令和2年改正個人情報保護法の施行により、情報漏えい等のインシデント対応は「社内で収束させる危機管理」から「当局・本人への説明責任を前提としたガバナンス」へ大きく性格が変わりました。とりわけ、一定の漏えい等が発生した場合に個人情報保護委員会への報告および本人への通知が求められる点は、技術部門だけでなく法務・広報・経営を巻き込んだ運用設計を必須にします。本稿では、改正法の要点を踏まえ、現場で迷いやすい判断軸と初動の実務を専門家の観点で整理します。
改正個人情報保護法がインシデント対応を変えたポイント
改正法の実務的インパクトは、主に次の3点に集約されます。
- 報告・通知を前提にした「インシデント分類」：漏えい等の疑い段階から、対象データの性質、影響範囲、悪用可能性を評価し、報告・通知が必要となる類型に該当するかを見立てる必要があります。
- 時間軸が厳格化：当局報告は「事実関係が固まってから」ではなく、一定の場合に速報と確報のような段階的対応が想定されます。調査と並走して社内意思決定を進める体制がないと、期限対応が崩れます。
- 説明責任の増大：なぜその判断に至ったのか、どの範囲を、どの根拠で「対象」としたのかが問われます。ログや調査記録、会議体の意思決定記録など、後から検証可能な形で残す運用が重要です。
「漏えい等」に該当する事象を見誤らない
情報漏えいインシデントは、外部への流出だけを指すわけではありません。改正法の文脈では、漏えい（外部にデータが出た／閲覧された可能性）、滅失（消失や破壊により復元困難）、毀損（改ざんや破壊）といった類型で広く捉え、結果の確定前でも「おそれ」を含めて評価します。
例えば、クラウドストレージの公開設定ミス、委託先端末の紛失、マルウェア感染による外部通信の痕跡、誤送信による添付ファイル流出などは、実害が顕在化していなくても「おそれ」が問題になります。初動で重要なのは、影響範囲の確定を急ぐだけでなく、悪用可能性（認証情報・金融情報・健康情報など）と、第三者がアクセスできた蓋然性を評価することです。
初動対応の成否を分ける「24時間の設計」
インシデント対応で最も危険なのは、現場が技術調査に集中する一方で、報告判断や対外説明の準備が遅れ、結果として法対応・レピュテーション対応が破綻することです。初動24時間は、次のタスクを並行処理できるように設計しておく必要があります。
封じ込めと証拠保全を同時に行う
侵害の拡大を止める封じ込めは最優先ですが、同時にフォレンジック観点の証拠保全が欠けると、原因究明や報告内容の根拠が弱くなります。ログの保全、対象端末・アカウントの隔離、設定変更履歴の取得などを、チェックリスト化して即時実施できるようにします。
個人データ該当性と対象範囲を即時に棚卸しする
改正法対応では、単に「何が起きたか」だけでなく、どの個人データが関係するかを短時間で特定することが求められます。データマップ（どのシステムに何の個人データがあるか）、委託先・共同利用の一覧、バックアップ保管状況が整備されていないと、対象特定に時間がかかり、報告・通知の品質が落ちます。
社内エスカレーション基準を明文化する
「一定の場合に報告・通知が必要」という要件は、現場判断に任せるほどブレます。したがって、(1)要配慮個人情報や認証情報を含む、(2)外部からアクセス可能だった疑いがある、(3)件数が一定規模以上、(4)委託先・クラウド起因で影響範囲が読めない、といったトリガーを設定し、CISO・法務・経営への即時共有ラインを定めることが実務上不可欠です。
当局報告と本人通知：目的は「被害の最小化」と「説明可能性」
報告・通知は、罰則回避のためだけに行うものではありません。本来の目的は、本人がパスワード変更や不正利用監視などの対策を取れるようにすること、そして社会的な影響を抑えながら透明性を確保することです。そのため、通知文面やFAQを準備する際には、次の観点が重要です。
- 何が起きたか：発生日時、攻撃・事故の概要、現時点での確度
- 何が漏えいした可能性があるか：データ項目（氏名、住所、メール、認証情報など）
- 本人に推奨する対策：パスワード変更、二要素認証、クレカ利用明細確認等
- 事業者の対応：封じ込め、再発防止、問い合わせ窓口
特に「確定していない情報」をどう表現するかは難所です。過度に断定すると後で訂正が必要になり、過度に曖昧だと不信を招きます。事実・推定・未確認を分けて記載し、更新方針（続報のタイミング）を明示することが、炎上リスクと二次被害を抑えます。
委託先・クラウド起因の事故で見落としがちな論点
改正法下では、委託先管理の実効性がこれまで以上に問われます。典型的な落とし穴は、委託契約に事故時報告義務があっても、報告期限・報告フォーマット・ログ提供範囲が具体化されておらず、初動情報が揃わないケースです。またクラウドでは、責任共有モデルの理解不足により「ベンダの問題」として処理が遅れることがあります。
平時にやるべきことは、インシデント条項の整備だけではありません。委託先を含む連絡網、緊急時の権限委譲（設定変更やアカウント停止の実施権限）、監査ログの取得可能性を確認し、机上訓練で実際に回るかを検証する必要があります。
再発防止は「技術対策」だけで終わらせない
当局報告・本人通知が必要になるインシデントでは、再発防止策も説明可能な形で整理することが求められます。ここでありがちな失敗は、WAF導入やEDR強化などの技術施策の羅列に終始し、根本原因（ガバナンスや運用）に踏み込めないことです。
実務上は、人・プロセス・技術の三層で対策を設計します。例として、(1)権限管理と棚卸しの定期化、(2)設定変更の承認フローと自動監査、(3)データ暗号化と鍵管理、(4)訓練とインシデント対応手順の更新、(5)委託先の管理指標（SLA、監査、教育）などが挙げられます。さらに、再発防止の有効性を測るKPI（検知時間、封じ込め時間、影響範囲特定時間など）を置くと、改善が形骸化しにくくなります。
まとめ：法対応を「後付け」にしない体制が競争力になる
改正個人情報保護法の下では、情報漏えい対応はスピードと透明性、そして説明可能性が成否を分けます。技術部門だけで完結する時代は終わり、法務・広報・経営が同じタイムラインで動く統合対応が前提となりました。平時からデータの所在を把握し、報告・通知を見据えた分類基準と初動手順を整備し、委託先・クラウドも含めて訓練することが、被害最小化と信頼維持に直結します。
参照: 令和２年改正個人情報保護法と情報漏えいインシデント対応（前編） Laura Siegemund (7DfMJ4HpP8) – Mshale