サイバー攻撃や情報持ち出し、人的ミスなどによる個人情報の漏えいは毎年発生しています。一度の情報漏えいによって数千人から数十万人の個人情報が流出する場合もあるため、個人の権利利益を保護するために個人情報の漏えい等が発生した企業、団体は国の個人情報保護委員会へ報告義務が課せられています。

情報漏えい時に個人情報保護委員会へ被害状況を適切に調査して報告しなければ、罰金が科せられます。しかし企業の報告義務についてよくわからないという方も多いため、本記事では情報漏えいにおける個人情報保護委員会への報告義務について解説します。

＼24時間365日　相談受付／

企業の情報漏えいインシデント対応が義務化されています

2022年4月から改正個人情報保護法が施行されました

2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。

もしサイバー攻撃や情報持ち出しにより個人情報が漏えいした場合、まず感染経路や漏えいしたデータを確認することが重要です。しかし、調査を行う場合、法知識や専門技術が必要です。これは自社のみで対応するのが困難なため、フォレンジック専門家と提携して調査を実施することをおすすめします。

＼相談から最短30分でWeb打ち合わせを開催／

個人情報保護委員会への報告が必要な場面

個人情報取り扱い事業者は、、データの漏えい等が発生ないし、その恐れがあり、個人の権利利益を害するおそれがある場合に個人情報保護委員会及び、本人への報告が必要になります。

具体的な情報漏えいの内容は以下の通りです。

要配慮個人情報が含まれる個人情報の漏えい

要配慮個人情報とは、人種、信条、社会的身分、病歴、犯罪歴、身体障害、精神障害など「社会的差別の原因となるおそれのある個人情報」をいいます。

要配慮個人情報が含まれる個人情報が漏えいした場合、個人のプライバシーが侵害されるだけでなく、差別や偏見につながる可能性があります。そのため、要配慮個人情報の漏えい等が発生した場合は、速やかに個人情報保護委員会へ報告する必要があります。

不正利用により財産的被害が生じるおそれがある個人情報の漏えい

財産的被害が生じるおそれがある個人データとは、クレジットカード番号、口座番号、生年月日などの個人情報、あるいは企業秘密などの機密情報をいいます。

これらの個人情報が漏えいし、不正に利用されると、損害を被ったりする可能性があります。そのため、財産的被害が生じるおそれがある個人情報の漏えい等が発生した場合は、速やかに個人情報保護委員会へ報告する必要があります。

不正が目的で行われた個人情報の漏えい

これは、不正アクセスやマルウェア（ランサムウェア）感染、情報持ち出しなどの不正行為により個人情報が漏えいしたケースをいいます。この場合、個人や企業に重大な被害が及ぶ可能性があるため、速やかに個人情報保護委員会へ報告する必要があります。

一定数以上を越えた個人情報の漏えい

情報漏えいにより、流出した個人情報が1,000人を越えるおそれがある場合は、速やかに個人情報保護委員会へ報告し、個人情報の所有者へ通知する必要があります。

条例要配慮個人情報が含まれる保有個人情報の漏えい

条例要配慮個人情報とは、本人に対する不当な差別、偏見その他の不利益が生じないよう、その取扱いに特に配慮を要する個人情報を地方公共団体の条例で特別に規定したものです。

条例要配慮個人情報に該当する具体的な個人情報は、地方公共団体によって異なりますが、例えば以下のような個人情報条例が該当する場合があります。

• 性的指向
• 性自認
• 妊娠
• 出産
• 育児
• 障害
• 疾病
• 経済的困窮
• DV被害
• 虐待被害
• 人身売買被害

条例要配慮個人情報の取扱いについては、厳格な規制が設けられており、漏えい・滅失・毀損を防止するための安全管理措置を講じる必要があります。

いずれにせよ、個人情報の漏えい等が発生した場合は、速やかに被害の全容を正確に把握し、個人情報保護委員会へ報告するとともに個人情報の所有者へ通知する必要があります。

＼相談件数39,451件以上　24時間365日受付／

個人情報保護委員会への報告期限

情報漏えいが発生した際に、企業は個人情報保護委員会へ2回報告する必要があります。

それぞれ報告内容と報告期限が定められているため、注意しましょう。

漏えい等の事実が発覚したら、3〜5日以内に個人情報保護委員会へ通報

企業や組織が個人情報の漏えい等の事実を確認した場合、速やかに個人情報保護委員会への報告が必要です。報告は事実を確認した日から3〜5日以内に行うようにしてください。なお、内容には、漏えい等の事実やその背景、影響範囲について簡潔かつ明確に記載する必要があります。

発覚から30日以内に被害を調査して個人情報保護委員会へ報告

個人情報保護委員会へ通報後、30日以内に、情報漏えい被害の調査結果や影響範囲、再発防止策などを調査し、再度個人情報保護委員会への詳細に報告する必要があります。報告には、漏えい等の事実、原因や経緯、被害の程度、個人情報の保護策の再評価などを書くとよいでしょう。

しかし、自社だけでの調査は不完全とされています。その理由は、以下のとおりです。

• 漏えいの原因や影響範囲を把握しきれない場合がある。
• 再発防止策を十分に講じれない可能性がある。

そのため、データ漏えいが発生した場合は、外部の調査専門業者に調査を依頼することが重要です。

特にフォレンジック調査会社は、デジタル機器のデータ保全やアクセス調査に関する専門技術を保有しています。この技術により漏えいの原因や影響範囲を的確に把握し、再発防止策を十分に講じることができます。調査報告書も作成してもらえるため、個人情報保護委員会へそのまま報告することも可能です。

個人情報保護法における漏えい等の罰則

企業で情報漏えいが発生したにも関わらず、報告・調査を怠った場合は、国から以下の罰則が科せられます。

• 個人情報保護委員会の措置命令に従わない場合は、1年以下の懲役または100万円以下の罰金
• 個人情報保護委員会へ資料の提出や報告を行わない、虚偽の報告を行った場合は50万円以下の罰金、個人情報取扱事業者の場合は１年以下の懲役又は100万円以下の罰金
• 法人の代表や従業員が措置命令違反、個人情報データベース等不正流用を行った場合は１億円以下の罰金

出典　個人情報保護委員会

個人情報漏えい時に個人情報保護委員会へ報告する方法

個人情報が漏えいした場合に個人情報保護委員会へ報告する方法は以下の通りです。

1. 漏えいの状況を把握する
2. 漏えいした情報の種類とデータ量を特定する
3. 漏えいした情報にアクセスした可能性がある人物を特定する
4. 漏えいした情報の被害を最小限に抑える対策を講じる
5. 漏えいした情報の本人や関係者に通知する
6. 個人情報保護委員会や監督官庁に報告する
7. 情報漏えいの原因を調査し、再発防止策を講じる
8. 個人情報保護委員会へ情報漏えいの調査結果について詳細を報告する

情報漏えいが発覚したら、速やかに個人情報保護委員会へ被害状況を報告する必要があります。その後企業で情報漏えいの調査を外部機関などと協力して行い、より詳細な内容を再度個人情報保護委員会へ報告しましょう。

個人情報漏えい時に本人へ通知する方法

漏えい等の事実を把握した場合、被害を受ける可能性のある個人に対しては、速やかに通知する必要があります。通知は、漏えい等の事実を把握した日から7日以内に行うようにしてください。

通知の内容には、「漏えいした個人情報の種類」、「影響の可能性」、「対処方法」などを明確かつ分かりやすく記載してください。また、通知方法についても適切な方法を選択し、個人情報保護法に準拠した手続きを行ってください。

以上が個人情報保護法における漏えい等の報告フローです。迅速かつ適切な対応を行い、個人情報の保護と被害の最小化に努めるようお願いいたします。

出典：個人情報保護委員会

個人情報保護委員会への報告資料の作成はフォレンジック調査専門業者にご相談ください

情報漏えいにより個人情報保護委員会に報告義務が発生した場合は、外部のフォレンジック調査会社に相談することをおすすめします。フォレンジック技術は高度な専門性が必要な技術のため、自社のみの調査は限界があります。加えて企業内の人物のみで調査を行うとデジタルデータの客観性が担保されません。

フォレンジック調査とは

フォレンジック調査とは電子的な情報やデータを収集・解析することで、事件や犯罪の真相を究明する手法です。

情報漏えいの事実を確認する場合、フォレンジック調査を応用することで、パソコンやスマートフォンなどの端末やネットワークのログ、電子メールのやり取りの内容、マルウェアの感染経路、不正アクセスの形跡などの情報を収集・解析することができます。

デジタルデータは削除・改ざんが容易なため、一般的な方法でコピーや保存を行っても裁判や個人情報保護委員会では証拠として取り扱ってもらえない場合があります。

しかしフォレンジック技術でデジタルデータを正しく保全・復元したデータは改変がされていないことを証明できるため、情報漏えいの証拠となります。

フォレンジック調査の調査内容

フォレンジック調査では以下のデータが調査できます。いずれのデータも正しく保全できていれば情報漏えいやサイバー犯罪の証拠として行政に報告が可能です。

• パソコン・スマートフォンのアクセス履歴
• 開いたファイルの履歴
• 外付けHDDやUSBメモリなど外部接続機器の接続履歴
• インターネットおよび社内サーバアクセス履歴
• プログラムの実行履歴
• 削除したファイル・メール・アプリの有無
• Office文書のプロパティ情報
• 画像・動画データ
• 電話帳のデータ
• チャット履歴

以上のデータ以外のデジタルデータでもインシデントの内容によっては、証拠として用いることができる場合があります。詳しくはフォレンジック調査会社までご相談ください。

フォレンジック調査の流れ

デジタル・フォレンジック調査の手順や流れは次のようになります。

1. ヒアリング
2. デジタル機器の保全
3. 解析・分析
4. データの復元
5. 調査結果の報告

①ヒアリング

フォレンジック調査では、全体の状況を把握し、正確な処理を行うため、最初に相談者と被害状況などのヒアリングを行います。これにより調査するデータや端末の認識をそろえ、調査のゴールを明確にしたうえで作業を開始します。

②デジタル機器の保全

フォレンジックの証拠保全とは、コンピューターやネットワーク上に存在するデータを収集し、証拠として証明する「法的に正しいプロセス」を指します。フォレンジックの証拠保全は、司法機関、法務機関、警察機関など法執行機関で広く活用されています。

デジタル機器の保全は、デジタルフォレンジック調査において非常に重要なステップです。なぜなら通話履歴やアクセスログ、そしてアプリケーションの操作履歴などは、端末を操作しただけで書き換わってしまうからです。

仮にデータが書き換わると正確な調査が出来ず、法廷機関にも証拠用データが提出できなくなってしまいます。一方、フォレンジック専門技術では、特殊なツールを用いてクローン機器を作成し、オリジナルデータを確保した上で調査をおこなうことが可能となっています。

③解析・分析

解析・分析作業では、ウイルスやハッキングの経路や被害規模を明らかにします。これによりインシデントがどのように起こったのかを特定し、セキュリティ上の脆弱性を発見することで、今後のリスクマネジメントに活かすこともできます。

なお、ログやパケットデータの解析を個人で特定することは困難ですが、フォレンジック調査では、適切な手続きで正確に情報を割り出し、解析することが可能です。

④データの復元

フォレンジック調査では、データ復元を行うことが多くあります。なぜなら、企業内の不正行為などでは、しばしば当事者が証拠隠滅を目論み、データを削除するなどの悪事を働いているからです。そのため、フォレンジック調査では、データ削除や改ざんの有無を把握したうえで、特殊なツールや専門技術を用いて、データ復旧を行っています。

しかし、デジタル機器、とくにメモリ機器からのデータ復旧は難易度が高く、規模が小さいフォレンジック調査の専門業者では対応が難しいことも多いです。そのため、フォレンジック調査に依頼する際は、調査対象の端末の状況を確認したうえで、データ復旧の技術力がある業者に依頼することが重要となっています。

なお、当社のデータ復旧サービスは14年連続国内売上トップクラス（※）。東京都経営革新優秀賞も受賞し、累計データ復旧相談数は41万件を突破しています。

（※）データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと、 第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）

⑤調査結果の報告

最終的に、調査結果の詳細はレポートにまとめ、提出されます。当社のレポートは法廷利用可能な資料として扱うことが可能です。忙しくて個人情報保護委員会へ報告する資料を作成できない場合は、フォレンジック調査会社まで相談しましょう。

国内の情報漏えい事件

上記は、2004年から2022年までの主な情報漏えい事件の一覧です。情報漏えい事件は、個人情報の流出だけでなく、二次被害としてなりすましや詐欺、不正利用などの問題が発生する可能性があります。よって企業や団体は、情報漏えい対策を講じることが重要です。

 

情報漏えい発生の原因

個人情報の漏えいは、複数の原因で起こります。

デジタルアーツ社が2022年2月に公開した「過去3年分の国内セキュリティインシデント集計」によれば、個人情報の漏えいで最も多いのが「不正アクセス」です。

不正アクセスとは、悪意のある第三者が、不正な手段でシステムに侵入して、個人情報を盗み出すことで、脆弱性を突いたハッキングが過半数を占めています。

次に多いのが「誤操作や設定不備」です。誤操作とは不注意やミスによる漏えいで、設定不備はシステムやソフトウェアの設定が不十分で、個人情報が漏えいしてしまうことです。

つまり、個人情報の漏えいを防ぐには、不正アクセスや設定不備の対策が大切です。

たとえば、以下のようなものがあります。

• セキュリティソフトを導入し、最新の状態に保つ
• パスワードを定期的に変更し、強固なものにする
• 不必要に個人情報をインターネット上に公開しない
• 端末を紛失・盗難しないように注意する
• 端末を不正アクセスから保護する設定を行う
• 社内ネットワークを保護する設定を行う
• 従業員にセキュリティ教育を行う

以上のような対策を講じることで、個人情報の漏えいを最大限防ぐことができます。

仮に、個人情報の漏えいが発生した場合は、速やかに関係当局に報告し、適切な調査・報告を行う必要があります。

フォレンジック調査を業者に相談するメリット

個人情報の漏えいが発生した場合、デジタル機器のデータを適切な方法で保全・解析を行うフォレンジック調査専門業者に相談すると、個人情報保護委員会へ提出する報告書の作成も行ってもらえるため、自社で調査するよりも早く委員会へ報告することが可能です。

その他のフォレンジック調査を行うメリットは以下の通りです。

行政機関に提出できる報告書が作成できる

フォレンジック調査専門業者が作成する報告書は、個人情報保護委員会をはじめ警察や裁判所に証拠として提出することが可能です。

デジタルデータの証拠保全には高度な専門技術が使われるため、一定以上の知識が要求されますが、報告書は誰が読んでもわかるように調査結果をまとめられます。結果、データの改ざんや削除がないことを客観的に証明できる証拠となります。

ダークウェブ上に流出した情報を特定可能

ダークウェブとはインターネット上に存在する、一般的な検索エンジンでは検索不可能なサイトの一部を指します。匿名性が高いことから、犯罪性が高いWebサイト群を指します。

主にランサムウェアやマルウェア感染によって個人情報やパスワードなどが漏えいすると、ダークウェブ上で売買が行われる場合があります。

売買された個人情報やパスワードは、企業へのサイバー攻撃や犯罪組織の資金源に活用されてしまうため、知らない間に加害者になってしまう可能性もあります。

ダークウェブ調査にも対応しているフォレンジック調査会社であれば、個人情報や企業情報の流出の有無や流出した情報の特定が可能です。

セキュリティの脆弱性を特定できる

マルウェアやランサムウェアによって情報が流出した場合、フォレンジック調査を実施することで、マルウェアの侵入経路を特定することが可能です。またマルウェアが侵入を試みた形跡がないかなど確認し、企業のセキュリティの脆弱性を特定し、報告書にまとめます。

＼累計2.4万件の相談実績　まずはご相談ください／

情報漏えいによる被害調査は専門業者に相談する

情報漏えいを未然に防ぐ方法

情報漏えいを未然に防ぐためには、社内セキュリティの強化や従業員のセキュリティに対する意識を向上させる必要があります。企業で対応できるセキュリティ対策には以下のものが挙げられます。

セキュリティ意識の向上

• 従業員に対してセキュリティ教育を実施する
• フィッシング詐欺やスパムメールなどの手口を理解し、警戒心を持たせる
• 強力なパスワードの使用と定期的な変更を促す

ネットワークセキュリティの強化

• ファイアウォールや侵入検知システム（IDS）などのセキュリティツールを導入する
• ソフトウェアのアップデートやセキュリティパッチの定期的な適用を行う
• 不要なネットワークサービスやポートを無効化する

アクセス制御の強化

• 個別のユーザーアカウントを作成し、必要最小限のアクセス権限にする。
• ユーザーの活動を監視し、不審な活動（アクティビティ）を検出する仕組みを導入する。
• 機密データへのアクセスには二要素認証を導入する

データの暗号化

• 機密データを暗号化することで、情報漏洩時の被害を最小限に抑える
• モバイルデバイスや外部メディアなどのデータも暗号化する

バックアップと復旧計画の策定

• 定期的にバックアップを取得する
• バックアップデータの保管先は感染防止のため物理的に切り離された場所に保管する
• 不正アクセスによりデータが損なわれた場合を想定した復旧計画を策定する

定期的なセキュリティ評価

• 上記の項目を基準として、セキュリティ対策の状況を定期的に評価し、改善を行う
• 評価の結果をもとに、脆弱な箇所を改善し、セキュリティ対策を強化する

これらの対策を講じ、定期的なセキュリティ評価を講じることで、個人情報の漏えいなどのリスクを低減することができます。