incident-first-response-jp

情報漏えいやランサムウェアの被害が分かった直後に、やるべきことを抜けなく進めるための補助です。法令の期限を数えて、必要な文書の下書きを作ります。

このスキルは下書きと整理まで。 報告書の提出・メールの送信・公表は行わない。最終的な判断と提出は、社内の責任者が行う。弁護士・セキュリティ事業者・所管省庁への確認を前提とする。

守ること

• 文書は下書きとして返すだけで、送信・提出・公開はしない。
• 分かっていないことを推測で埋めない。「調査中」「不明」と書き、分かった時点で更新する前提にする。
• 被害を小さく見せる言い回し・断定できない原因の断定・責任の押し付けは書かない。
• ユーザーが貼った個人情報やログは、文書作成のためだけに使う。外部には送らない。
• 法令や様式は改正されることがある。期限と様式は、個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページ（https://www.ppc.go.jp/personalinfo/legal/leakAction/）で最新を確かめるよう、結果の最後に必ず添える。

1. 最初に聞くこと

分かっている範囲で、まとめて 1 回で聞く。

• いつ分かったか（日時。報告期限はここから数える）
• 何が起きたか: ランサムウェア／不正アクセス／誤送信・誤公開／紛失・盗難／内部不正
• 何の情報か: 顧客・従業員・取引先。氏名・連絡先・カード番号・ID とパスワード・健康や病歴などの要配慮個人情報・マイナンバーを含むか
• 何人分か（おおよそでよい）
• 委託先・委託元が関わるか（クラウドやサーバーの運営会社が被害を受けた、など）
• 今の状態: 被害の拡大は止まったか、システムは動いているか

2. 初動のチェックリスト（最初の 72 時間）

状況に合わせて、次を「済」「未」「該当なし」で一覧にして返す。

被害を広げない・証拠を残す

• 感染・侵害が疑われる端末やサーバーを ネットワークから切り離す。電源は切らない（メモリ上の痕跡が消える）
• 侵害されたおそれのあるアカウントのパスワードとトークンを変える。管理者アカウントを優先する
• ログ（認証・VPN・ファイアウォール・サーバー）を保全する。上書きされる前にコピーを取る
• ランサムウェアの脅迫文・画面は写真やスクリーンショットで残す
• バックアップが無事か、ネットワークから切り離して確かめる

体制

• 社内の責任者・対応窓口を決める。対応の記録係を置く
• セキュリティ事業者（フォレンジック）・弁護士・サイバー保険の窓口に連絡する
• 委託元がいる場合は、委託元へ速やかに報告する（委託元が報告義務を負う場合がある）

届け出・相談

• 個人情報保護委員会（または権限委任先の省庁）への報告が要るかを判定する（下の 3）
• 警察（都道府県警察のサイバー犯罪相談窓口）に相談・通報する
• 必要に応じて IPA（情報処理推進機構）や JPCERT/CC へ届け出る

ランサムウェアの身代金: 支払っても復旧やデータの削除が保証されないこと、制裁対象への支払いになる可能性があることから、支払いの判断は必ず弁護士・警察と相談するよう添える。

3. 個人情報保護委員会への報告

報告が要るか

次のどれかに当たる漏えい等（おそれを含む）は、報告と本人への通知が義務になる（個人情報保護法 26 条）。

#	類型	例
1	要配慮個人情報を含む	病歴・健康診断の結果・犯罪歴
2	不正に使われると財産的被害が生じるおそれ	クレジットカード番号、ログイン ID とパスワードの組み合わせ
3	不正の目的で行われたおそれ	ランサムウェア・不正アクセス・従業員による持ち出し
4	本人の数が 1,000 人を超える	件数だけで該当（民間事業者の場合）

ランサムウェアや不正アクセスは、件数が少なくても 3 に当たる ことが多い。迷ったら報告する前提で準備する。

期限

報告	期限（発覚から）
速報	3〜5 日以内
確報	30 日以内。不正の目的によるもの（類型 3）は 60 日以内

発覚の日時から、速報と確報の期限を 具体的な日付 で計算して示す。

報告の方法

• 通常は委員会のウェブフォームから報告する。業種によっては権限委任先の省庁に報告する。マイナンバーを含む（または不明な）場合は、マイナンバー用のフォームを使う。
• ランサムウェア事案・その他のサイバー攻撃等事案は、関係省庁で統一した 共通様式（Excel） を使って提出することもできる。提出先や件名の形式は委員会のページに書かれているので、それに従う。

報告に要る項目（下書きを作る）

委員会の報告で求められる項目に沿って、分かっていることを埋めた下書きを作る。

• 概要（いつ・何が起きたか、発覚の経緯）
• 漏えい等した（おそれのある）個人データの項目
• 本人の数
• 原因
• 二次被害またはそのおそれの有無と内容
• 本人への対応の実施状況
• 公表の実施状況
• 再発防止のための措置
• その他参考となる事項

速報の時点で分からない項目は「調査中」とし、確報で埋める。

4. 作る文書

ユーザーが必要なものを選べるように一覧で示し、選ばれたものを作る。

文書	宛先	要点
時系列の記録	社内	日時・出来事・対応・判断した人を 1 行ずつ。報告や公表の土台になる
社内の第一報	経営層・関係部署	分かっていること／分かっていないこと／当面の対応／次の報告予定を分けて書く。口外の範囲も明記する
個情委への報告の下書き	個人情報保護委員会	上の項目に沿う
本人への通知文	影響を受けた本人	何が起きたか、どの情報か、二次被害の防ぎ方（パスワードの変更、不審な連絡への注意など）、問い合わせ窓口。お詫び
公表文（お詫びとお知らせ）	社外	「第 1 報」と明記。概要・影響の範囲・原因（調査中なら調査中）・対応・お客様へのお願い・問い合わせ窓口・今後の公表予定。冒頭でお詫びする
想定問答	問い合わせ窓口	「自分の情報は漏れたか」「カードは止めるべきか」「補償はあるか」など、答えられること・まだ答えられないことを分ける
取引先・委託元への連絡	取引先	影響の有無、対応、連絡窓口

公表文の型

（日付）
お客様各位
株式会社〇〇

不正アクセスによる個人情報漏えいのおそれに関するお詫びとお知らせ（第1報）

このたび、当社のサーバーが第三者による不正アクセスを受け、お客様の個人情報が漏えいしたおそれがあることが判明いたしました。お客様をはじめ関係者の皆様に多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。

1. 経緯
2. 漏えいのおそれがある情報（項目・件数）
3. 原因（現在調査中の場合はその旨）
4. 当社の対応（関係機関への報告・相談、外部専門家による調査）
5. お客様へのお願い（不審なメール・電話への注意、パスワードの変更など）
6. お問い合わせ窓口（窓口名・電話番号・受付時間・メールアドレス）

今後、新たな事実が判明した場合は、速やかにお知らせいたします。

5. 返し方

1. 状況の整理（分かっていること／分かっていないこと）
2. 報告が要るかの判定と、速報・確報の期限の日付
3. 初動チェックリスト（済・未・該当なし）
4. 選ばれた文書の下書き（それぞれコードブロックで、そのまま使える形に）
5. 末尾に「期限・様式は個人情報保護委員会のページで最新を確認し、提出前に弁護士など専門家の確認を受けてください」と添える

このスキルについて

• 作者: cccskills（https://github.com/cccskills/skills）
• 外部への送信・提出・公開はしない。文書の下書きを返すだけ。
• 根拠: 個人情報保護法 26 条、個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026 年 10 月時点）。令和 8 年の法改正で報告の要件が見直される予定があるため、施行後は内容を確かめ直す。