個人情報漏えいの初動72時間は、「漏えいしたかどうか」を確定させるための時間ではありません。個人情報保護委員会（PPC）への漏えい等報告、本人への通知、サイバー保険会社への事故通知、フォレンジック(原因調査)の発注という4本の作業を、同じ一つの事実の上で並行して進めるための時間です。最初の3日でこの事実整理がばらけると、法務・情シス・広報・保険会社・調査会社が別々の前提で動き、費用も説明も後から膨らみます。この記事は、報告・保険・説明を72時間で一本化するための手順を、表とチェックリストで整理します。
Summaryこの記事のポイント
- 個人情報保護委員会への漏えい等報告は、速報を発覚後速やかに（概ね3〜5日以内が目安）、確報を原則30日以内、不正の目的によるおそれがある場合は60日以内に行うと案内されています。全容確定を待つのではなく「おそれ」の段階で動きます。
- 初動72時間で先に固めるのは、漏えい件数の確定ではなく、対象データ・発覚日時・侵入経路の仮説・本人被害のおそれ・外部専門家費用の承認ルートです。
- IPA「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃です。委託先事故でも自社が動く前提で初動を設計します。
- サイバー保険は、事故後に領収書を集めれば全額精算されるものではありません。フォレンジック・弁護士・通知・コールセンター費用は、対象範囲・事前承認・指定業者・免責を発注前に確認します。
法人保険のご相談を受け付けています
初回のご相談・現契約の診断は無料です
結論：72時間で「報告・保険・説明」の事実を一本化する
個人情報漏えいの初動72時間とは、漏えい等報告の要否、本人被害のおそれ、保険対象費用、社内外説明に必要な事実を、確定情報と未確定情報に分けて一元管理する時間です。
ECサイトの不正アクセス、メール誤送信、クラウドの公開設定ミス、委託先からの流出、ランサムウェア。きっかけは違っても、初動で見るものはほぼ同じです。いつ発覚したか、何の個人データか、誰のデータか、何件か、第三者が閲覧・取得した可能性があるか、本人に財産的被害が生じるおそれがあるか、そして保険で使う費用は誰がどの順番で承認するか。この6点を、法務向け・保険会社向け・広報向けと別々に作らず、1枚の「初動メモ」に集約します。
初動で止まりやすい会社ほど、「漏えいしたかどうか分からないから、まだ報告できない」と考えます。しかしPPCの案内で問題になるのは、報告対象事態に該当する漏えい等またはそのおそれがある場合です。全容確定を待つのではなく、おそれの根拠を整理して速報へ進む。この発想が72時間を決めます。
初動の巧拙は、そのまま金額に跳ね返ります。証拠を消してしまえば原因を特定できず、確報も保険会社への損害説明も曖昧になり、対象費用であっても支払いの判断が滞ることがあります。発注の順番を誤れば、契約上は補償候補になり得たフォレンジックや弁護士費用でも、承認・必要性・金額の確認に追加資料が要ることがあります。本人通知が遅れれば被害が広がり、賠償や信用低下という形で損失が膨らみます。72時間で事実を一本化する狙いは、法令対応を整えることであると同時に、避けられた自己負担と二次被害を減らすという、極めて実務的な費用管理でもあります。
まず数字で初動の前提を押さえる
「うちのような規模で漏えいなど起きるのか」という感覚は、初動を遅らせます。まず、公的な期限と脅威の規模を数字で確認しておきます。ここで確認するのは、法令上の報告期限であり、保険契約上の通知期限や費用条件とは別の枠組みです。
初動で全容解明を急ぐのではなく、期限・報告対象・保険対象費用を同時に整理する狙いを示しています。
本人被害の入口も広がっています。警察庁の令和7年犯罪情勢資料では、フィッシングの報告件数が2,454,297件、インターネットバンキングの不正送金被害額が約102.4億円とされています。これらは個人情報の漏えい件数そのものを示す統計ではありませんが、流出した認証情報や決済情報が悪用され得る規模を把握する手がかりになります。漏えい対応では「漏えいした情報が直ちに悪用されたか」だけでなく、「悪用され得る情報か」を見て本人対応と保険対応を設計します。認証情報やクレジットカード番号を含む場合、被害の連鎖が起きやすいという前提で初動を組みます。
この2点は漏えい件数の統計ではありません。流出した認証情報や決済情報は不正送金・不正利用に転用され得るため、件数の確定より先に「悪用可能性」を評価します。
自社にも該当するかを4条件で仮判定する
個人情報保護委員会は、漏えい等報告が義務付けられる事態として、①要配慮個人情報が含まれる漏えい等、②不正に利用されることで財産的被害が生じるおそれがある漏えい等、③不正の目的をもって行われたおそれがある漏えい等、④本人の数が1,000人を超える漏えい等、を案内しています。該当性は、担当者の印象ではなく、この4条件に当てはめて仮判定します。
| 条件 | 典型例 | 初動で確認する資料 |
|---|---|---|
| 要配慮個人情報 | 健康診断、病歴、障害、犯罪被害など | データ項目一覧、CSV、DB定義書 |
| 財産的被害のおそれ | クレジットカード番号、ログインID・パスワード | 対象項目、暗号化の有無、アクセスログ |
| 不正目的のおそれ | 不正アクセス、マルウェア、内部者の持ち出し | 検知ログ、EDR通知、外部からの通報 |
| 本人1,000人超 | 会員DB、メール一斉送信、クラウド設定ミス | 件数抽出条件、重複排除、本人範囲 |
この表に一つでも当たり得るなら、法務・情シス・広報・保険担当を同じ初動メモで動かします。件数が1,000人以下でも、要配慮情報や財産的被害のおそれ、不正目的のおそれがあれば報告対象になり得ます。「件数が少ないから対象外」と早合点しないことが大切です。部署ごとに別ファイルを作り始めると、後から「発覚日」「対象人数」「原因」の整合が取れなくなり、確報作成時に手戻りが発生します。
特に判断を誤りやすいのが、暗号化やマスキングをしていたケースです。高度な暗号化などの秘匿化措置が講じられ、第三者が内容を復元できないと合理的に説明できる場合は、報告や本人通知の扱いが変わり得ます。しかし、暗号鍵が一緒に流出していた、暗号化の強度が不十分だった、というときは、秘匿化措置として認められないおそれがあります。「暗号化していたから大丈夫」と初動で結論を出さず、方式・鍵管理・復元可能性を資料で確認してから判断します。この見極めは、報告要否だけでなく、後述する保険会社への損害説明の前提にもなります。
復旧より先に「残す証拠」を確定する
初動で最も取り返しがつかないのは、証拠の消失です。バックアップからの復元、全端末のパスワードリセット、被疑端末の初期化は、復旧には効きますが、先に実行すると侵入経路・漏えい範囲・攻撃者の操作履歴を説明する材料が上書きされ、消えることがあります。フォレンジックは「残っているログ」からしか事実を復元できません。復旧判断と証拠保全判断は、必ず同じ会議体で、同時に決めます。
証拠保全は、報告のためだけでなく保険請求の土台にもなります。侵入経路・漏えい範囲・悪用可能性が示せないと、PPCの確報も、保険会社への損害説明も、本人通知の文面も、いずれも根拠が弱くなります。次のログ・記録は、復旧作業に入る前に保全範囲を決めておきます。
- EDR、認証ログ、VPN・リモートアクセスログ、クラウド管理画面の操作履歴
- メールログ・ヘッダー、外部通信先（C2・不審な送信先）の記録
- 管理者権限の操作履歴、権限昇格・アカウント作成の痕跡
- 対象データの項目・件数・重複除外条件（誰のどの情報が対象か）
- 被疑端末・サーバーのディスクイメージ、スナップショットの取得記録
- 復旧作業・調査作業の着手時刻と担当者、保険会社への連絡履歴
「先に復旧して事業を戻したい」という現場の圧力は当然あります。だからこそ、証拠保全の範囲を先に決め、「ここまで保全したら復旧に着手してよい」という線を初動メモに書きます。復旧を止めるのではなく、順番を管理するという考え方です。着手時刻と担当者を記録に残すのは、後で「いつ何をしたか」を保険会社やPPCへ説明する際、そのまま経過の裏づけになるからです。
72時間タイムラインで報告と費用を並べる
72時間の初動は、早い順に「止める」「残す」「判定する」「知らせる」「費用を承認する」で進みます。保険代理店の視点では、ここに常に「その支出を保険契約上、対象費用として説明できるか」を重ねます。調査会社へ発注した後で保険会社に連絡すると、事前承認や指定業者、対象費用の扱いが問題になりやすいためです。発注前に事故通知と承認・指定業者の要否を確認できる契約では、その順序で進めます。緊急対応を先行せざるを得ない場合の扱いや、事前承認を条件としない商品もあるため、自社の証券・約款と事故受付窓口で確認します。
| 時間帯 | やること | 保険・費用で見る点 |
|---|---|---|
| 0〜6時間 | 被害拡大防止、通信遮断、ログ保全、社内窓口決定、証券の所在確認 | 緊急対応費用、外部専門家発注前の事故通知 |
| 6〜24時間 | PPC報告対象事態(4条件)の仮判定、対象データ確認、保険会社・代理店へ事故通知 | 弁護士費用、フォレンジック費用の事前承認・指定業者 |
| 24〜48時間 | 速報の提出、本人通知の方針決定、取引先説明の準備 | 通知費用、コールセンター費用、広報費用の対象性 |
| 48〜72時間 | 公表文・想定問答(FAQ)の作成、確報に向けた調査計画 | 継続調査費用、再発防止費用、事業中断の損害整理 |
実務では、この表をそのまま1枚の初動メモにします。未確定の項目は「未確定」「調査中」と書けばよく、空欄のまま部署ごとに判断を始めることを避けます。速報は完璧な報告ではありません。分かっている範囲と調査中の範囲を分けて出し、確報で更新するのが本来の運用です。時間帯ごとに「誰が承認するか」を決めておくと、深夜や休日に費用判断が止まらず、事前承認の連絡も遅れません。
サイバー保険は「何でも後払い」ではない
漏えい事故では、フォレンジック、弁護士、本人通知、コールセンター、広報、クレジットモニタリング、再発防止策など、多くの費用が短時間で発生します。ここでよくある失敗は、まず急いで発注し、後から保険会社へ領収書を出せば精算されるはずだと考えることです。
保険金は、請求すれば自動的に支払われるものではありません。被保険者である自社の側は、保険期間中の事故、具体的な損害と金額、事故との関係、損害の発生時期を示す資料を提出します。保険会社は約款と事実関係を調査し、免責事由を含む契約条件に照らして支払対象を判断します。フォレンジック報告書、ログ、見積書・発注書、通知件数の根拠、コールセンターの稼働記録といった証憑がそろわないと、対象費用であっても支払いの判断が進みにくくなります。証拠保全を初動で優先する理由は、報告のためだけでなく、この立証の土台を残すためでもあります。
サイバー保険では「いつ事故が起きたか」が補償の可否を分けることがあります。契約によっては、保険期間の開始前にすでに認識していた事案や、開始前に発生していた原因行為を対象外とする定めがあります。侵入自体は契約前で、発覚が契約後という潜伏型の攻撃では、この発生時期の整理が争点になりやすい部分です。だからこそ、発覚日時・侵入の推定時期・検知時期を初動メモで分けて記録し、後から時系列を再構成できるようにしておきます。
多くのサイバー保険には事故の通知期限が定められており、これを過ぎた場合の取扱いは契約ごとに異なります。「調査が終わってから連絡すればよい」という判断が、結果的に通知の遅れと評価されると、初動で払った費用の扱いに影響することがあります。金額や原因が未確定でも、事故の発生を認識した時点で事故受付窓口へ第一報を入れ、以後の経過を追加で報告する運用が安全です。実際の期限や遅延時の効果は、自社の証券・約款で確認します。
補償対象と対象外の線引きも契約ごとに違います。制裁金や行政上の課徴金、見舞金・見舞品、システムを根本から作り直すバージョンアップ費用、契約不履行に基づく違約金などは、対象外とされることが少なくありません。加えて、費用ごとにサブリミット（内枠の上限）が設定され、自己負担額（免責金額）が控除され、支払限度額を超えた部分は自己負担になる契約があります。「加入しているから全部出る」という前提で発注を積み上げると、後から自己負担が想定を超えることがあります。だからこそ、契約によって事前承認、指定ベンダー、対象費用の範囲、免責金額、サブリミット、事故通知の期限が定められている前提で、費用を発注する前に証券・約款・事故受付窓口・承認が必要な費用を確認します。加えて、保険会社へ伝える事実とPPCへ出す事実、本人通知の文面が食い違うと、後から双方への説明負担が増えます。同じ初動メモから出すことが、そのまま費用と説明の整合になります。
| 費用区分 | 発生しやすい場面 | 残す資料 | 保険で先に確認する点 |
|---|---|---|---|
| フォレンジック費 | 侵入経路・漏えい範囲・悪用可能性の調査 | 作業範囲書、見積、ログ保全記録、報告書 | 指定業者、事前承認、費用上限 |
| 本人対応費 | 本人通知、想定問答、コールセンター、郵送 | 通知件数、通知方法、委託契約、発送記録 | 通知義務の有無、対象範囲、免責 |
| 法務・広報費 | PPC報告、公表文、取引先・監督官庁対応 | 相談記録、ドラフト、承認履歴 | 弁護士費用の対象性、承認手順 |
| 事業中断費 | サービス停止、代替運用、機会損失 | 停止時間、売上台帳、SLA・契約への影響 | 補償の有無、待機期間、算定方法 |
事前承認と指定業者の条件は、平時に読んでも実感がわきにくく、事故の渦中で初めて直面します。すでに動いている調査会社が保険会社の指定外だった、承認前に発注した費用が対象外になった、というずれは、初動の数時間で起こります。証券番号・約款・事故受付窓口・承認が必要な費用区分を平時に一覧化し、事故時にすぐ参照できる状態にしておくことが、そのまま回収できる費用の差になります。保険代理店は、この平時の整理と事故時の窓口の間をつなぐ役割を担えます。
漏えい初動の経済合理性は、早く専門家を呼ぶことだけではなく、その費用を保険契約上説明できる形で動かすことにあります。
委託先・クラウド事故で自社は何をするか
IPAの10大脅威でも上位に挙がるとおり、攻撃は自社だけでなく委託先やSaaS・クラウド事業者を経由して起こります。「漏えいしたのは委託先だから、自社は待つ」という判断は危険です。委託先で個人データが漏えいしても、そのデータの取扱いを委託した自社は、個人情報取扱事業者として本人・PPCへの説明責任を負う場面があります。
委託先・クラウド事故では、次を早めに切り分けます。委託契約・再委託の有無、対象データの範囲と項目、影響を受ける本人の範囲、PPCへの報告主体は委託元か委託先か（連名か）、そして各社の費用をどの保険で見るか。委託先の初動が遅い場合でも、自社側で本人範囲と対象データの仮集計を進め、委託先からの一次情報を待たずに準備を始めます。クラウドの公開設定ミスのように「自社が管理者」のケースでは、報告主体も対応主体も自社になります。
費用負担の切り分けも初動で見ます。委託先の過失による漏えいでも、本人への通知や問い合わせ対応の一次窓口は委託元である自社になることが多く、その費用を自社のサイバー保険で見るのか、委託先へ求償するのか、委託先の保険が及ぶのかは、契約と約款次第です。委託契約に損害賠償や費用分担の条項があるか、委託先がサイバー保険に加入しているか、再委託先まで補償が及ぶかを確認しないまま自社だけで費用を抱えると、後から回収する機会を逃します。求償を見据えるなら、委託先とのやり取り・原因説明・費用の内訳を、初動の段階から記録に残しておきます。
未確定情報の公表・本人通知をどう扱うか
初動で最も怖いのは、未確定情報を確定情報のように公表・通知してしまうことです。一方で、未確定だから何も知らせないのも危険です。この矛盾は、事実を「確定・推定・調査中」の3段階に分けることで解けます。発覚日時、対象システム、対象データ、件数、第三者アクセスの有無、本人被害のおそれを、それぞれどの段階かを明示して書きます。
この3段階分類をすると、PPC速報・本人通知・保険会社への事故通知・取引先説明の文章が、同じ骨格になります。法務が作った文章、広報が作った文章、保険会社へ出した事故通知が、別々の数字や原因を持つ状態を避けられます。本人通知は、被害拡大の防止に必要な場合ほど早期が問題になりますが、件数や原因を断定して後で訂正すると、二次的な不信を招きます。「現時点で分かっていること」と「調査中のこと」を分けて出し、続報で更新する前提を最初に示すのが安全です。
保険会社への事故通知でも、この確定・推定・調査中の区別が効きます。第一報の段階で原因や件数を断定してしまうと、後の調査で数字が動いたときに、通知内容と実態の食い違いを説明し直す負担が生じます。逆に、分かっている事実と調査中の事実を分けて通知しておけば、続報で更新しても一貫した経過として扱われます。
相談後に一緒に確認する観点
相談の時点で全容は不要です。状況が未整理の段階でも、まずご相談いただければ、報告要否と費用承認の判断に向けて、次の観点を那由他と一緒に確認していきます。むしろ全容確定を待つと、速報期限や費用の事前承認の機会を逃します。
- 発覚日時、発見者、第一報の内容、外部からの通報の有無
- 対象システム、対象データ項目、対象人数の仮集計
- ログ、EDR通知、メールヘッダー、クラウド設定・操作履歴
- PPC報告対象事態(4条件)に関する仮判定メモ
- サイバー保険証券、約款、事故受付窓口、既に発注した費用
- 本人通知・公表・取引先説明の下書き、または想定問答
- 委託先事故の場合は、委託契約・再委託関係・報告主体の整理
那由他に相談いただく場合は、PPC報告・本人通知・サイバー保険の事故通知・外部専門家費用を、同じ事実整理で並行して動かせるよう、初動メモの作成から支援します。証券・約款の対象費用と、PPC報告・本人通知の要否を突き合わせ、72時間のうちに「報告・保険・説明」を一本化することが目的です。ただし、どの費用が事前承認や指定業者、対象費用に当たるか、免責事由や通知期限がどう働くかは自社の証券・約款・契約条件と個別事情によって決まるため、平時のうちから那由他と一緒に確認しておくと、事故の当日に迷いません。補償の境界は契約条件と事故状況によって変わるため、整理が途中の段階でも那由他保険テクノロジーズにご相談ください。
FAQ
漏えいが確定していなくてもPPCへ報告しますか？
報告対象事態に該当する漏えい等、またはそのおそれがある場合は、全容確定を待たず速報を検討します。速報は発覚後速やかに（概ね3〜5日以内が目安）行い、確報は原則30日以内、不正の目的によるおそれがある場合は60日以内が目安です。未確定情報は、確定・推定・調査中に分けて書きます。
72時間以内に何を決めればよいですか？
発覚日、対象データ、対象人数の仮説、第三者アクセスの可能性、本人被害のおそれ、PPC速報の要否、外部専門家費用の承認ルートを決めます。原因の完全特定は72時間後になることもあり、それは前提として差し支えありません。
サイバー保険会社への連絡はいつ必要ですか？
外部専門家、弁護士、通知、コールセンターなどの費用が発生する前に連絡するのが安全です。状況が整理できていない段階でも、まずは事故通知を入れてください。保険契約によって事前承認や指定業者、対象費用の扱いが違いますが、その確認は連絡後に代理店と一緒に進められます。金額が未確定でも、発注前の連絡が原則です。
本人通知や公表はすぐ出すべきですか？
本人被害の拡大防止に必要な場合は早期通知が問題になります。ただし、件数や原因が未確定のまま断定すると後で訂正が必要になります。通知文は、確定情報と調査中の情報を分けて作り、続報で更新する前提を示します。
委託先で漏えいした場合も自社が動く必要がありますか？
委託先の事故でも、自社が個人情報取扱事業者として説明責任を負う場面があります。委託契約、再委託の有無、対象データ、本人範囲、報告主体、保険対象費用を早めに確認し、委託先の一次情報を待たずに本人範囲の仮集計を進めます。
復旧を先に進めてよいですか？
復旧そのものは欠かせませんが、順番が重要です。バックアップ復元・初期化・パスワードリセットを先に行うと、侵入経路や漏えい範囲を示すログが消えることがあります。復旧判断と証拠保全判断を同じ会議体で決め、保全範囲を確定してから復旧に着手します。
警察への相談とPPC報告はどちらが先ですか？
目的が異なるため、どちらが先という関係ではなく並行します。警察は被害相談・捜査、PPCは個人情報保護法上の漏えい等報告、保険会社は費用・賠償・事業中断の確認を担います。同じ初動メモの事実を、それぞれの窓口に合わせて出します。
参考一次情報・公的資料
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- 警察庁「令和7年の犯罪情勢」（フィッシング報告件数・ネットバンキング不正送金被害額）
- 警察庁「サイバー空間をめぐる脅威の情勢等」
- IPA「情報セキュリティ10大脅威 2026」
- IPA「中小企業の情報セキュリティ対策ガイドライン」
- 日本損害保険協会「企業のための保険ナビ サイバー保険」
情報確認日：2026年7月17日
執筆：中村 祐太朗（那由他保険テクノロジーズ株式会社 Risk & Benefits事業 執行役員／損害保険・生命保険募集人）｜編集：那由他保険テクノロジーズ株式会社 編集部｜最終更新日：2026年7月17日
本記事は一般的な情報提供であり、特定の法令対応、行政報告、保険金の支払いを保証するものではありません。補償の可否、引受、保険料、保険金の支払は、商品・約款・契約条件・個別事情によって決まります。法務・税務・労務・会計に関する事項は、弁護士・税理士等の専門家への確認が必要になり得ます。個人情報保護法、契約、保険約款、事故状況に応じて、専門家や保険会社にご確認ください。