サイバー被害時に企業信頼を守る最初の24時間情報開示実践戦略

サイバー被害で初日の信頼差が決まる構造

サイバー攻撃を受けた企業が失うのは、システムの可用性やデータだけではありません。顧客、取引先、従業員、株主が「この会社は自分に必要な情報を、必要な時に伝えてくれるか」を判断する局面でもあります。情報が乏しいほど、関係者は自衛のために最悪の事態を想定し、取引停止や問い合わせの殺到、風評の拡大が起こりやすくなります。

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の首位はランサム攻撃による被害です。11年連続で選ばれた事実は、侵入を完全に防ぐだけでは経営リスクを管理し切れないことを示します。被害を発見してから最初の24時間は、技術対応と同じ重さで、説明責任の土台をつくる時間です。

ここでいう24時間は法定期限ではなく、経営上の初動目標です。確定前の情報を断定して発表する時間ではありません。被害を広げない行動、関係者が今取るべき行動、次に情報を更新する時刻を、確度に応じて示す時間と位置付けるべきです。

最初の24時間を三段階で運用する情報開示設計

発覚から4時間で固定する事実と窓口

発覚直後に最優先すべきなのは、原因究明よりも被害の封じ込めです。IPAは、検知、報告、封じ込め、復旧という流れを示し、CSIRTなどが影響分析と優先順位判断を担う体制を求めています。端末やサーバーを不用意に再起動して証跡を失う前に、ネットワークの遮断範囲、ログ保全、外部の調査会社への連絡を判断します。

同時に、経営側は「誰が外部へ話すのか」を一人に定めます。CISO、法務、広報、事業部門が別々の表現で説明すると、内容の食い違い自体が不信を招きます。技術的な事実を確認する担当、法令・契約上の通知先を確認する担当、顧客対応を統括する担当、最終承認者を明確にし、窓口を一本化することが必要です。

初回の対外告知で確定している必要があるのは、全容ではありません。少なくとも、障害や不正アクセスを認識していること、現在停止・制限しているサービス、調査と封じ込めを進めていること、問い合わせ先、次回更新の予定時刻は示せます。原因、情報流出、影響人数が未確定なら、未確定であることを明記します。

重要なのは「現時点で確認されていない」と「発生していない」を混同しないことです。例えば、漏えいの有無を調査中であれば、「漏えいは確認されていない」と断じるのではなく、「漏えいの有無を含めて調査中」とするほうが正確です。後に事実が判明した際の訂正コストを下げ、説明の連続性も守れます。

取引先には、一般公表より早く知らせるべき場合があります。自社の受発注、決済、物流、顧客支援の停止が相手の業務継続を左右するためです。IPAの実践例でも、原因が未確定でもサービス影響が生じる相手には早い段階から共有し、その他の取引先には影響見通しを添えて連絡する手順が示されています。

ここで経営者が決めるべきなのは、公表するか否かだけではありません。顧客、取引先、委託先、監督官庁、捜査機関、投資家のそれぞれについて、連絡の順番、担当者、使うチャネルを定めることです。平時に連絡先リストと代理権限を整備していなければ、最初の数時間は確認作業だけで失われます。

24時間までに示す影響と利用者の行動

発覚から数時間が過ぎると、外部の関心は「サービスは使えるのか」「自分の情報は大丈夫か」「何をすればよいか」に移ります。この段階の開示は、被害の全容を説明する資料ではなく、関係者の判断と行動を支える実用情報であるべきです。

顧客向けには、利用停止や遅延が生じているサービス、代替手段、パスワード変更や不審メールへの注意が必要かを、短く明確に示します。被害との関係が確認できない一律の操作を求めると、混乱と問い合わせを増やします。一方、フィッシングやなりすましが想定される場合は、企業が連絡に使う公式ドメイン、電話番号、支援を装う不審な連絡への注意を明示する必要があります。

個人情報保護法上、一定の漏えい等は個人情報保護委員会への報告と本人への通知の対象になります。速報は発覚日から概ね3〜5日以内、確報は原則30日以内で、不正の目的で行われたおそれがある場合は60日以内です。ただし、この期限があるからといって、顧客や取引先への説明を数日間待ってよいわけではありません。

報告義務と公表は同じではありません。個人情報保護委員会は、事案の公表を一律には義務付けていない一方、内容に応じた公表が望ましい場合があるとしています。本人への直接通知が可能か、二次被害を防ぐために早く知らせる必要があるか、技術情報の開示が被害拡大を招かないかを、別々に検討することが大切です。

24時間以内の更新では、「分かっていること」「調査中のこと」「利用者にお願いすること」「次の更新予定」を定型化するとよいでしょう。調査中の事項を空欄にするより、確認対象と確認方法を簡潔に説明したほうが、沈黙を隠蔽と受け取られるリスクを抑えられます。更新予定を守れない場合も、延期の理由と新しい時刻を知らせることが信頼維持につながります。

JPCERT/CCは、侵入型ランサムウェアへの初動として、被害範囲の把握、侵入経路の遮断、攻撃者の要求に応じずバックアップから復旧する方針を示しています。技術対応の進展をそのまま広報文に移すのではなく、利用者に必要な影響情報へ翻訳する役割が重要です。復旧作業中であることと、安全に利用を再開できることも、別の判断として扱う必要があります。

信頼回復を支える経営判断と財務統制

確度を管理する単一の事実台帳

開示の巧拙は、文章力よりも情報統制で決まります。インシデント対策本部は、検知時刻、影響したシステム、停止措置、ログや調査会社による裏付け、影響範囲の推定、対外説明の承認者を一つの事実台帳に記録すべきです。広報文、顧客向け通知、取引先説明、取締役会資料は、すべてこの台帳を参照する仕組みにします。

台帳では、情報を「確認済み」「合理的に推定」「調査中」「否定済み」に区分します。さらに、確認の根拠、取得時刻、次の検証予定、外部へ出してよい範囲を付けます。これにより、技術担当者の暫定仮説が、承認過程で確定事実のように扱われる事故を防げます。

会計・財務の観点からも、単一の事実台帳は有効です。サイバー被害は、復旧委託費だけでなく、売上機会の逸失、代替配送や手作業の追加費用、顧客補償、契約上の違約、将来のセキュリティ投資に波及します。いつ、どのサービスが、どの程度止まったかを記録しておけば、損害や業績影響を説明する際の根拠が残ります。

逆に、復旧状況と業績影響の説明が部門ごとに食い違えば、投資家は被害額そのもの以上に内部統制の弱さを懸念します。事実台帳は危機広報の道具であると同時に、経営判断と財務開示の監査可能性を高める基盤です。NISTも、インシデント対応を独立した非常時の作業ではなく、組織全体のサイバーリスク管理へ組み込む考え方を示しています。

訂正や続報を恐れて更新を遅らせる必要はありません。初回発表に時点を明記し、更新履歴を残せば、情報が変わることは調査が進んだ結果として説明できます。問題なのは内容が変わることではなく、変わった理由、根拠、影響を示さないことです。

取締役会が監督する開示と企業価値

サイバー被害の開示は、広報部門だけの判断に委ねにくい案件です。サービス停止は顧客基盤に、情報流出は賠償とブランドに、長期化は売上と資金繰りに波及する可能性があります。取締役会または緊急時の経営会議は、被害の技術的な全容を自ら調査するのではなく、意思決定の速さと説明責任を監督する役割を持ちます。

具体的には、重大性の判定基準、取引先への先行連絡基準、規制当局への報告、投資家への開示、復旧の再開基準を事前に承認しておくべきです。米国では、上場会社が重要と判断したサイバーインシデントについて、重要性の判断後4営業日以内の開示を求める制度がある点も参考になります。日本企業に同じ期限が直接適用されるわけではありませんが、重要性を不合理に遅らせず判断する統治の考え方は有用です。

経済産業省のサイバーセキュリティ経営ガイドラインは、経営者に対し、緊急時を含む社内外との積極的なコミュニケーションを求めています。投資家向けには、攻撃手法の詳細を語ることより、停止している事業、復旧の前提、業績への影響を見積もれる段階か、次の判断時点はいつかを示すほうが重要です。

顧客向けの文章をそのまま投資家向けに流用してはいけません。顧客には自衛行動と支援窓口、取引先には供給・決済への影響、従業員には業務継続手順、投資家には経営への重要性と統治を、それぞれ過不足なく伝える必要があります。伝える内容は違っても、事実の基礎と時点は一致させなければなりません。

サプライチェーンの観点も欠かせません。委託先やクラウド事業者の障害であっても、顧客から見れば責任の所在は契約相手である企業に向きます。IPAは、国内外の拠点、ビジネスパートナー、委託先まで含めた対策とコミュニケーションを求めています。契約時から事故通知の期限、調査協力、顧客通知の分担、ログ提供の条件を確認しておくことが、初日の開示品質を左右します。

過剰開示と沈黙を防ぐ継続更新の規律

情報を早く出すことは、攻撃の技術情報を全て公開することではありません。侵入経路の詳細、未修正の脆弱性、ネットワーク構成、復旧手順を具体的に明かせば、攻撃者に追加攻撃の材料を与えるおそれがあります。公表文では、関係者の安全確保に必要な影響情報と、専門機関・捜査機関への限定共有が必要な技術情報を分けるべきです。

一方で、「調査中」とだけ書いて長期間更新しない対応も危険です。利用者が知りたいのは、会社が完璧な結論に達したかではなく、今使ってよいサービス、確認されている影響、問い合わせ先、自分で防げる二次被害です。時刻入りの更新履歴と、前回から変わった点を残すことが、情報空白を埋めます。

特に警戒すべきなのは、事故公表に便乗するフィッシングです。企業は公式サイト以外の告知経路を限定し、金銭や認証情報をメール・電話で求めない方針を明示する必要があります。問い合わせ窓口の人員、想定問答、取引先向けの専用連絡線まで含めて初動計画に組み込まなければ、正しい開示も実際の支援につながりません。

公表しない判断をする場合にも、理由と再評価時点を記録することが重要です。個人情報保護委員会が示すように、公表が二次被害の拡大につながる場合もあり得ます。非公表は隠蔽の同義語ではなく、影響を抑えるための例外判断として、法務・技術・経営が根拠を共有する必要があります。

有事の開示を企業価値へ変える平時準備

信頼を取り戻す会社に共通するのは、被害を受けないと約束することではありません。被害を認識した時点で、利用者を守るために何を止め、誰に何を知らせ、未確定事項をどう更新するかを準備していることです。最初の24時間の開示品質は、平時の統治品質を映します。

経営者は、事故発生を前提にした机上演習で、初回文案、承認権限、顧客・取引先への連絡先、代替業務、投資家向け説明の材料を検証すべきです。その際、攻撃発生から公表までの時間だけでなく、担当者が同じ事実台帳を見られたか、更新時刻を守れたか、顧客の自衛行動を具体的に示せたかを評価します。

サイバーリスクをIT部門のコストとして扱うだけでは、企業価値の毀損を防げません。開示、復旧、顧客保護、財務影響の把握を一つの経営プロセスに結び付けることが必要です。被害時の誠実さは抽象的な姿勢ではなく、迅速で検証可能な情報提供として初めて関係者に伝わります。

参考資料:

• 漏えい等の対応とお役立ち資料｜個人情報保護委員会
• 漏えい等報告・本人への通知の義務化について｜個人情報保護委員会
• 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会
• 指示7 インシデント発生時の緊急対応体制の整備｜IPA
• インシデント発生時の優先度に応じた顧客への通知・連絡・公表手順｜IPA
• サイバーセキュリティ経営ガイドラインと支援ツール｜経済産業省
• サイバー攻撃被害に係る情報の共有・公表｜NISC
• インシデント相談・情報提供｜JPCERTコーディネーションセンター
• 侵入型ランサムウェア攻撃を受けたら読むFAQ｜JPCERTコーディネーションセンター
• 情報セキュリティ10大脅威 2026｜IPA
• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について｜IPA
• 令和7年上半期における脅威情勢の概要｜警察庁
• SP 800-61 Rev. 3｜NIST
• Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure｜米国証券取引委員会
• Personal data breaches: a guide｜英国情報コミッショナーオフィス