① 72 時間ルールとは — 個情法で変わったこと
2022 年 4 月改正の個人情報保護法により、個人情報の漏洩・滅失・毀損が発生した事業者は、個人情報保護委員会への報告と、本人への通知が義務化されました。
特に、以下に該当する場合は速報:発覚から 3〜 5 日以内(概ね 72 時間)・確報:30 日以内(不正の場合は 60 日以内)の報告が必要です。
- 要配慮個人情報(病歴・犯罪歴等)の漏洩
- 財産的被害が発生する恐れがある情報(クレカ番号等)の漏洩
- 不正の目的によるおそれがある漏洩
- 1,000 人を超える個人データの漏洩
違反すると、個人情報保護委員会からの勧告・命令、最悪の場合最大 1 億円の罰金が課されます。「中小企業だから見逃してくれる」はありません。
注意
法律の詳細は個人情報保護委員会公式サイトで必ずご確認ください。本記事は 2026 年現在の概要です。
② 発覚直後(0〜 1 時間):初動対応
0〜 1 時間
パニックせず、冷静に状況を記録・共有
- 証拠保全:サーバログ・アクセスログを保存。再起動・ログ削除は絶対にしない
- 社内連絡:情報システム責任者→経営者へ即時連絡。チャットでなく電話で確実に
- 被害拡大防止:侵入ルートが特定できる場合、該当サービスの停止・パスワード変更
- 記録開始:発覚日時、発覚者、被害想定内容を時系列で記録(後の報告書で使用)
③ 1〜 24 時間:事実関係の調査
1〜 24 時間
何が、どのくらい、どう漏洩したかを特定
- 漏洩範囲の特定:どの個人情報が、何件、誰の情報が流出したか
- 原因の特定:外部からの不正アクセスか、内部不正か、設定ミスか
- 専門家への連絡:自社だけで判断せず、情報セキュリティ事業者 or 顧問弁護士に相談
- 社内体制の確立:対応チーム組成、報告ラインの明確化
- 警察への被害届:外部不正アクセスの場合は検討
④ 24〜 72 時間:速報・対外対応
24〜 72 時間
個人情報保護委員会への速報・本人への通知
- 速報の提出:個人情報保護委員会の漏えい等の報告フォームから、わかっている範囲で報告
- 本人通知:漏洩対象者に対し、「何が漏れたか、どんなリスクがあるか、二次被害を防ぐための対応」を通知
- プレスリリース:規模が大きい場合、自社サイトでの公表(お詫び文)。隠蔽は後々の信頼損失が大きい
- 取引先への連絡:取引先のデータが含まれる場合、個別に連絡
- 問い合わせ窓口の設置:専用窓口(メール・電話)を設置
⑤ 72 時間後〜:確報・再発防止
72 時間後〜 30 日
確報の提出と再発防止策の実行
- 確報の提出:30 日以内(不正目的の場合 60 日以内)に、原因・被害範囲・再発防止策を含む詳細報告
- 原因分析:技術的要因・組織的要因・プロセス要因を切り分け
- 再発防止策の実施:WAF 導入、脆弱性修正、社内研修、監視強化など、根本原因への対策
- 事後報告書の作成:社内の役員会議・取締役会への正式報告
- 外部監査:状況によっては、第三者による再発防止策の有効性評価
⑥ 発生前に準備しておくこと
情報漏洩は「起きるかどうか」ではなく「いつ起きるか」の問題。事前準備で初動の品質が決まります。
必ず準備すべき 4 項目
- 社内連絡網:夜間・休日に発覚した場合の連絡順序
- 外部相談先:セキュリティ事業者、顧問弁護士、保険会社の連絡先
- ログ保全ルール:サーバログは 90 日以上保存、改ざん検知機能あり
- 事前テンプレート:プレスリリース・ユーザー向け通知文の雛形
サイバーセキュリティ保険の加入
月額 1 万円〜程度で、漏洩時の対応費用・損害賠償を補償する保険があります。中小企業こそ、万一の資金面での備えとして検討価値あり。
まとめ
情報漏洩対応の鉄則は、「速さ・正直さ・体系立った記録」です。
- 速さ:72 時間ルールを守る
- 正直さ:漏洩を隠蔽しない(後の信頼損失が大きい)
- 体系立った記録:時系列で全対応を文書化
そして最も重要なのは、この対応マニュアルを「発生前に」社内で共有すること。緊急時にゼロから考える余裕はありません。
POINT
合同会社 SKY は、札幌・北海道の中小企業向けに、事前のセキュリティ診断・インシデント対応体制整備をご相談いただけます。「うちはこの体制で大丈夫?」のチェックから始めませんか。