個人情報の漏えい対応、制作会社の最初の72時間キット──初動チェックリスト、委託元への第一報、時系列記録、報告9項目の整理表、再発防止策の型

この記事は、顧客サイトで個人情報の漏えい等が起きたとき、委託先の制作会社が最初の72時間で使う初動と報告の型を扱います。

報告の義務と期限の考え方は、無料の記事で整理しています。

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

メンバーシップ「黒字化オペ室」では、これまでの有料記事を全て読めます。価格、外注、採用、給与を、一本の流れとして。

月額1,980円、単品記事2本分の金額です。合わなければ、いつでも退会できます。詳しくはプロフィールから。

夜9時、改ざん検知のアラートが鳴ったら

保守している顧客のECサイトで、決済まわりのファイルに差分が出た。
担当者は帰宅していて、社長のスマートフォンにだけ通知が届いた。

このとき、最初の1時間で何をするか。
決めていない会社は、たいてい「明日、担当者が来てから確認しよう」と考えます。

けれど、委託元の報告の期限は、事態を知った時点から動き始めます。
制作会社の初動の遅れは、そのまま顧客の遅れになるのです。
翌朝まで待つ12時間は、取り戻せません。

漏えい対応の初動とは、被害を止め、証拠を残し、委託元に事実を渡すまでの一連の手順を、事前に決めておくことである

黒字化の外科医です。漏えいが疑われたときの、制作会社の最初の72時間を解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

型を用意しておくべき理由は、三つあります。

第一に、期限が短いから。
個人情報保護委員会の施行規則とガイドラインは、委託先から委託元への通知を「速やかに」行うこととし、目安を、委託先が事態を知った時点から概ね3〜5日以内としています。委託元の速報の目安も、同じく概ね3〜5日以内です。

第二に、初動の判断が、後の報告の中身を決めるから。
ガイドライン（通則編）は、漏えい等が発覚した場合に講ずべき措置として、事業者内部での報告と被害の拡大防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策の検討と実施、委員会への報告と本人への通知を挙げています。ログを消してしまえば、原因も影響範囲も特定できません。

第三に、2024年4月から、改ざんの事案が報告対象に入りやすくなったから。
施行規則の改正で、不正の目的による事態の対象に、事業者が「取得しようとしている」個人情報も含まれました。入力ページの改ざんは、ガイドラインに事例として示されています。

今すぐ試せる：最初の1時間の「事実メモ」を作るプロンプト

私はWeb制作会社の経営者です。顧客サイトで個人情報の漏えい等が疑われる事象がありました。
委託元に第一報を入れる前に、事実メモを整理してください。

【分かっていること】
・気づいた日時と、きっかけ（アラート／顧客からの連絡／カード会社からの連絡 等）：〔　　〕
・影響がありそうな画面・ファイル・データ：〔　　〕
・すでに行った操作（ログイン、ファイルの確認、停止 等）：〔　　〕

1. 「確認済みの事実」「推測」「未確認」の3つに分けて書く。
2. 次の1時間で確認すべきことを、優先順に5つ挙げる。
3. 証拠を壊さないために、やってはいけない操作を挙げる。

攻撃の方法や、原因の断定は書かないこと。

このメモは、委託元への電話の前に5分で作ります。
「何が分かっていて、何が分かっていないか」を先に言えるだけで、委託元の判断は大きく速くなります。逆に、推測を事実のように伝えると、後で訂正の連絡が増え、信頼を削ります。

ここから先に、時間軸の初動チェックリスト、委託元への第一報のメール文例と電話の台本、時系列記録シート、報告9項目と本人通知の整理表、期限の計算例、再発防止策の型、AIプロンプト2本を置きます。