリットやインシデント別の調査事例を解説フォレンジック調査とはデジタル機器を調査・解析し、「法的証拠」に関わる情報を抽出し、インシデントの全容を解明する調査です。本記事はフォレンジック調査事例や・調査方法を解説しています。...

＼相談から最短30分でWeb打ち合わせを開催／

個人情報の漏えいが発覚した場合

個人情報の漏えいが発覚した場合、迅速かつ適切な対応が求められます。情報漏えいは、企業の信頼を失うだけでなく、顧客や従業員に深刻な影響を与える可能性があります。

被害を最小限に抑えるため漏えいが発覚した際には、以下の対応フローを徹底することが重要です。

• 漏えい情報の種類と被害範囲を特定
• 漏えい情報にアクセスした可能性がある人物を特定
• 被害の最小化に向けた対策
• 報告義務と再発防止策
• フォレンジック調査の実施

漏えい情報の種類と被害範囲を特定する

漏えいした情報にアクセスした可能性がある人物を特定する

漏えいした情報にアクセスした可能性がある人物を特定することは、迅速で適切な対応を行うために非常に重要です。特定作業を通じて、どのシステムやデータベースが関与しているのか、誰がその情報にアクセスできる権限を持っていたのかが明確になります。

アクセスログを解析することで、外部からの不正アクセスや社内での不正行為の可能性を調査します。ログ調査では、アクセス元、時間帯、行動履歴などを詳細に確認することが求められます。

情報漏えいの調査には、フォレンジック調査が有効であり、証拠の収集と正確な特定を行うために不可欠です。

被害を最小限に抑えるための対策

漏えいした情報が悪用されるリスクを最小化するためには、迅速かつ的確な防止措置を講じることが求められます。具体的な対策は以下の通りです。

上記ステップにより、被害を最小限を抑えることが可能になります。

速やかな報告義務と再発防止策

個人情報の漏えいが発覚した場合、関連する法規制に基づき、速やかに関係当局への報告が義務付けられています。例えば、個人情報保護法では、漏えいが確認された時点で、遅滞なく委員会に通報し、その後も状況の逐次報告が求められます。

また、再発防止のためには、以下の対策が重要です。

再発措置を講じることで、漏えいの再発防止に努め、信頼性の回復を図ることが重要です。

フォレンジック調査の実施

フォレンジック調査は、デジタル機器やネットワーク上での証拠を収集・解析し、情報漏えいや不正アクセスの原因を特定する重要な手法です。特に、ハッキングやサイバー攻撃が疑われる場合、攻撃の痕跡を詳細に調査することが非常に重要です。この調査を通じて、漏えい情報の経路やアクセス元、どのデータが被害を受けたかを特定することができます。

フォレンジック調査によって明らかになる情報は、再発防止策を講じるための貴重な手がかりとなります。調査結果をもとに、システムやネットワークの脆弱性を修正したり、セキュリティ対策を強化したりすることが可能です。

また、調査結果は法的な証拠としても活用でき、今後の対応を適切に進めるためには欠かせない作業となります。

＼フォレンジック調査の専門家へ24時間365日無料相談／

個人情報保護法における漏えい等の報告フロー

個人情報漏えいが発覚した場合、個人情報保護法に基づき、速やかに適切な報告と対応が求められます。

漏えい等が発生した際の基本的な報告フローは以下の通りです。

• 【速報】漏えい等の事実が発覚した時点で、速やかに委員会へ通報（3〜5日以内）
• 【確報】被害を調査して委員会へ詳細を続報（速報から30日以内）
• 【通知】本人に漏えい等の事実を通知（漏えい等の事実を把握した日から7日以内）

報告フローを遵守し、外部の専門家による調査依頼や再発防止策を講じることが重要です。法的な義務を果たし、被害を最小限に抑え、信頼回復を図るための重要な対応となります。

【速報】漏えい等の事実が発覚した時点で、速やかに委員会へ通報（3〜5日以内）

漏えい等の事実を確認した時点で、個人情報保護委員会への通報が求められます。通報は事実確認日から3〜5日以内に行わなければならず、通報内容には漏えいの事実や背景、影響範囲を簡潔かつ明確に記載します。初動対応を迅速かつ正確に行うことにより、報告や調査がスムーズに進み、適切な対応が取られることが保障されます。

【確報】被害を調査して委員会へ詳細を続報（速報から30日以内）

通報後、速報から30日以内に、委員会へ被害の調査結果や影響範囲、再発防止策などの詳細な報告を行う必要があります。報告には、漏えい等の事実、原因や経緯、被害の程度、個人情報の保護策の再評価などが含まれるべきです。

ただし、社内での調査や再発防止策が難しい場合、外部のサイバーセキュリティ専門家に調査を依頼することがお勧めです。専門技術を保有する外部の専門家は、漏えいの原因や影響範囲を的確に把握し、再発防止策を十分に講じることができます。

【通知】本人に漏えい等の事実を通知する（漏えい等の事実を把握した日から7日以内）

漏えい等の事実を把握した場合、被害を受ける可能性のある個人に対しては、速やかに通知する必要があります。通知は、漏えい等の事実を把握した日から7日以内に行うようにしてください。

通知の内容には、「漏えいした個人情報の種類」、「影響の可能性」、「対処方法」などを明確かつ分かりやすく記載してください。また、通知方法についても適切な方法を選択し、個人情報保護法に準拠した手続きを行ってください。

以上が個人情報保護法における漏えい等の報告フローです。迅速かつ適切な対応を行い、個人情報の保護と被害の最小化に努めるようお願いいたします。

出典：個人情報保護委員会

＼サイバー攻撃被害　24時間365日受付／

漏えい等報告が必要な事態

2022年4月から、個人データの漏えい等が発生し、個人の権利利益を害する恐れがあるときは、個人情報保護委員会への報告及び個人情報が漏洩した本人への通知が必要となります。

以下は個人の権利利益を害する恐れがある時に該当する事態です。

情報漏えいが発覚してから3～5日以内に、情報流出の経緯や被害状況を報告する必要があります。また、発覚から30日以内に詳細な原因調査結果を報告する義務があります。

要配慮個人情報が含まれる事態

「要配慮個人情報」とは、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実など、個人に対して差別や不利益を引き起こすおそれのある情報を指します。また、身体障害、知的障害、精神障害などの障害情報や健康診断、診療・調剤情報も含まれます。

さらに、本人が被疑者または被告人として逮捕、捜索等の刑事事件に関する手続きが行われたことや、非行少年として保護処分等の少年保護事件が行われたことも要配慮個人情報に該当します。これらの情報は特に敏感であり、適切な管理と取り扱いが求められます。

財産的被害が生じるおそれがある事態

財産的被害が生じるおそれがある個人データには、クレジットカード番号、口座番号、生年月日など、財産的影響を与える可能性のある情報や、企業秘密などの機密情報が含まれます。

個人データが漏えいし、不正に利用されると金銭的な損害を引き起こす可能性があります。個人データの漏えいが発生した場合、速やかに個人情報保護委員会への報告が求められます。

不正の目的をもって行われた漏えい等が発生した事態

不正の目的で行われた行為による個人情報の漏えい等は、民間事業者や行政機関で発生する可能性があります。民間事業者では、不正行為による漏えいや取得しようとしている個人データが対象となり、行政機関でも同様に、不正行為による保有個人情報の漏えい等が該当します。従業者のみならず、盗難などの第三者の関与も含まれます。

1,000人を超える漏えい等が発生した事態

個人データに関して、民間事業者は漏えいが1,000人を超える場合、行政機関は100人を超える場合に、漏えい等の報告義務が生じます。

いずれの場合も、個人情報の漏えい等が発生した際には、速やかに被害の全容を正確に把握し、個人情報保護委員会に報告したうえで、個人情報の所有者へ通知することが求められます。

出典：個人情報保護委員会

＼サイバーセキュリティの専門家へ24時間365日で無料相談／

個人情報保護法における漏えい等の罰則

個人情報保護法では、漏えい等が発生した際、過失があった場合に罰則が科されます。

具体的には以下のような罰則が適用されます。

特に「安全管理措置の不備」や「重大な過失」に対して、厳しい罰則が適用されます。

具体的な不備や過失の例として、次のようなことが挙げられます。

情報漏えいによる被害調査は専門業者に相談する

個人情報の漏えいを未然に防ぐために行うべきこと

個人情報漏えいを未然に防ぐためには、以下の対策を行うことが大切です。

• セキュリティ意識の向上
• ネットワークセキュリティの強化
• アクセス制御の強化
• データの暗号化
• バックアップと復旧計画の策定
• 定期的なセキュリティ評価

セキュリティ意識の向上

現代のサイバー攻撃は巧妙化しており、情報漏えいのリスクが高まっています。従業員一人ひとりが自分の行動がセキュリティに与える影響を理解し、意識的にリスクを避けることが重要です。セキュリティ意識を高めることで、攻撃を未然に防ぎ、企業全体のセキュリティを強化できます。

また、以下の対策を実施することも効果的です

ネットワークセキュリティの強化

ネットワークセキュリティの強化は、組織の情報資産を守るために不可欠な対策です。サイバー攻撃が進化する中で、内部および外部の脅威からネットワークを保護するため、以下の対策が重要です。

アクセス制御の強化

アクセス制御の強化は、情報の機密性と整合性を守るために重要です。適切なアクセス権限を設定し、不正アクセスを防ぐために、以下の対策が必要です。

データの暗号化

データの暗号化は、情報を保護するための重要な手段であり、特に機密性の高いデータを安全に管理するために必要です。

バックアップと復旧計画の策定

バックアップと復旧計画は、データ損失やサイバー攻撃に対する重要な備えです。適切なバックアップを確保し、迅速にデータを復旧できる体制を整えることで、システムのダウンタイムを最小限に抑え、業務の継続性を保つことができます。

定期的なセキュリティ評価

定期的なセキュリティ評価は、組織のセキュリティ対策が効果的に機能しているかを確認し、必要な改善を行うための重要なプロセスです。脅威の進化に対応するため、評価を通じてセキュリティ対策を継続的に強化することが求められます。

上記対策を講じ、定期的なセキュリティ評価を講じることで、個人情報の漏えいなどのリスクを低減することができます。