個人情報の漏えいを疑ったとき、最初の1時間にすること

誤送信や公開設定ミス、不正アクセスなどで個人情報の漏えいを疑ったら、全容が分かるまで待たずに、被害の拡大を止めながら事実を記録し、責任者へ共有します。証拠になり得るログをむやみに消さず、報告・本人通知の要否は最新の公式資料で確認します。

出典

個人情報の漏えいを疑ったとき、すぐに全容が分かることは多くありません。それでも、広がり続ける状態を止められるなら先に対応します。

誤って公開した共有リンクなら公開範囲を狭める、誤送信なら送信先と内容を確認して必要な連絡を行う、盗まれたアカウントが疑われるなら組織の手順に従ってセッションや認証情報を保護する、といった対応です。

ただし、不正アクセスが疑われるPCを慌てて初期化するなど、後の調査に必要な記録まで消す操作は避けます。

「調査が終わってから報告しよう」と考えると、組織としての判断が遅れることがあります。発見した時点で、事実と推測を分けて共有します。

たとえば、

を短くまとめます。完全な報告書ではなく、初動のための情報共有です。

後から記憶だけで経緯を再現するのは難しいため、発見時刻と対応を記録します。

「10:05に担当者が公開リンクを発見」「10:12にリンクを停止」「10:20に責任者へ報告」のように、時刻と行動を並べます。送信メール、設定画面、アクセスログなど、調査に必要になりそうな情報も保存場所を確認します。

この記録は、影響範囲を確認するときだけでなく、後で再発防止策を決めるときにも役立ちます。

影響の大きさは件数だけでは決まりません。氏名だけなのか、住所や連絡先も含むのか、健康情報などの要配慮個人情報が含まれるのか、金銭被害につながる情報なのかで対応は変わります。

また、誤送信で特定の一人に届いたのか、インターネット上で誰でも取得できる状態だったのかでも状況は違います。「何が」「誰の情報で」「どこへ」「どのくらいの時間」出ていたかを確認します。

個人情報保護委員会は、個人の権利利益を害するおそれがある一定の漏えい等について、委員会への報告と本人への通知が必要になると案内しています。要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正目的による漏えい等、1,000人を超える漏えい等が代表的な対象です。

実際の事案で義務があるかは、情報の内容や状況を確認して判断します。社内の個人情報保護担当、法務、必要に応じて専門家へ早めに相談します。

焦っているときほど、次のような行動は状況を分かりにくくします。

最初の1時間で結論を出す必要はありません。被害を広げず、記録を残し、組織として調査を始められる状態を作ることが優先です。