先に答え： 個人情報の漏えい（またはその疑い）が分かった最初の24時間にやることは3つです。①被害を止める（怪しいシステムを切り離す）、②証拠を残す（ログや画面を消さない・上書きしない）、③事実を集める（何が・いつから・何人分か）。この3つが終わっていれば、翌日からの報告・公表に間に合います。難しい技術の話は不要です。

この記事は誰のため？

総務・人事・お客様窓口・経営の方のためです。情報システム担当がいない会社、外部に保守を任せている会社を想定しています。2026年の秋は、アプリや会員サイトへの不正アクセスで数百万件規模の漏えいが相次ぎ、政府機関が10月に連続で注意喚起を出しました（出典は記事末）。「うちは小さいから関係ない」とは言えない状況です。

「漏えい」とは？「おそれ」でも動くのか？

漏えい等とは、個人データが外に出ること（漏えい）、消えること（滅失）、壊れること（毀損）の総称です。個人情報保護法では、「漏えいしたおそれ」の段階で報告の対象になります。確定を待つ必要はありません。「おそれ」で動くのが正解です。

とくに次の4つのどれかに当てはまると、個人情報保護委員会への報告と本人への通知が義務になります。

報告が義務になる4つの場合例
要配慮個人情報が含まれる病歴、健診結果など
財産的な被害が出るおそれクレジットカード番号、口座番号
不正の目的によるおそれ（不正アクセス・ランサムウェア・持ち出し）外部からの侵入は1人分でも対象
1,000人を超える会員名簿、アプリ登録者

不正アクセスは3つ目に当たります。人数に関係なく報告対象です。ここを知らずに「件数が少ないから」と様子見をするのが、最初のつまずきです。

最初の24時間にやる3つのこと

1. 止める（0〜3時間）：怪しいシステムを切り離す

結論：電源は切らず、ネットワークから外す。 判断は1人に任せず、2人で決めます。

  1. 保守会社・システム担当に電話で連絡する（メールは読まれないことがある）
  2. 不正アクセスを受けた疑いのあるサーバー・サービス・アカウントをネットワークから切り離す（サービス停止・該当機能の停止・パスワードの初期化）
  3. 電源は切らない（メモリ上の証拠が消える。保守会社の指示に従う）
  4. 管理画面・VPN・クラウドの管理者パスワードを変更し、多要素認証をオンにする
  5. 「いつ・誰が・何をしたか」を時刻つきでメモする（この記録があとで報告書になる）

よくある失敗は「お客様に迷惑がかかるから止められない」と迷うことです。止めるのが遅れた分だけ、漏れる件数が増えます。

2. 残す（0〜6時間）：証拠を消さない・上書きしない

結論：ログ・画面・メール・不審なファイルは「触らずに残す」。

  1. アクセスログ・ログイン履歴・管理画面の操作履歴を保存期間の延長・コピーで確保する（保守会社に「ログを消さないで」と伝える）
  2. 不審な画面・メール・ファイルはスクリーンショットを取り、元のまま残す
  3. ログの消去・サーバーの初期化・ファイルの削除は、専門家が確認するまでしない
  4. 外部の調査会社（フォレンジック）に依頼する場合は、この時点で連絡だけ入れる（着手は翌日でよい）
  5. 警察と IPA に相談する。警察は警察庁「サイバー事案に関する通報等のオンライン受付窓口」（都道府県を選ぶと管轄の警察本部に届く）か、都道府県警察のサイバー犯罪相談窓口へ。緊急時は110番。あわせて IPA「不正アクセス特別相談窓口（事業者向け）」（03-6759-5760、平日9:30〜17:30、2026年10月16日開設）に電話すると、初動の応急処置と対応業者の紹介が受けられる

※ 警察の「#9110」は生活安全全般の相談専用電話で、サイバー事案の専用窓口ではありません

3. 集める（3〜24時間）：報告に必要な「9つの項目」を埋め始める

結論：翌日の報告書は、このメモがそのまま下書きになる。

個人情報保護委員会への報告は、次の9項目で構成されています。24時間の時点で分かる範囲を埋めます。空欄があっても構いません。

報告書の9項目24時間時点で書くこと
① 概要いつ、どのシステムで、何が起きたか
② 漏えいした個人データの項目氏名・住所・メール・電話・カード情報 など
③ 本人の数「最大〇人（対象のデータベースの登録者数）」で可
④ 原因「調査中。外部からの不正アクセスの疑い」で可
⑤ 二次被害のおそれなりすましメール、カード不正利用 など
⑥ 本人への対応「通知方法を検討中」で可
⑦ 公表の実施状況「未実施。〇日に判断」で可
⑧ 再発防止策「原因確定後に策定」で可
⑨ その他警察・保守会社・調査会社への連絡状況

同時に、対策本部を作ります。人数は少なくてよく、役割は4つです。

役割誰が24時間以内にやること
責任者社長または役員止める・公表するの最終判断
事実担当情報システム・保守会社窓口原因と範囲の確認、ログ保全
対外担当総務・広報個人情報保護委員会・警察・取引先への連絡準備
お客様担当お客様窓口責任者問い合わせが来たときの第一声の文案（第3回で詳述）

24時間の時点で「やらない」3つのこと

  1. SNSや取引先への断片的な発信。確認前の情報は訂正が必要になり、信用を落とします。
  2. ログの削除・サーバーの初期化。原因が分からなくなり、報告書が書けません。
  3. 担当者を責めること。怖がって報告が遅れるのが、いちばんの被害拡大です。

2026年の事案から学べること

  • Eストアー（2026年8月公表）：5月21日から8月1日まで不正なプログラムが動いていました。発覚した8月1日に通信を遮断し、同日に第1報を出しています。「止める」と「知らせる」を同じ日にやった例です。最終報は10月16日で、対象は約2,335万人と公表されました（公表時点）。
  • デジタル庁（2026年9月公表）：6月25日に職員アカウントの大量アクセスを検知し、不正アクセスと判明したのは7月9日でした。検知から判断までの2週間が、現場の難しさを示しています。「おかしい」と思った時点で止める判断が求められます。

よくある質問（FAQ）

Q1. 漏えいしたかどうか確定していなくても、動く必要がありますか？
A. あります。個人情報保護法は「漏えいしたおそれ」の段階で報告対象としています。不正アクセスの疑いがあれば、確定を待たずに「止める・残す・集める」を始めてください。

Q2. 漏れたのが数十人分でも、個人情報保護委員会への報告は必要ですか？
A. 不正アクセスなど「不正の目的」による漏えいは、人数に関係なく報告対象です。1,000人という基準は、不正目的ではない場合（誤送信など）の基準です。

Q3. サーバーの電源を切ってよいですか？
A. 原則として切らず、ネットワークから切り離します。電源を切ると証拠が消えることがあります。保守会社の指示に従ってください。

Q4. 最初に連絡する先はどこですか？
A. 社内の責任者と保守会社が最初です。次に、警察庁の「サイバー事案に関する通報等のオンライン受付窓口」か都道府県警察のサイバー犯罪相談窓口、そして IPA の「不正アクセス特別相談窓口（事業者向け）」に相談します。個人情報保護委員会への速報は24〜48時間のあいだに準備します（第2回で解説）。

Q5. 委託先（外部のシステム会社）で漏えいが起きた場合も、自社が報告するのですか？
A. 原則として、個人データを預けた側（委託元）に報告義務があります。委託先は委託元に通知すれば、自ら報告しなくてよい仕組みです。委託先から連絡を受けたら、自社の事案として動いてください。

連載の他の回

Zationパートナーズができること

漏えい公表のあとに増える問い合わせ電話を、専用窓口として即日で引き受けます。詳しくは お問い合わせ窓口・コールセンター代行へ。

執筆：田村佳則（パートナーズタイムス編集長）　監修：田村佳則 編集長
公開：2026年10月20日　更新：2026年10月20日
本記事は現行の個人情報保護法（第26条・施行規則）に基づきます。2026年7月17日公布の改正法は本稿時点で施行前です。

出典

  • 個人情報保護委員会「漏えい等の対応とお役立ち資料」https://www.ppc.go.jp/personalinfo/legal/leakAction/ ／ ガイドライン（通則編）3-5-3・3-5-4 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
  • 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）
  • JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」JPCERT-AT-2026-0030（2026年10月8日、10月9日更新）https://www.jpcert.or.jp/at/2026/at260030.html
  • 警察庁「サイバー事案に関する通報等のオンライン受付窓口」／「警察相談専用電話 #9110 のご案内」
  • IPA「不正アクセス特別相談窓口（事業者向け）」（2026年10月16日公開・10月20日更新）
  • Eストアー株式会社 第1報（2026年8月1日）https://estore.jp/press/20260801/ ・最終報（2026年10月16日）https://estore.jp/press/20261016/
  • デジタル庁「ガバメントソリューションサービス（GSS）への不正アクセスについて」（2026年9月11日）https://www.digital.go.jp/news/2026-0911-01
  • 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）
# 不正アクセス # 個人情報保護法 # 初動対応 # 情報漏えい