「現時点では、情報の流出は確認されていません」
「個人情報が漏えいしたおそれがあります」
「本件による二次被害は確認されていません」

情報セキュリティの事案に関する公表文で、こうした表現を読むことがあります。

では、「流出を確認していない」と書かれていれば、漏えいはなかったのでしょうか。「二次被害がない」という説明は、情報が外へ出ていないことを意味するのでしょうか。

確認できていないことと、起きていないと確認できたことは違います。 個人情報保護委員会も、誤公開などの際にアクセスログ等を確認できない場合は、漏えい、または漏えいのおそれに該当し得ると説明しています。PPC

10月は、ファイル共有、委託先アカウント、予約データ、業務復旧などを取り上げてきました。最後となる今回は、事故が疑われたときに、何を事実として伝え、何を調査中とし、その後の説明をどう更新するかを考えます。

本文の管理表や文例は、当事業所による実務上の提案です。実在企業の内部手順を再現したものや、法令で指定された報告様式ではありません。

この1年の公表文は、何を確認したと説明しているか

まず、今月取り上げた事案の公表内容を、説明の範囲に注目して振り返ります。

アイスタイルの事案では、ファイルを閲覧できる状態だったことが説明されています。

同社の2026年9月16日付公表では、個人情報を含むファイルが約20分間、インターネット上で閲覧可能な状態だったとされています。一方、公表時点で、本件に起因する情報の不正利用や二次被害は確認されていないと説明しています。「閲覧可能な状態」と「不正利用の確認状況」を分けた記載です。

PCデポの事案では、不正なメール送信と、会員情報への影響が分けて説明されています。

2026年9月11日付公表では、送信用の認証情報が悪用され、正規の送信環境からフィッシングメールが送られたことを確認したとしています。同時に、当該認証情報には会員情報の閲覧権限がなく、公表時点で会員データベース等への不正アクセスや個人情報の漏えいは確認されていないと説明しています。

アスクルの事案では、情報が外部へ流出したことが明記されています。

同社のサイバーセキュリティに関するページでは、2025年10月の攻撃について、お客様情報や一部の取引先情報が外部へ流出したと説明しています。また、2025年10月31日に、初回の外部への情報公開を確認したという経過も掲載しています。参照したページは2026年8月4日更新です。

これらを、すべて「個人情報流出事件」と同じ言葉でまとめれば、各社が何を確認し、何を未確認としているかが伝わりません。

反対に、「二次被害は確認されていない」という部分だけを取り出して、「問題はなかった」と要約することも避けてください。

自社の第一報を作るときも、文章全体の印象ではなく、一つ一つの説明が、どの確認結果に基づいているかを点検することが必要です。

「不正アクセス」「漏えい」「二次被害」は、同じ確認事項ではない

公表文を読むときも、作るときも、何についての確認なのかを分けましょう。

次の表は、文章を確認するための整理例です。法令上の段階分類ではなく、必ずこの順番で事案が進むという意味でもありません。

公表文で使う表現説明するときに明確にしたいことその説明だけでは分からないこと
不正アクセスを確認したどのアカウントやシステムで、何を確認したか個人情報の閲覧・取得や、変更まで行われたか
漏えいのおそれがあるどの情報について、何を根拠にそのおそれを判断したか実際の閲覧・取得の有無や、確定した対象範囲
情報の流出を確認したどの情報の、どの範囲について確認できたか他の情報への影響や、その後の悪用の有無
二次被害は確認されていないいつの時点で、どの窓口・記録等を通じて確認しているか漏えいそのものがなかったことや、今後の被害がないこと

個人情報保護委員会は、二次被害の例として、カードやポイントの不正利用、漏えいしたメールアドレス宛てへの不審メールの送信などを挙げています。情報が外へ出たかどうかと、その情報がさらに悪用されたかどうかは、分けて確認する事項です。

また、システムを停止したことは、被害拡大防止のために行った措置です。それによって、停止前の閲覧や取得までなかったことになるわけではありません。

発生した事象、情報への影響、実施した措置、その後の被害を、一つの「安全です」という言葉へまとめないようにしましょう。

「実際のダウンロードを確認できないから、漏えいではない」とは判断しない

ここは、言葉の使い分けだけでなく、法令上の対応にも関わる重要な点です。

個人情報保護委員会のQ&Aでは、設定ミスで個人データをインターネット上から閲覧できる状態にした場合について、閲覧を不可能にするまで第三者が閲覧していないことを、アクセスログ等で確認できた例を示しています。一方、その確認ができない場合は、漏えい、または漏えいのおそれに該当し得ると説明しています。PPC

したがって、次の二つは区別してください。

「確認した記録から、第三者による閲覧がなかったことを判断できる」

「第三者による閲覧を調べるための記録がなく、判断できない」

後者を、前者と同じ意味で「漏えいなし」と記載することはできません。

同様に、「流出確認」という言葉を、ダウンロード記録が見つかった場合だけに適用する固定的な定義にしないでください。公表文でどの言葉を選ぶかと、法令上の漏えい等に該当するかは、事案の事実関係を踏まえて判断する必要があります。

本記事では、確認できた範囲を、例えば次のように記録する方法を提案します。

保存されている記録では、対象ファイルの外部取得を確認していません。ただし、公開されていた期間の一部について記録を取得できておらず、その期間の閲覧・取得の有無は判断できていません。

これは架空の状況に対する文例です。「記録を取得できない」という説明も、実際にそう確認できた場合だけ使用します。

「確認されていません」という一文に、確認できた範囲と、確認できなかった範囲を隠さないことが大切です。

公表、本人への通知、行政機関への報告は分けて管理する

事故対応では、誰へ何を伝えるかを整理します。

Webサイトにお知らせを掲載したことだけで、必要な連絡がすべて終わったとは考えないようにしましょう。

本記事では、少なくとも、社内の責任者への報告、法令に基づく報告、影響を受ける本人への通知、取引先・委託元への連絡、一般向けの公表を分けて管理することを提案します。

それぞれについて、担当者、期限、確認・承認する人、送付先、伝達結果を記録してください。一般向けには不要な技術情報でも、調査を依頼する専門家には必要な場合があります。逆に、詳細な調査資料を、そのまま一般向けの公表文にする必要はありません。

個人情報保護法上、漏えい等事案のすべてについて、一律に一般公表が義務付けられているわけではありません。個人情報保護委員会は、本人通知の代替措置として公表する場合を除き、事案に応じて公表が望ましいとする一方、公表が被害拡大につながる場合などにも言及しています。

本人への通知が必要な場合も、Webサイトへの掲載だけで当然に代えられるわけではありません。通知が困難な場合の代替措置には条件があります。また、連絡手段を複数持っているなら、一つの方法で連絡できなかっただけで、直ちに通知困難とはいえないとされています。

具体的な報告先や義務は、事業分野、情報の種類、契約などによって確認が必要です。社内の責任者と、必要に応じて弁護士や所管窓口へ確認してください。

「お知らせを出したか」ではなく、「必要な相手へ、必要な方法で伝えたか」を管理しましょう。

調査中であっても、報告の検討を止めない

個人情報保護委員会への報告は、情報の流出が完全に確定した場合だけを対象とするものではありません。

一定の要件に該当する個人データの漏えい等については、そのおそれがある場合も報告対象です。要配慮個人情報、財産的被害のおそれ、不正目的の行為、対象人数などの要件を確認する必要があります。

民間事業者について、主な時間的な扱いは次のとおりです。

対応時間的な扱い
速報報告対象事態を知った後、速やかに。目安は概ね3～5日以内
確報知った日から原則30日以内。不正目的の行為によるものなど、規則第7条第3号に該当する事態は60日以内
本人への通知当該事態の状況に応じて速やかに

速報は、その時点で把握している内容を報告する仕組みです。全容が判明するまで待つことを前提としていません。また、上表の期限は、一般向けの第一報を一律に何日以内に掲載するという規則ではありません。

「概ね3～5日」という目安を、5日間は何もしなくてよいという猶予として扱わないでください。

起算点にも注意が必要です。個人情報保護委員会は、個別の事案によるものの、部署内の従業者が報告対象事態を知った時点で、その部署が知ったと考えると説明しています。社長への報告日を、当然の起算点とするわけではありません。

そのため、現場から社内へ連絡する手順は、「漏えいが確定したら報告」ではなく、判断が必要な兆候を見つけた段階で責任者へつなぐ設計にしておくことをおすすめします。

公表文を書く前に、「確認事項管理票」を作る

第一報の作成で最初に取り組みたいのは、お詫びの言葉を整えることではありません。何を根拠に説明できるかを整理することです。

本記事では、文章の下書きとは別に、次のような確認事項管理票を用意する方法を提案します。

管理項目記録する内容
事象と日時発生したと考えられる日時、発覚日時、確認日時を区別する
確認済みの事実不正ログイン、誤公開、送信、データ変更など、実際に確認した内容
確認の根拠ログ、設定記録、サービス提供者の報告などの保管場所
対象となる情報情報の項目、対象期間、ファイル・システムの範囲
件数と単位人数、メールアドレス数、データ件数、送信通数など
未確認事項分かっていないこと、調査で確認できないこと、今後の確認予定
実施した措置停止、共有解除、認証情報の変更などの実施日時と結果
説明と更新の管理公表する表現、確認者、承認者、次回の見直し時刻

例えば、「情報流出なし」という記載案が出たら、その根拠を確認します。

「担当者がそう言っていた」だけなのか。どのログを確認したのか。対象のシステム全体を調べたのか。それとも一部だけなのかを整理してください。

未確認事項も、空欄にしないようにします。「対象人数は調査中」「当該期間の記録は取得できず、調査方法を検討中」など、現在の状態を明示します。

この管理票は、すべてをそのまま公表するための資料ではありません。社内で説明の根拠を共有し、文章の修正によって事実の範囲が変わらないようにするためのものです。

また、攻撃者からの申告や、外部から受けた未確認の情報は、自社が確認した事実と分けて記録してください。

第一報では、「何が分かり、相手は何をすればよいか」を伝える

第一報の目的を、事故の全容を説明し切ることだけにしないようにしましょう。

本記事では、その時点で確認できた事象、分かっていない範囲、実施した措置、相手に必要な行動、次の案内方法を中心にまとめることを提案します。

以下は、顧客情報を保存するシステムへの不正アクセスを確認したが、情報の取得範囲は未確定という、架空の状況に対する文例です。角括弧の部分は、確認した内容へ置き換えます。

【第1報】顧客情報を保存するシステムへの不正アクセスについて

［公表日時・日本時間］現在の状況をお知らせいたします。

当社は［発覚日時］、顧客情報を保存するシステムへの不正アクセスを確認しました。［措置の実施日時］に対象の接続を停止し、現在、アクセスされた情報の範囲と原因を調査しています。

対象システムには［氏名、電話番号、メールアドレス等、実際に保管している情報］が保存されています。現時点では、どの情報が閲覧・取得されたか、影響を受ける人数を確定できていません。

お客様には、ご心配とご迷惑をおかけしておりますことをお詫び申し上げます。

当社を名乗る連絡があっても、心当たりのない支払いや認証情報の提供を求められた場合は、その連絡に応じず、普段ご利用の公式窓口からご確認ください。当社の本件窓口から、パスワードや認証コードそのものをお尋ねすることはありません。

次回は［日時］を目安に、当社公式サイトの［掲載場所］で状況をお知らせします。お客様の対応に関わる重要な事項が判明した場合は、それ以前でもご案内します。

お問い合わせ先：［窓口、連絡方法、受付時間］

この文例も、接続の停止が確認できていない場合に「停止しました」と書いてはいけません。システムに保管している情報と、流出を確認した情報も区別します。

また、すべての事案でパスワード変更を求めるなど、影響を確認せずに同じ行動を案内しないようにしてください。必要な行動は、対象となる情報と事象に合わせて選びます。

お詫びは必要な説明に添えますが、お詫びの文章だけで事実や行動案内を置き換えないことが重要です。

「対象件数」は、何を数えた数字なのかを書く

公表文に数字を載せる場合は、単位と確定の程度を明確にしましょう。

PCデポが公表した約1,800通は、不審メールの送信に関する概算件数です。漏えいした個人情報の人数として読み替えることはできません。

自社でも、メールアドレスの数、顧客の人数、予約や注文の件数を混同しないようにします。

例えば、架空の調査で、対象ファイルに2,000件の記録があり、重複を除くと1,400人分だったとします。この場合、第一報の「2,000件」を、説明なく「1,400人」へ書き換えると、影響範囲が減ったのか、数え方を変えたのかが分かりません。

続報では、例えば次のように説明します。

第一報では、対象ファイルに含まれる記録の数として2,000件とお知らせしました。重複する記録を整理した結果、対象となる方の人数は1,400人であることを確認しました。今回の変更は集計単位の整理によるもので、対象ファイルの範囲を縮小したものではありません。

これは説明用の架空の数字です。

対象がまだ調査中であれば、「現時点で確認できた人数」「影響の可能性がある最大範囲」など、数字の意味を併記してください。

対象ファイルに含まれていた人数を、実際に全員分が取得されたと確認した人数として発表しないことも重要です。

続報では、「前回から何が変わったか」を先に示す

続報で第一報と同じ説明を繰り返すだけでは、新たに判明したことが伝わりません。

本記事では、冒頭で前回からの変更点を示し、その後に現在の全体像を記載する方法を提案します。

先ほどの架空の事案について、その後、一部の顧客情報が外部へ取得されたことを確認した場合は、例えば次のように書けます。

【第2報】顧客情報を保存するシステムへの不正アクセスについて

［公表日時・日本時間］現在、前回のお知らせから新たに確認した事項をご報告します。

調査の結果、［確認した情報の項目］について、外部への取得があったことを確認しました。現時点で確認できた対象は［人数・件数と、その集計条件］です。

前回は情報の取得範囲を調査中としていましたが、今回、その一部が判明しました。残る［調査対象］については、引き続き確認しています。

対象となるお客様には、［個別の連絡方法と実施状況］によりご案内しています。お客様ごとに影響する情報が異なる場合は、個別に内容をお知らせします。

対象の接続は停止した状態を維持しています。再発防止については、［実施済みの措置］を行い、［今後の措置］を進めています。

次回の案内は［日時または具体的な更新条件］を予定しています。

この文例は、外部への取得を実際に確認した場合のものです。確認できていないのに、続報だから表現を強める必要はありません。

調査が進んでも結論が変わらない場合は、何を調べ、何が未確認のままかを説明します。

例えば、「対象システムの記録の確認は終了したが、外部サービス側の記録を確認中」といった説明です。ただし、公開によって対応を妨げる情報まで、詳細に記載する必要はありません。

次回案内の時刻を約束した場合は、その時刻に結論が出ていなくても、確認状況を更新する運用を提案します。更新できない事情が生じた場合も、新しい案内予定を示してください。

続報による追加と、前の説明の訂正を区別する

第一報の後で内容が変わる理由には、調査で新しい事実が分かった場合と、前の記載が誤っていた場合があります。

この二つは分けて説明しましょう。

第一報で「調査中」とした事項について結論が出たのであれば、判明事項の追加です。一方、十分な確認をせず「情報の流出はありません」と断定していたなら、その説明の訂正が必要になります。

訂正する場合の文例は、次のように作れます。

前回のお知らせの訂正について

［前回の公表日時］のお知らせで、「情報の流出はありません」と記載しましたが、当時確認できていたのは、保存されている一部の記録において、流出を示す事実が見つかっていないことでした。流出がなかったと判断できる状況ではなかったため、この記載を訂正いたします。

現在の確認状況は［正しい説明］です。確認範囲を適切に示さない表現となりましたことをお詫び申し上げます。

これは、前の説明に確認範囲を超えた断定があったという、架空の状況に対する例です。

本記事では、元の記事を黙って差し替えるのではなく、訂正箇所、訂正日、理由、新しい説明を分かるようにする方法を提案します。過去の掲載内容は、社内でも版を管理して保存します。

メール、Webサイト、SNS、電話窓口の案内がある場合は、訂正が必要な場所を確認してください。

「新しい情報を追加した」のか、「以前の説明を改めた」のかを、読む人が判断できる形にすることが大切です。

「調査中」を、すべての質問への回答にしない

調査中であっても、相手がその時点で必要とする情報はあります。

例えば、「自分が対象か分からない」という問い合わせに対して、対象者の特定が終わっていなくても、確認の受付方法や、個別連絡の予定を案内することはできます。

「普段どおり注文してよいか」という質問には、原因調査の結論とは別に、現在受け付けているサービスの範囲を説明できます。

本記事では、問い合わせを、情報への影響、サービスの利用、本人が取るべき行動、通知の到達状況などに分け、確認済みの回答を用意する方法を提案します。

窓口担当者が回答できない場合は、個別の判断で安全を保証するのではなく、確認先と回答予定を伝えます。

例えば、

現時点では、お客様が対象に含まれるかの確認が終わっていません。受付番号を発行して調査担当へ引き継ぎ、［回答予定］までに確認状況をご連絡します。

といった案内が考えられます。

また、「個別通知が来ていない人は対象外」と説明してよいかは、対象者の特定と通知状況を確認してから判断します。通知を順次送っている途中なのか、連絡不能の人がいるのかによって、説明できる範囲が変わります。

通知方法が一つ失敗した場合も、他の連絡手段があるかを確認してください。個人情報保護委員会のQ&Aでも、この点が示されています。

公表のために、別の個人情報を漏らさない

詳しく説明しようとして、被害を受けた人を特定できる資料まで公開しないようにしましょう。

個人情報保護委員会は、本人通知の代替措置として公表する場合について、公表によって被害が広がらないよう注意し、特定の個人を識別できるおそれのある事項は公表しないことが考えられると説明しています。

一般向けのお知らせへ、対象者一覧や、実データが写った画面を添える必要はありません。

調査用の証拠、行政機関へ報告する資料、本人へ知らせる情報、一般向けに説明する情報は、用途ごとに分けて作成することをおすすめします。

また、問い合わせ対応でも、誰にどこまで説明してよいかを決めます。本人であることを確認せず、対象者に含まれるかどうかや、保存していた情報の内容を回答する運用にはしないでください。

公表前の確認では、本文だけでなく、添付資料、画像、ファイル名、共有リンクの公開範囲も点検します。

情報の透明性を高めることと、資料を無制限に公開することは同じではありません。相手が判断するために必要な情報を、安全な方法で届けることを目指しましょう。

2026年10月からの共通様式も、連絡計画と併せて確認する

今回のテーマに関連する直近の動きとして、報告様式の共通化も確認しておきましょう。

個人情報保護委員会は、2026年10月1日以降、ランサムウェア事案に加え、「その他サイバー攻撃等事案」による個人データの漏えい等についても、共通様式を利用して報告できると案内しています。

ただし、報告書の様式が共通になることと、どこか一か所へ提出すれば必要な対応がすべて終わることは別です。 同委員会の説明資料でも、所管省庁、個人情報保護委員会、警察などへの報告・相談が示され、報告先の一元化は今後の調整事項とされています。

また、行政機関向けの共通様式を作成したからといって、その内容をそのまま一般公開する必要はありません。

自社では、どの事案に共通様式を使えるか、どこへ提出するか、本人通知や取引先への連絡は別に必要かを、最新の公式案内で確認してください。

平時の準備としては、連絡先の一覧に、利用する報告方法と確認先を加えておく方法が考えられます。事故発生後に、古い様式や以前の担当者の記憶だけで判断する状態を避けましょう。

説明の承認は、担当者の不在で止まらないようにする

第一報と続報を出すには、事実を確認する人、文面を作る人、承認する人、掲載する人が必要です。小規模な会社では、同じ人が複数の役割を担うこともあるでしょう。

その場合も、役割は区別して考えることをおすすめします。

技術担当者は、調査の結果として何が言えるかを確認します。業務担当者は、利用者への影響と案内内容を確認します。法務や外部の専門家へ確認が必要な事項を整理し、責任者が発信内容を承認します。

承認者が不在の場合の代行者、夜間や休日の連絡方法、既存の連絡手段が使えない場合の代替方法も決めてください。

外部の保守会社へ調査を依頼している場合は、「調査完了後に報告してください」だけでなく、第一報に必要な事実を途中段階でも共有する方法を相談します。

例えば、次のように依頼できます。

現時点で確認済みの事実、判断の根拠、未確認事項を分けて共有してください。情報取得の有無を確認できない期間がある場合は、その範囲もお知らせください。対外説明に使用できる確認事項と、調査上取り扱いに注意が必要な情報を区別して確認したいと考えています。

これは依頼文の作成例です。

目的は、保守会社へ早く結論を出すよう迫ることではありません。結論が出ていなくても、確認状況を正確に説明できるようにすることです。

最終報告では、「分からなかったこと」も残す

調査を終えたとき、すべての事項が必ず判明するとは限りません。

そのため、本記事では、最終報告や調査結果のお知らせに、確認できた事実だけでなく、調査の対象期間、確認した範囲、確認できなかった事項、今後も続ける対応を整理することを提案します。

例えば、保存されていない記録があるため、過去の一部のアクセスを判断できなかったなら、その制約を説明します。

そのうえで、現在の不正利用を止めるために何を行ったか、対象者へどのような案内を行ったか、再発防止策のうち何が実施済みで何が予定なのかを区別します。

「今後、再発防止に努めます」だけで終わらず、実施済みの対策と、担当者・期限を決めて進める改善を分けてください。

また、調査終了、システムの利用再開、通常業務への復帰、個別の問い合わせ対応の完了は、別の状態として管理する方法をおすすめします。

「最終報告を掲載した」という理由だけで、届いた新しい情報や、未対応の問い合わせを扱わなくなる運用にはしないようにしましょう。

最終報告は、不明点を消すための文章ではなく、確認できた範囲と残る対応を説明する文章です。

机上演習では、「何が起きたか」から第一報を作ってみる

準備した手順を確かめるには、架空の事案について、実際に第一報を作る演習が役立ちます。

例えば、次の状況を使います。

顧客情報を含むファイルの共有範囲が、予定より広く設定されていたことが分かりました。共有は停止しましたが、公開されていた期間の一部についてアクセスログを取得できません。取引先からは、漏えいの有無について回答を求められています。

参加者には、確認済みの事実と未確認事項を分け、誰へ何を伝えるかを決めてもらいます。

続いて、「第三者による取得を示す記録が見つかった」「第一報の対象件数に重複があった」「個別通知の一部が届かなかった」といった条件を追加します。

それぞれについて、続報が必要か、訂正が必要か、個別の再連絡が必要かを検討してください。

評価するのは、安心させる文章を書けたかではありません。確認していないことを断定しなかったか、相手に必要な行動を示せたか、必要な報告を別に管理できたか、変更点を説明できたかです。

実在のお客様の情報を使ったり、演習のメールを本番の宛先へ送ったりする必要はありません。架空の情報と、実際の役割分担・連絡手順を使って確認しましょう。

まとめ――「安心してください」より、判断できる情報を届ける

事故が疑われたときの説明では、言葉を弱くすることも、強くすることも目的ではありません。

確認した事実を、その範囲で伝える。分からないことは、何が分からないのかを明らかにする。新しい事実が判明したら追加し、前の説明が誤っていたら訂正する。

そのうえで、相手が取るべき行動と、次に情報を確認できる場所を案内します。

「流出を確認していない」は「流出していない」ではなく、「二次被害を確認していない」は「情報への影響がない」ではありません。

自社の準備としては、確認事項管理票、第一報・続報・訂正文のひな型、連絡先と承認者の一覧を用意し、一度、架空の事案で使ってみてください。

大切なのは、立派なお詫び文を用意することだけではありません。必要な事実を集め、その時点で責任を持って説明できる体制を作ることです。

ライトハウスコンサルタントでは、社内ルールや連絡体制の整理、インシデント対応机上演習を通じて、経営者・管理職・担当者の判断と連絡を確認する支援を行っています。事故時の第一報や、保守会社との情報共有手順を整理したい場合は、ご相談ください。

投稿タグ
, , , , , , , , , , , ,