企業の信頼を守るための情報漏洩時の法務準備

本記事は「事故を一件も起こさない」と約束するのではなく、保有情報と利用システムを把握し、異常を早期発見・被害拡大防止・証拠保全・期限内の報告・継続的な説明ができる体制を平時から整えることを主眼としている。金融・医療・通信や上場企業などは別途業法上の報告義務がある点にも注意を促す。

攻撃経路が多様化・複雑化しているため、法務部門は単に情報システム部門に任せるのではなく、誰がどの情報を扱い誰に委託するか、異常時の意思決定者を契約と社内体制の両面で明確にする必要がある。初動では個人情報のみならず要配慮情報、認証情報、営業秘密、マイナンバー等も分類し、自社・委託元・委託先・クラウド事業者の役割を固定することを求める。

平時に整えるべき項目として六つ（台帳、権限・認証・ログ・バックアップ、社内規程と教育、初動連絡網と判断票、契約とサイバー保険、机上訓練と更新）を挙げる。発覚直後は被害拡大防止と証拠保全を並行し、確認済事実と可能性・不明を区別して内外に伝えること、関係者への連絡は最小限に区分して行うことを指示する。

個人情報保護委員会への報告・本人通知・対外公表は目的が異なり、報告類型や期限（速報は概ね3〜5日、確報は原則30日、不正目的の恐れは60日）を守る必要がある。初報では断定し過ぎず調査中の事項は明確にし、更新履歴と再発防止策を具体的に示すことが信頼維持につながるとまとめている。