不正アクセスされたときの対応は、気づいた直後の数時間の動き方で、被害の広がり方も、あとで原因を調べられるかどうかも変わります。電源を切る、ファイルを消すといった善意の操作が、記録を消してしまうこともあります。この記事では、IPAと個人情報保護委員会の案内をもとに、最初の72時間でやることと報告の期限を確認します。
不正アクセスの初動は「切り離す・残す・報告する」の順で進める
不正アクセスされたときの対応は「切り離す・残す・報告する」が基本
不正アクセスされたときの対応は、被害を止めるための切り離し、原因を調べるための記録の保全、関係先への報告の3つを、この順で進めるのが基本です。IPAの「中小企業のためのセキュリティインシデント対応の手引き」（2026年6月 Version 1.2）は、対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階に分けています（出典：IPA「中小企業の情報セキュリティ対策ガイドライン」付録8、2026年11月12日確認）。
手引きでは、情報が外から見られる状態にある場合や被害が広がるおそれがある場合に、ネットワークの遮断、機器の隔離、システムやサービスの停止を行うとしています。そのうえで、対象の機器の電源を切るなど、不用意な操作で記録を消さないようにと注意しています。
LANケーブルを抜く・Wi-Fiを切るなどでネットワークから切り離す。画面の表示や気づいた時刻をスマホで撮ってメモする。責任者と社長に報告する。
慌てて電源を切る、怪しいファイルを消す、初期化して入れ直す。一人で調べ続けて報告が遅れる。犯人と思われる相手に連絡する。
現場では「早く元に戻したい」という気持ちから、パソコンの初期化やサーバーの入れ直しに進みがちです。けれども、入れ直すと、どこから入られて何を見られたのかを確かめる手がかりがなくなり、報告書に書く内容も決められなくなります。元に戻すのは、記録を残してからが目安です。
不正アクセスに気づいてから72時間の動き方（目安）
不正アクセスに気づいてからの72時間は、「最初の1時間で止める」「当日中に体制を作る」「3日目までに報告の準備を整える」の3つに分けて考えると動きやすくなります。下の時間の区切りは当サイトの目安で、手引きの段階に沿って並べたものです。
STEP1（気づいてから1時間以内）：止めて、報告する
気づいた人は、情報セキュリティの責任者（いなければ社長）に報告します。外部から「おかしなメールが届いた」などの連絡を受けたときは、相手の連絡先を控えます。被害が広がるおそれがあれば、電源は切らずにネットワークから切り離します。クレジットカードやアカウントの情報が漏れたおそれがあれば、カード会社への連絡やアカウントの停止を検討します。
STEP2（当日中）：体制を作り、記録を残す
社長が対応の責任者と担当者を決め、役割を分けます。いつ・どこで・誰が・何を・なぜ・どうしたかを、わかる範囲で時系列に書き出します。ログ（機器やサービスに残る操作の記録）は消さずに保存し、自社で調べられない場合は、保守を頼んでいる会社や公的な相談窓口に連絡します。
STEP3（3日目まで）：漏れた範囲を見積もり、報告を準備する
漏れたおそれのある情報の種類と件数、暗号化やアクセス制限の有無を確かめます。個人データが含まれるなら、個人情報保護委員会への報告が必要かを判断します。必要なら、わかっている範囲で速報を出します。取引先やお客さまへの連絡のしかたも、この段階で決めておきます。
手引きでは、対応を始めるときに整理しておく項目として、インシデントの分類、発覚日時と発生日時、表面化している事柄、時系列の経過、想定される原因、被害を受けたシステムの状況などを挙げています。最初から全部は埋まらないため、空欄のまま始めて、わかったところから書き足していく形が現実的です。
報告した人を責めない
「自分のせいかもしれない」と思った社員が報告をためらうと、そのぶん切り離しが遅れます。「気づいたらすぐ言う。言った人は責めない」と、社長からふだん伝えておくことも初動の一部です。
個人情報保護委員会への報告が必要になるケースと期限
個人情報保護委員会への報告は、決められた4つの事態のどれかに当てはまるとき、民間の会社にも義務づけられています。漏えいが確定していなくても、「おそれ」がある段階で対象になります（出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、2026年11月12日確認）。
| 報告が必要になる事態 | 例（委員会の案内より） |
|---|---|
| 要配慮個人情報 | 病歴や健康診断の結果などを含む個人データの漏えい等 |
| 財産的被害のおそれ | クレジットカード番号、送金や決済ができるサービスのIDとパスワードなど |
| 不正の目的のおそれ | 不正アクセスやランサムウェアなど、第三者による行為も含む |
| 1,000人を超える | 設定の誤りで、1,000人を超える個人データがネット上で見られる状態になったなど |
不正アクセスは3つ目の「不正の目的のおそれ」に当たりやすいため、件数が少なくても報告の対象になる可能性があります。期限は次の2段階です。
報告は、委員会のWebの「漏えい等報告フォーム」から行います。マイナンバーを含む場合は別のフォームです。ランサムウェアなどのサイバー攻撃の場合は、共通の様式（Excel）をメールで送る方法も案内されています。業種によっては、委員会ではなく所管の省庁へ報告する場合もあるため、フォームのページで確認してください。
あわせて、漏えいした本人への通知も必要になります。委員会は、状況に応じて速やかに、概要・漏えいした項目・原因などを本人にわかりやすい方法で知らせるよう案内しています。連絡先がわからないなど通知が難しい場合は、ホームページでの公表と問い合わせ窓口の設置などの代わりの方法もあるとしています（出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」、2026年11月12日確認）。
速報は「わかっている範囲」で出す
速報の段階では、原因も件数もはっきりしないことが多いものです。全部わかってから出そうとすると、3〜5日の目安を過ぎやすくなります。わかっていることだけを書いて速報を出し、確報で補う形が、委員会の2段階の仕組みにも合っています。法的な判断に迷う場合は、弁護士など専門家に確認してください。
不正アクセスの報告・相談先は4か所に分かれる
不正アクセスの報告・相談先は、目的に応じて個人情報保護委員会・警察・IPA・取引先の4か所に分かれます。IPAの手引きでは、個人情報の漏えいは個人情報保護委員会、犯罪性がある場合は警察、ウイルス感染や不正アクセスはIPAへ届け出るとしています。
個人情報保護委員会
個人データの漏えい等の報告。Webの漏えい等報告フォームから。期限は上の2段階
警察
不正アクセスは犯罪に当たるため届け出る。警察庁の「サイバー事案に関する相談窓口」から都道府県警察へのオンライン受付、または最寄りの警察署
IPA
不正アクセス・ウイルスの届出窓口（届出様式をメールで送る）と、初動の助言をする「企業組織向けサイバーセキュリティ相談窓口」
IPAの企業組織向けの相談窓口では、被害の可能性についての助言、応急処置の案、インシデント対応を行う専門業者の紹介、ほかの相談先の案内などを受け付けています。一方、相談案件の調査や解析、端末やログの調査、法的な解釈は受け付けていないため、詳しい調査が必要なときは専門の業者を紹介してもらう流れになります。
4つ目の取引先・お客さまへの連絡は、法律で決まった窓口ではありませんが、実際にはいちばん気をつかう相手です。IPAの手引きは、関係者全員への通知が難しい場合や影響が広く及ぶ場合はWebサイトなどで公表すること、お客さまに関係する場合は問い合わせ専用の窓口を作ることを挙げています。公表によってかえって被害が広がらないよう、時期と内容を考えることも求めています。
ほかの組織が公表した事例は、不正アクセス・情報漏えいの公表事例台帳で、侵入口や事象の種類ごとに見られます。公表文の書き方を考えるときの参考になります。
不正アクセスからの復旧と再発防止で確かめること
不正アクセスからの復旧は、侵入された機器の内容を保存し、入られた原因をふさいでからサービスを戻す、という順番が基本です。手引きは、アカウント情報が漏れた場合のアカウントの再発行やパスワードの変更、脆弱性（ソフトの弱点）への対処、設定やアクセス権限の見直しを挙げています。
- 侵入された機器やサーバーの内容を、証拠として保存してから復旧作業に入る
- 漏れたおそれのあるIDとパスワードを変え、同じパスワードを使っているほかのサービスも変える
- VPN機器やサーバーのソフトを最新にし、使っていないアカウントを止める
- メールやクラウドに多要素認証（パスワードに加えてスマホの確認コードなどを使う仕組み）を設定する
- お客さまや取引先に、同じパスワードの変更など二次被害を防ぐための注意を伝える
訴訟などを見越して、パソコンのディスクやサーバーのログを専門家が調べる調査（フォレンジック調査）が必要になることもあります。費用がかかるため、どこまで調べるかは、漏れた情報の重さや取引先からの求めを見ながら、専門業者と相談して決める会社が多い傾向があります。
侵入口として多いVPN機器の対策は、ランサムウェア対策は中小企業もVPNからで詳しく扱っています。
不正アクセスに備えて今のうちに決めておくこと
不正アクセスへの備えで最初にやりたいのは、「誰に報告し、どこに連絡するか」を1枚の紙にまとめておくことです。いざというときに連絡先を探すところから始めると、それだけで時間がたってしまいます。
- 社内の報告ルート（気づいた人 → 責任者 → 社長）と、夜間・休日の連絡方法
- 保守を頼んでいるIT会社、加入している保険会社の連絡先
- 個人情報保護委員会の報告フォーム、警察庁の相談窓口、IPAの相談窓口のURL
- LANケーブルの抜き方、Wi-Fiの切り方など、社員でもできる切り離しの手順
- 大事なデータのバックアップを、ふだんはつながない場所に置いているか
IPAの手引きは8ページで、ウイルス感染、ランサムウェア、情報漏えい、システム停止の場合ごとの流れと相談窓口がまとまっています。印刷して、上の連絡先と一緒に保管しておくのが手軽な一歩です。対策の全体像は中小企業のセキュリティ対策ガイドにまとめています。
補助金で安くするヒント
不正アクセスに気づける仕組みや、何かあったときの相談・駆けつけまで外部に任せたい場合は、IPAが基準を定めた「サイバーセキュリティお助け隊サービス」を、デジタル化・AI導入補助金の「セキュリティ対策推進枠」で導入する方法があります。対象・補助額・申請の流れはセキュリティ対策の補助金で整理しています。制度の内容や締切は公募回・年度で変わるため、最新は事務局の公式サイトや専門家で確認してください。
※本記事は2026年11月12日時点の公開情報にもとづきます。報告の手続きや窓口は変わることがあります。最新は個人情報保護委員会・IPA・警察庁の公式サイトで確認してください。
出典・確認日
5件
よくある質問
Q. 漏れたかどうかはっきりしません。それでも報告が必要ですか？
A. 個人情報保護委員会の制度では、漏えいが確定した場合だけでなく、「おそれ」がある段階も報告の対象になります。不正アクセスで個人データのあるサーバーに入られた形跡があるなど、漏れた可能性を否定できない場合は、わかっている範囲で速報を出し、調べた結果を確報で伝える形が目安です。判断に迷うときは、委員会のWebの案内や専門家に確認してください。
Q. 社員が5人ほどの会社で、担当者もいません。誰が対応すればいいですか？
A. 少人数の会社では、社長が責任者を兼ねる形が現実的です。自社で調べるのは難しいことが多いため、まず機器を切り離し、保守を頼んでいるIT会社やIPAの企業組織向けサイバーセキュリティ相談窓口に連絡して、助言や専門業者の紹介を受ける流れが考えられます。連絡先を1枚にまとめておくだけでも、初動はかなり速くなります。
Q. 取引先やお客さまには、いつ知らせればいいですか？
A. 個人データが漏えいした本人への通知は、状況に応じて速やかに行うよう案内されています。ただし、原因がわからないまま公表すると、かえって被害が広がるおそれもあるため、IPAの手引きは時期・内容・対象を考えて公表するよう求めています。二次被害を防ぐための注意（パスワードの変更など）は早めに伝え、詳しい経緯は調べがついてから知らせる、という分け方をする会社もあります。