企業はいつ公表するべきか──サイバー被害の発表実態と指針

国内企業の公表実態をMBSDの分析（約500件、続報含め約800件の公表文）をもとに整理すると、第一報は比較的早期に出される事例が多い一方で、調査の進展に応じて続報で被害の範囲や影響が具体化される実態が確認されています。MBSDの集計では「発生または発覚から第一報まで、5日以内が約半数、30日以内が約8割」で、中央値5.6日、平均27.1日という数値が示されています（出典明記）。ただし平均値は一部の長期化事案に引き上げられている点に注意が必要です。

記事はまず「公表」「顧客通知」「行政報告」「警察・専門機関共有」は目的も受け手も異なると整理しています。個人情報保護委員会への報告で使われる「速報／確報」と、企業の「第一報／続報」は制度上の対応と広報の区分が一致しないため、報告期限をそのまま一般公表の目安にするべきではないとしています。

公表の回数と内容にも傾向があり、MBSDの観測では公表が1回で終わる事案は約6割、3回以内は約9割でした。第一報は「不正アクセス」「復旧」「調査中」といった現状説明が中心で、続報で「流出・個人情報」「暗号化」など影響の具体化が示される例が多いと分析されています。重要なのは、初報で「調査中」とする場合でも、取引先や顧客が取るべき行動や問い合わせ先など判断に必要な情報を提示することです。

また、すべてを即時公開すべきでない理由も説明しています。技術的詳細は専門組織と非公開で共有することで他社の被害防止に寄与する一方、詳細を一般公開すると封じ込めや調査に支障を来す恐れがあるため、公開対象と共有先を分ける必要があります。最後に、平時に「事実を集める人」「外部相談の窓口」「公表を判断する人」「相手に届ける人」「更新を管理する人」を決めておくことが、公表時の判断を迅速かつ的確にする実務的な準備として挙げられています。