この記事の要点
- 個人データの漏えい等（そのおそれを含む）が一定の条件にあてはまると、個人情報保護委員会への報告と本人への通知が義務になります。不正アクセスやランサムウェアによる漏えいは、件数にかかわらず報告の対象です。
- 報告は2段階です。速報は知ってから3〜5日以内が目安、確報は30日以内（不正アクセスなど不正の目的によるものは60日以内）です。
- 確報に書く9項目のうち「本人の数」「漏えいした項目」「原因」「二次被害のおそれ」は、端末やサーバーの調査をしないと埋まりません。
- 調査で範囲を絞り込めないと、システム内の全員を「漏えいのおそれ」として報告・通知することになり、問い合わせ対応や信用への影響が大きくなります。
- 2026年7月に公布された改正法で、速報の一部免除や本人通知の緩和が決まりました。ただし施行は公布から2年以内で、細かい条件はこれから委員会規則で決まります。
情報漏えいの疑いが見つかったとき、企業が最初にぶつかるのは「委員会に何を、いつまでに、どこまで書けばいいのか」という問題です。報告フォームには「漏えいした人数」「漏えいした項目」「原因」などの欄がありますが、攻撃を受けた直後にこれらを答えられる会社はほとんどありません。
この記事では、報告が必要になる条件と期限を整理したうえで、確報に書く9つの項目それぞれについて「どんな調査をすれば埋まるのか」を説明します。インシデント対応の全体の流れは「インシデント対応フローとは」で解説しているので、ここでは委員会への報告に絞ります。
報告が必要になる4つのケース
個人情報保護法第26条と施行規則第7条により、次のいずれかにあてはまる漏えい・滅失・毀損（以下「漏えい等」）が起きた、または起きたおそれがあるときは、委員会への報告と本人への通知が必要です。
| ケース | 例 |
|---|---|
| ① 要配慮個人情報が含まれる | 病歴や診療記録、健康診断の結果、犯罪歴など |
| ② 不正に使われると財産的な被害が出るおそれがある | クレジットカード番号、ネットバンキングのIDとパスワードなど |
| ③ 不正の目的をもって行われたおそれがある | 不正アクセス、ランサムウェア、従業員による持ち出し、盗難など |
| ④ 本人の数が1,000人を超える | 誤送信や設定ミスでも、1,000人を超えれば対象 |
サイバー攻撃による漏えいは③にあてはまるため、件数が少なくても報告が必要です。また「漏えいした」と確定していなくても、「漏えいしたおそれ」がある段階で報告の対象になります。ランサムウェアでファイルが暗号化され、データが持ち出されたかどうか分からない、という状態でも報告が必要です。
期限は「速報3〜5日」と「確報30日・60日」
| 報告 | 期限 | 書く内容 |
|---|---|---|
| 速報 | 事態を知ってから速やかに（目安は3〜5日以内） | その時点で分かっている範囲でよい |
| 確報 | 事態を知ってから30日以内。③（不正の目的）にあたる場合は60日以内 | 9項目すべて。分からない項目は、判明しだい追加で報告する |
期限の起点は「事態を知った時点」です。ガイドラインでは、法人の場合は社内のいずれかの部署が知った時点が基準とされています。情報システム部門が異常に気づいてから経営層に報告が上がるまでの日数も、期限に含まれることになります。
業務を委託している場合は、原則として委託元と委託先の両方に報告の義務があります。委託先が委託元に速やかに知らせた場合は、委託先の報告義務は免除されます。報告は委員会のWebサイトの報告フォームから行い、業種によっては事業を所管する省庁が窓口になります。ランサムウェアなどのサイバー攻撃では、関係省庁で共通の様式を使って報告することもできます（個人情報保護委員会「漏えい等の対応とお役立ち資料」）。
確報に書く9項目と、それぞれに必要な調査
確報で報告する事項は、施行規則第8条で9つ決められています。このうち、社内の記録を確認すれば書けるものと、端末やサーバーを調べないと書けないものがあります。
| 報告事項 | 何を書くか | 埋めるために必要な調査 |
|---|---|---|
| 1. 概要 | いつ、何が起きたか | 侵入の時期と経路の特定（ログ、端末の痕跡） |
| 2. 漏えいした個人データの項目 | 氏名、住所、カード番号など | 攻撃者が触れたサーバー・フォルダ・データベースの特定 |
| 3. 本人の数 | 何人分が漏えい（おそれ）したか | 持ち出し・閲覧された範囲の特定。範囲が絞れなければ全件 |
| 4. 原因 | 侵入の手口、脆弱性、設定の不備 | 侵入口（VPN機器、リモートデスクトップ、メールなど）と、その後の侵入拡大の経路の特定 |
| 5. 二次被害やそのおそれ | 不正利用やなりすましの有無 | 外部への送信の有無と送信先、ダークウェブなどでの公開の有無 |
| 6. 本人への対応の状況 | 通知をしたか、いつ、どの方法で | 社内の記録（調査不要） |
| 7. 公表の状況 | 公表したか、いつ | 社内の記録（調査不要） |
| 8. 再発防止策 | 何を直すか | 原因の特定が前提。原因が分からないと「対策」が書けない |
| 9. その他参考になる事項 | 警察への届け出、他の機関への報告など | 社内の記録（調査不要） |
表のとおり、9項目のうち少なくとも5項目は調査の結果がなければ書けません。とくに「3. 本人の数」は、その後の本人への通知、問い合わせ窓口の規模、取引先への説明のすべてに影響します。
「本人の数」を決めるのは、攻撃者が何に触れたか
たとえば顧客データベースが入ったサーバーが乗っ取られた場合でも、攻撃者がデータベースに接続した記録がなく、外部への大きな送信もなければ、「データベース内の全員」ではなく、より狭い範囲で報告できる可能性があります。逆に、そのことを示す記録（ログや端末の痕跡）がなければ、全員を「おそれ」として扱うしかありません。
「原因」が書けないと「再発防止策」も書けない
委員会への報告でも、取引先への説明でも、必ず聞かれるのが「なぜ起きたのか」と「もう大丈夫なのか」です。侵入口が特定できないまま復旧すると、同じ経路から再び侵入される危険が残ります。原因の特定は、報告のためだけでなく、事業を再開してよいかを判断するためにも必要です。
調べきれないときは「おそれ」として報告することになる
確報の期限までに調べきれなかった項目は、判明した時点で追加の報告（追完）をします。ただし、調査に必要な記録がそもそも残っていなければ、時間をかけても答えは出ません。
実際に、マルウェアに外部への送信機能があったことは確認できたものの、何が送られたかを特定できず、システム内の約872万件を「漏えいの懸念」として公表した事例があります（第一興商の調査結果）。記録が足りないと、実際の被害より広い範囲を「おそれ」として扱わざるを得ないのです。
範囲を絞り込めるかどうかを左右するのは、主に次の点です。
- 証拠を消さずに残せたか：被害に気づいてすぐ端末を初期化したり、ウイルス対策ソフトで駆除したりすると、侵入の痕跡が消えることがあります。電源を切る前に、ネットワークから切り離して状態を保全するのが原則です。
- ログが残っているか：VPN機器、ファイアウォール、サーバーのログは、保存期間が数日〜数週間に設定されていることも多く、侵入が数か月前だと記録が上書きされていることがあります。
- EDRなどの記録があるか：端末で実行されたプログラムや通信の記録が残っていれば、攻撃者の動きを追いやすくなります。
- 調査を始めるのが早いか：時間がたつほどログは消え、確報の期限も迫ります。
速報から確報まで――30日・60日の使い方の例
以下は、サイバー攻撃による漏えいのおそれがある場合の進め方の一例です（当社の調査経験にもとづく目安で、法令で決まった手順ではありません）。
| 時期 | やること |
|---|---|
| 発覚当日〜翌日 | 被害端末をネットワークから切り離し、証拠を保全する。経営層への報告、調査会社・弁護士への相談 |
| 3〜5日以内 | 委員会へ速報。分かっていることだけでよい。必要なら警察にも相談 |
| 1〜2週間 | 多くの端末を広く調べ、攻撃者が触れた端末・サーバーを絞り込む |
| 2〜4週間 | 絞り込んだ端末を詳しく調べ、侵入口、持ち出しの有無、対象データの範囲を特定 |
| 30日以内（不正の目的なら60日以内） | 委員会へ確報。本人への通知、公表、取引先への説明 |
| 確報のあと | 分かったことを追加で報告（追完）。再発防止策の実施 |
ポイントは、最初から全端末を深く調べようとしないことです。数十〜数百台の端末を1台ずつ詳しく調べると、それだけで期限を過ぎてしまいます。まず全体を広く浅く調べて怪しい端末を絞り込み、そこを深く調べる、という2段階にすると、期限内に「本人の数」と「原因」を固めやすくなります。
2026年改正法で、報告と通知はどう変わるか
2026年7月17日に、個人情報保護法の改正法が公布されました（令和8年法律第56号）。漏えい等報告と本人通知については、委員会の公表資料で次の見直しが示されています（個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」）。
| 項目 | 改正の内容 |
|---|---|
| 速報の一部免除 | 体制や手順について認定個人情報保護団体などの第三者の確認を受けていることなどを前提に、一定の範囲で速報を免除できるようにする |
| 誤送付などの確報のまとめ報告 | 本人が1人だけの誤交付・誤送付のようなケースは、確報を一定期間ごとにまとめて報告することを認める |
| 違法な第三者提供 | 法律に違反して個人データを第三者に提供した場合も、報告の対象に加える |
| 本人通知の緩和 | 社内の会員IDだけが漏えいした場合など、本人の権利利益の保護に欠けるおそれが少ない場合は、通知に代わる措置を認める |
| 報告窓口の一元化 | サイバー対処能力強化法による報告義務の施行にあわせ、ランサムウェアなどの共通様式による報告の窓口を一元化する方向で、国家サイバー統括室のもとで調整する |
施行は原則として公布から2年以内で、具体的な対象範囲は今後の委員会規則などで決まります。現時点では、これまでどおり速報・確報・本人通知が必要です。
なお、今回の改正では課徴金制度も導入されますが、対象は不適正な利用、不正な取得、違法な第三者提供などの悪質な違反で、本人の数1,000人が基準とされています。サイバー攻撃を受けて漏えいした、というケースそのものは、委員会の資料で示された課徴金の対象行為には含まれていません。一方で、委員会は違反行為について、本人への通知や公表を勧告・命令できるようになります。
よくある質問
Q. 調査会社に頼まないと、委員会に報告できませんか？
いいえ。報告そのものは自社でできますし、速報は分かっている範囲で構いません。ただ、確報で「本人の数」や「原因」を根拠をもって書くには、端末やログの調査が必要です。社内で調査できる体制がなければ、外部の調査会社に依頼するのが一般的です。調査会社の選び方は「フォレンジック調査会社の比較【2026年】」で紹介しています。
Q. 確報の期限までに調査が終わらない場合は？
期限までに分かっていることで確報を出し、判明しなかった項目はあとから追加で報告（追完）します。期限を守ることが優先です。ただし、調べないまま「全員分が漏えいのおそれ」とすると、通知や問い合わせ対応の負担が大きくなるため、期限内にできるだけ範囲を絞り込むことが重要です。
Q. 漏えいしたかどうか分からなくても、報告が必要ですか？
はい。報告の対象には「漏えいしたおそれがある」場合も含まれます。ランサムウェアの被害で、データが持ち出されたかどうか分からない場合も、速報を出したうえで調査を進めます。調査の結果、漏えいしていないと判断できれば、その旨を確報で報告します。
Q. 委託先のシステムで起きた場合、誰が報告しますか？
原則として委託元と委託先の両方に報告義務があります。委託先が委託元に速やかに知らせた場合、委託先の報告義務は免除され、委託元が報告します。委託元は、委託先の調査結果を待つだけでなく、どの範囲のデータが委託先にあったかを自社でも確認しておく必要があります。
Q. いつから「事態を知った」ことになりますか？
ガイドラインでは、法人の場合は社内のいずれかの部署が知った時点が基準とされています。現場の担当者が異常に気づいた日から期限が始まると考え、社内の報告ルートを早く回すことが大切です。
確報までに「本人の数」と「原因」を固めたい方へ
サイバーセキュリティ総研のフォレンジック調査「Fast-IR」は、多くの端末を広く調べて範囲を絞り込む「ファストフォレンジック」と、絞り込んだ端末を1台ずつ詳しく調べる「ディープフォレンジック」を組み合わせて、委員会への報告に必要な事実関係を調べます。
- ファストフォレンジック：1〜15台 25万円、16〜100台 40万円、101〜300台 60万円（税別）
- ディープフォレンジック：1台 20万円（税別）
- 緊急相談フォームは24時間365日受付（ご連絡と対応開始は平日9:00〜18:00）
個人情報の漏えいに関するニュースは、「個人情報漏洩」カテゴリでまとめて確認できます。
参照：個人情報保護委員会「漏えい等の対応とお役立ち資料」／個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5／個人情報保護委員会「令和8年 改正個人情報保護法について」／個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（2026年7月）
