セキュリティインシデントとは？種類・原因と発生時の対応手順をわかりやすく解説

セキュリティインシデントとは、情報の漏えいや改ざん、システムの機能停止など、セキュリティ上の事故や出来事のことです。単に「インシデント」と呼ぶこともあります。IPA(情報処理推進機構)の手引きは、情報の漏えいや改ざん、破壊・消失、情報システムの機能停止、またはそれらにつながる可能性のある事象を、インシデントに当たるとしています。この記事では、意味と種類、原因と最近の事例、発生したときの報告先と対応の手順、日ごろの備えを整理します。インシデントは外部からの攻撃だけでなく、メールの誤送信や端末の紛失といった社員の行動からも起きるため、起きたときに動ける状態をつくる社員教育の見直し方にも触れます。内容は、2026年10月21日時点の公的機関の資料と、各サービスの商品ページにもとづきます。

目次

開く

閉じる

1. セキュリティインシデントとは｜意味と、アクシデントとの違い
2. セキュリティインシデントの種類と具体例
3. 最近の傾向と事例｜IPA10大脅威・警察庁の数字・公表事例
4. セキュリティインシデントの原因｜外部攻撃・内部不正・誤操作・設定不備
5. インシデントが起きた場合の影響｜金銭・信用・事業と、法的な報告義務
6. セキュリティインシデント発生時の対応｜基本の3ステップ
7. インシデントを防ぐ備え｜IPAの6か条と、組織で進める4つのステップ
8. 社員教育を見直すとき｜3つのサービスの整理
9. よくある質問(FAQ)
10. まとめ｜セキュリティインシデントの対応と備えで押さえたい6つのこと
11. 参考文献

セキュリティインシデントとは｜意味と、アクシデントとの違い

セキュリティインシデントとは、情報の漏えいや改ざん、システムの機能停止など、セキュリティ上の事故や出来事のことです。単に「インシデント」と呼ぶこともあります。

IPAの「中小企業のためのセキュリティインシデント対応の手引き」は、情報の漏えいや改ざん、破壊・消失、情報システムの機能停止、またはこれらにつながる可能性のある事象を、インシデントに当たるとしています。実際に被害が出たあとだけでなく、被害につながる可能性のある段階も含む点が、押さえておきたいところです。

「インシデント」と「アクシデント」の違いは、解説によって説明が分かれます。IPAの手引きは、セキュリティの事故・出来事という広い意味でインシデントを使っており、本記事もその意味で書きます。

情報セキュリティの3つの性質のどれかが損なわれる

セキュリティインシデントは、情報セキュリティの3つの性質、機密性・完全性・可用性のどれかが損なわれる事態として説明されることが多く、KDDIの解説も同じ整理をしています。種類を考えるときの軸になるため、表にまとめます。

性質	意味	損なわれる例
機密性	許可された人だけが情報にアクセスできること	顧客情報が外部に流出する、メールを別の宛先に誤送信する
完全性	情報が正確で、改ざんされていないこと	ウェブサイトが改ざんされる、データが書き換えられる
可用性	必要なときに情報やシステムを使えること	ランサムウェアでデータが暗号化される、システムが停止する

外部の攻撃だけではない｜社員の行動もインシデントになる

IPAの手引きは、情報漏えいの原因として、ネットワークへの不正アクセス、従業員による内部犯行、電子メールの誤送信やウェブでの誤公開、紛失・置忘れを挙げています。このうち、メールの誤送信やウェブでの誤公開は、ミスをした本人、またはそれを見つけた第三者の指摘によって発覚するとされています。つまり、最初にインシデントに気づくのは、情報システムの担当者ではなく、現場の社員であることが少なくありません。

そのため、報告の窓口や初動の流れを決めるだけでなく、社員全員が情報の扱い方を同じ基準で学んでいることが、被害を小さくする土台になります。情報セキュリティやコンプライアンスの研修を、全社でそろえて実施したい場合の一例が、株式会社Oysterが提供するOneCompliance(ワンコンプライアンス)です。商品ページでは、ダッシュボードや自動リマインダーなど管理工数を最小化できる点が特徴として紹介されています。公式サイトのコース一覧には、マルウェア感染、機密情報・個人情報の漏洩、メールの誤送信などを防ぐ手立てを学ぶ「情報セキュリティ」のほか、「個人情報保護法」「マイナンバー・特定個人情報」があります(2026年10月21日確認)。一方で、費用は受講人数に応じた課金体系のため、問い合わせでの確認が必要です。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

OneCompliance 導入事例(株式会社プリメディカ。導入の背景・課題感として掲載) 出典：公式サイト

セキュリティインシデントの種類と具体例

セキュリティインシデントは、IPAの手引きでは、情報漏えい、ウイルス・ランサムウェア感染、システム停止などに分けて対応が整理されています。気づくきっかけも種類ごとに違います。

種類	具体例	気づくきっかけ(IPAの手引きより)
情報漏えい	不正アクセスによる流出、従業員の内部犯行、メールの誤送信、ウェブでの誤公開、紛失・置忘れ	ログの確認やセキュリティ機器のアラート、顧客からの問い合わせ、本人や第三者の指摘
ウイルス感染	パソコンやサーバーへのマルウェア感染	パソコンの動作異常やウイルス対策ソフトの警告、内部から外部への不正な通信、外部からの通知
ランサムウェア感染	ファイルを暗号化され、解除と引き換えに金銭を要求される	画面に身代金を要求するメッセージが表示される
システム停止	サイバー攻撃のほか、ソフトウェアのバグ・不具合、機器の故障など	システムの動作不良、障害、停止、またはその兆候

身近な具体例

日常の業務で起きやすいものを、個人情報保護委員会の漏えい等報告のページが示す例から選ぶと、次のとおりです。

• 会員1,000人超のメールマガジンを、宛先をBCCでなくCCに入れて一括送信した(システムの設定ミスでデータがネット上で見える状態になった場合も同様)
• 従業員の健康診断の結果を含む個人データが漏えいした
• 個人データを格納しているサーバーが、外部からの不正アクセスでデータを盗まれた
• ランサムウェアで個人データが暗号化され、復元できなくなった
• 従業員が顧客の個人データを不正に持ち出し、第三者に提供した
• ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された

こうした事態は、いずれも個人情報保護委員会への報告が必要になる場合がある例です。報告の要件は、後の章で整理します。

最近の傾向と事例｜IPA10大脅威・警察庁の数字・公表事例

2026年のIPA「情報セキュリティ10大脅威」組織編では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃でした。3位には、初選出のAIの利用をめぐるサイバーリスクが入りました。

順位	組織向けの脅威	10大脅威での取り扱い
1	ランサム攻撃による被害	11年連続11回目
2	サプライチェーンや委託先を狙った攻撃	8年連続8回目
3	AIの利用をめぐるサイバーリスク	初選出
4	システムの脆弱性を悪用した攻撃	6年連続9回目
5	機密情報を狙った標的型攻撃	11年連続11回目
6	地政学的リスクに起因するサイバー攻撃(情報戦を含む)	2年連続2回目
7	内部不正による情報漏えい等	11年連続11回目
8	リモートワーク等の環境や仕組みを狙った攻撃	6年連続6回目
9	DDoS攻撃(分散型サービス妨害攻撃)	2年連続7回目
10	ビジネスメール詐欺	9年連続9回目

1位のランサムウェアについて、警察庁の「令和7年の犯罪情勢」は、令和7年中に警察庁に報告された企業・団体等の被害を226件としています。推移は、令和3年が146件、4年が230件、5年が197件、6年が222件で、高い水準が続いています。また、令和7年上半期の警察庁の資料では、上半期の報告件数116件のうち、中小企業が77件で約3分の2を占め、件数・割合ともに過去最多とされています。大企業だけの話ではないことが分かります。

公表事例｜アサヒグループHDのランサムウェア被害

具体的な事例として、アサヒグループホールディングスの公表内容を見ます。同社は2025年9月29日に、サイバー攻撃の影響でシステム障害が発生し、国内グループ各社の受注・出荷業務や、お客様相談室などのコールセンター業務が停止したと発表しました。その後の2026年2月18日の発表では、次のような経過が示されています。

• 2025年9月29日の約10日前に、外部の攻撃者が拠点のネットワーク機器を経由して社内ネットワークに侵入したとみられる
• 主要データセンターに入り込み、パスワードの脆弱性を突いて管理者権限を奪取した
• 奪取したアカウントを不正利用し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返した
• 9月29日にランサムウェアが一斉に実行され、サーバーや一部のパソコン端末のデータが暗号化された
• 個人情報保護委員会へは、9月30日に速報、11月26日に確報を提出した

この事例から読み取れるのは、攻撃の発覚前に、権限の管理や侵入の兆候への気づきが問われていたこと、そして発生の翌日に速報を出すなど、報告の動きが速かったことです。同社が示した再発防止策には、ネットワークや権限管理の見直しに加えて、従業員向けのセキュリティ教育と実践的な訓練の継続も含まれています。技術の対策だけでなく、人の教育も再発防止の柱に置かれている点は、規模を問わず参考になります。

セキュリティインシデントの原因｜外部攻撃・内部不正・誤操作・設定不備

セキュリティインシデントの原因は、外部からの攻撃、内部の不正、人の誤操作や紛失、設定や運用の不備、機器の故障や災害に大きく分けられます。IPAの10大脅威とIPAの手引きをもとに、原因ごとに防ぎ方の方向を整理します。

原因	例	防ぎ方の方向(本記事での整理)
外部からの攻撃	ランサムウェア、標的型攻撃、システムの脆弱性を悪用した攻撃、ビジネスメール詐欺	ソフトウェアの更新、ウイルス対策、パスワードの強化、攻撃の手口を知る
内部の不正	従業員による顧客データの持ち出し(IPAの手引きは、内部犯行は犯罪性があるため警察への届出も必要としている)	アクセス権限の最小化、ログの取得、持ち出しルールの周知
人の誤操作・紛失	メールの誤送信、ウェブでの誤公開、端末やUSBメモリーの紛失・置忘れ	作業手順にチェックの仕組みを足す、社員への教育
設定・運用の不備	データ保管のウェブサービスや複合機の共有設定の間違い(IPAの6か条が注意を促している)	共有設定の見直し、権限の定期的な棚卸し
機器の故障・不具合	ソフトウェアのバグ、機器の故障によるシステム停止(IPAの手引きが原因として挙げている)	冗長化、バックアップ、事業継続計画(BCP)の整備

原因の表を見ると、技術の対策だけで防げるものと、社員一人ひとりの行動に左右されるものが混ざっていることが分かります。後者は、ルールを作るだけでなく、全員が理解して使える状態にしておく必要があります。

インシデントが起きた場合の影響｜金銭・信用・事業と、法的な報告義務

インシデントが起きると、金銭的な被害や対応費用、信用の低下、事業の停止といった影響が出ます。IPAの手引きは、被害を直接的なものと間接的なものに分けています。

区分	内容(IPAの手引きより)
直接的な被害	攻撃者による不正送金や金銭要求、対応にかかる人件費、原因調査や復旧のための外部委託費、復旧までの代替品費、取引先・顧客への謝罪対応費、法的対応のための弁護士費用
間接的な被害	関係者への被害の波及、会社の信用の低下、事業停止による機会損失

また、個人データが漏えいした場合には、個人情報保護法にもとづく報告が義務になることがあります。報告の対象や期限は、対応の手順とあわせて次の章で説明します。

セキュリティインシデント発生時の対応｜基本の3ステップ

セキュリティインシデント対応とは、被害と影響範囲を最小限に抑え、迅速に復旧し、再発を防ぐことで、事業の継続を確保する取り組みです。IPAの手引きは、基本の流れを、検知・初動対応、報告・公表、復旧・再発防止の3ステップで示しています。

ステップ1 検知・初動対応

ステップ1は、検知と連絡受付、対応体制の立ち上げ、初動対応の3つです。

• 検知と連絡受付: インシデントが疑われる兆候や発生を見つけたら、情報セキュリティ責任者に報告する。外部から通報を受けたときは、通報者の連絡先を控える
• 対応体制の立ち上げ: 責任者が対応すべきインシデントと判断したら、速やかに経営者へ報告する。経営者は体制を立ち上げ、責任者と担当者を定めて役割分担を明確にする
• 初動対応: 対象の情報が外部からアクセスできる状態にある場合や、被害が広がる可能性がある場合は、ネットワークの遮断、情報や対象機器の隔離、システムやサービスの停止を行う

注意したいのは、対象機器の電源を切るなどの不用意な操作で、システム上に残された記録を消さないことです。記録は、あとの原因調査や証拠保全に使います。

初動で最初に書き出す10項目

IPAの手引きは、対応時に整理しておく事項を示しています。起きた直後に慌てないよう、この項目を1枚のシートにしておくと、報告や調査の手間が減ります。

項目	書く内容
インシデントの分類	情報漏えい、ウイルス感染、システム停止など
事業者	事業者の名称(自社の受託案件に関連する場合は、委託元を含む関係事業者の名称)
責任者・担当者	本件に関する責任者と担当者の所属、氏名
発覚日時	インシデントを認知した日時
発生日時	調査で判明したインシデントの発生日時
発生事象	表面化している事柄、被害、影響など
対応経過	発生から現時点までの時系列での経過
想定される原因	現時点で想定される直接的な原因
被害を受けたシステムの状況	被害を受けたシステムの概要・詳細
システム構成・運用状況	物理的な所在地、OS、アプリケーションとバージョン、セキュリティツールの利用状況など

ステップ2 報告・公表｜誰に、いつ報告するか

IPAの手引きによると、第一報では、すべての関係者への通知が難しい場合や、影響が広く一般に及ぶ場合は、ウェブサイトやメディアを通じた公表を考えます。顧客や消費者に関係する場合は、受付専用の問い合わせ窓口を開設します。そのあとの第二報以降・最終報で、報告先が分かれます。主な報告先を、要点だけ表にまとめます。

報告先・相談先	どんなとき	期限・窓口
個人情報保護委員会(または権限委任先の省庁)	報告対象の事態(要配慮個人情報を含む漏えい等、財産的被害のおそれがある漏えい等、不正の目的によるおそれがある漏えい等、本人の数が1,000人を超える漏えい等)	知ってから概ね3-5日以内に速報、30日以内に確報(不正の目的によるおそれがある場合は60日以内)。ホームページの報告フォームから
警察	不正アクセスや内部犯行など、犯罪性がある場合	警察庁のサイバー事案に関する相談窓口
IPA	ウイルス感染や不正アクセスの場合の届出	コンピュータウイルス・不正アクセスの届出窓口
所管の省庁	業法等で報告が求められる場合	所管の省庁に確認
取引先・顧客	影響を及ぼした場合。取り決めがある場合は、その定めに従う	個別に連絡
外部の専門組織	自社で対応が難しい場合の相談	IPAの技術相談窓口、JPCERT/CCのインシデント対応依頼、JNSAのサイバーインシデント緊急対応企業一覧

個人情報保護委員会への報告期限は、ガイドライン(通則編)で、報告対象の事態を知った時点から速やかにとされ、日数の目安は概ね3-5日以内です。報告の起算点は、法人の場合、いずれかの部署がその事態を知った時点を基準とします。速報の時点では、把握している内容を報告すれば足りるとされています。主な相談先と窓口は、次のとおりです。

• IPA サイバーセキュリティ 相談・届出窓口一覧
• 警察庁 サイバー事案に関する相談窓口
• JPCERT/CC インシデント対応依頼
• JNSA サイバーインシデント緊急対応企業一覧
• IPA コンピュータウイルス・不正アクセスに関する届出

なお、本記事は一般的な情報提供を目的としたもので、法的助言ではありません。個別の事案で報告が必要かどうかは、個人情報保護委員会の資料や、所管の省庁、専門家に確認してください。

ステップ3 調査・復旧・再発防止

ステップ3は、調査・対応、証拠保全、復旧、再発防止策の4つです。IPAの手引きによると、状況は5W1H(いつ、どこで、誰が、何を、なぜ、どうしたのか)の観点で整理し、対応方針をもとに原因を調査して、必要な修復を行います。自社で対応が難しい場合は、IT製品のメーカーや保守ベンダーなどの外部専門組織や、公的機関の相談窓口に支援を求めます。訴訟対応などを見越して証拠を保全し、必要に応じてフォレンジック調査を行います。復旧は、正しく修復できたことを確認してからです。再発防止では、根本原因を分析し、新たな技術的対策、ルールの策定、教育の徹底、体制の整備、運用の改善などを検討して実施します。

ケース別の初動の違い

ケース	初動のポイント(IPAの手引きより)
ウイルス感染	感染したパソコンやサーバーの利用を停止し、ネットワークから切り離す
ランサムウェア感染	同じく利用を停止してネットワークから切り離す。日ごろ、適切な方法でバックアップを取っておくことが、被害を最小限に抑えるポイントになる
情報漏えい	漏えいした情報の種類と件数、暗号化やアクセス制限の状況を確認する。不正アクセスで危険が確認されたら、ネットワークから切り離してサービスを停止する。ウェブでの誤公開は、直ちに情報を削除するか、アクセス制限をかける
システム停止	システム管理者または情報セキュリティ責任者に連絡する。可能な限り稼働継続を試みるが、情報漏えいが疑われる場合や、被害が広がる可能性がある場合は、システムを停止する

ここまでの手順は、紙や文書の手順書として整えられます。ただ、実際に動くのは社員で、起きたときに思い出せなければ、初動が遅れます。手順や役割分担を自社の学習コースにして、繰り返し学べる形にしておきたい場合の一例が、株式会社FCEが提供するSmart Boardingです。商品ページでは、属人化を防いでいつでも何回でも学習できる環境を実現すること、自社オリジナルコースの作成や学習進捗管理ができること、内定者・新人教育から管理職育成まであらゆるシーンで活用できることが紹介されています。一方で、電話やメールの相談、教育プログラムの設計といった手厚いサポートは「充実サポートプラン」のみとされています。セキュリティ分野のコンテンツの有無や範囲は、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

自社マニュアル・動画学習の両軸を叶えるSmart Boardingで、工場教育の効率化と社員の主体性向上を実現！

Smart Boarding 導入事例(株式会社ミツハシ)の見出し 出典：導入事例ページ

次のセルフチェックで、自社の備えを確認してみてください。当てはまる数が少なければ、今のやり方で十分です。

インシデントを防ぐ備え｜IPAの6か条と、組織で進める4つのステップ

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、まず取り組む基本として「情報セキュリティ6か条」を示しています。2026年3月公開の第4.0版で、5か条に「バックアップを取ろう」が加わり、6か条になりました。

6か条	内容(IPAのガイドラインより)	主に防ぐインシデント(本記事での整理)
1. OSやソフトウェアは常に最新の状態にしよう	古いまま放置すると、問題点を悪用したウイルスに感染する危険がある	ウイルス感染、脆弱性を悪用した攻撃
2. ウイルス対策ソフトを導入しよう	ID・パスワードを盗む、遠隔操作する、ファイルを暗号化するウイルスが増えている	ウイルス・ランサムウェア感染
3. パスワードを強化しよう	「長く」「複雑に」「使い回さない」ようにする	不正ログイン、情報漏えい
4. 共有設定を見直そう	ウェブサービスや複合機の設定間違いで、無関係な人に情報を見られるトラブルが増えている	設定不備による情報漏えい
5. バックアップを取ろう	故障、誤操作、ウイルス感染でデータが消えたり、暗号化されたりすることがある	ランサムウェア、システム停止
6. 脅威や攻撃の手口を知ろう	取引先を装うウイルス付きメールや、偽サイトの手口が増えている	標的型攻撃、フィッシング、ビジネスメール詐欺

6か条のうち、1から5は主に設定や機器の対策です。6番目の「脅威や攻撃の手口を知ろう」は、社員が知識として身につけていなければ、実行できません。また、IPAのガイドラインは、6か条の実施を宣言する制度として「SECURITY ACTION」の一つ星を示しています。

組織で進める4つのステップ

同じガイドラインは、取り組みの段階を4つのステップで示しています。

• STEP1: 6か条を活用し、必要最低限の対策から始める
• STEP2: 「5分でできる！情報セキュリティ自社診断」で自社の弱みを把握し、組織としての情報セキュリティ基本方針を作成する
• STEP3: 必要に応じて外部専門家を交え、体制を整備し、基本的な組織的対策や技術的な防御対策を実施する
• STEP4: 外部専門家を交えたリスク分析と、技術的な対策の強化で、包括的な対策を実施する

STEP3以降の技術的な点検では、システムの弱点を外部の診断サービスで確かめる方法もあります。当サイトのセキュリティ診断サービスとは？導入のメリットや比較のポイントも解説や、おすすめのセキュリティ診断サービス8選｜選ぶ際のポイントを解説が参考になります。

研修を受けさせたあとに、理解度を確かめる

技術の対策を整えても、社員の行動が変わらなければ、誤送信や紛失は減りません。研修を実施したら、全員が理解したかを確かめる段階があります。理解度をテストで確かめ、学習の状況を管理したい場合の一例が、株式会社イー・コミュニケーションズが提供するSAKU-SAKU Testingです。運営会社のニュースリリースでは、CBT(オンラインテスト)を教育に活用するプラットフォームと紹介されています(イー・コミュニケーションズ)。商品ページでは、不慣れな方でも作成・登録しやすいコンテンツ機能、あらゆる企業ですぐに役立つ実践的な内容のコンテンツ、カテゴリーやグループを紐づけられるユーザー管理機能が紹介されています。注意したい点として、事務局運営やカスタマーデスクを利用する場合はオプション扱いとされています。セキュリティに関する問題が用意されているかは、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社員教育を見直すとき｜3つのサービスの整理

インシデントへの備えのうち、社員の教育は、知識をそろえる、手順を学べる形にする、理解度を確かめる、の3つに分けて考えられます。ここまでに紹介した3つのサービスを、商品ページと公式サイトで確認した内容(2026年10月21日時点)で並べます。順位や優劣をつけるものではありません。

観点	OneCompliance(ワンコンプライアンス)	Smart Boarding	SAKU-SAKU Testing
運営会社(商品ページの記載)	株式会社Oyster	株式会社FCE	株式会社イー・コミュニケーションズ
向いている場面	情報セキュリティ・個人情報保護法などの研修を、全社でそろえたい	自社の手順や役割分担を、自社のコースにして繰り返し学ばせたい	研修のあとに、テストで理解度を確かめたい
商品ページ・公式サイトで確認した特徴	ダッシュボードや自動リマインダーで管理工数を抑える。情報セキュリティ、個人情報保護法のコースがある	自社オリジナルコースの作成や学習進捗管理ができる。いつでも何回でも学習できる	コンテンツを作成・登録しやすい。ユーザー管理でカテゴリーやグループを紐づけられる
注意したい点	費用は受講人数に応じた課金体系で、問い合わせで確認	手厚いサポートは「充実サポートプラン」のみ	事務局運営やカスタマーデスクはオプション

どれも、インシデントの検知や防御を行うシステムではなく、社員の知識と行動を支えるサービスです。報告先や手順を決めたうえで、社員に伝える段階で、何を優先するかによって、見る資料が変わります。資料では、研修の内容や管理の機能、始めるまでの準備を確認できます。3つの資料は、まとめて請求できます。

よくある質問(FAQ)

Q1. セキュリティインシデントとは何ですか？

A. セキュリティインシデントとは、情報の漏えいや改ざん、破壊・消失、情報システムの機能停止など、セキュリティ上の事故や出来事のことです。IPAの手引きは、これらにつながる可能性のある事象も含めて、インシデントに当たるとしています。

Q2. セキュリティインシデントの具体例は？

A. 不正アクセスによる情報の流出、ランサムウェアによるデータの暗号化、従業員による顧客データの持ち出し、メールの誤送信やウェブでの誤公開、端末の紛失、機器の故障やバグによるシステム停止などがあります。

Q3. セキュリティインシデント対応とは何ですか？

A. インシデントによる被害と影響範囲を最小限に抑え、迅速に復旧し、再発を防ぐことで、事業の継続を確保する取り組みです。IPAの手引きは、検知・初動対応、報告・公表、復旧・再発防止の3ステップで示しています。

Q4. セキュリティインシデントの分類は？

A. IPAの手引きでは、情報漏えい、ウイルス感染、ランサムウェア感染、システム停止などに分けて対応が整理されています。原因で分ける場合は、外部からの攻撃、内部の不正、人の誤操作や紛失、設定の不備、機器の故障などに分けられます。

Q5. 個人情報が漏えいしたら、いつまでに報告しますか？

A. 報告対象の事態を知ったときは、速やかに個人情報保護委員会へ報告します。ガイドライン(通則編)は、日数の目安を概ね3-5日以内の速報、30日以内の確報(不正の目的によるおそれがある場合は60日以内)としています。個別の判断は専門家や所管の省庁に確認してください。

Q6. インシデントが起きたら、最初に何をしますか？

A. 疑わしい兆候を見つけたら、情報セキュリティ責任者へ報告します。被害が広がるおそれがあるときは、ネットワークの遮断や機器の隔離を行いますが、電源を切るなどして、システム上の記録を消さないよう注意してください。

まとめ｜セキュリティインシデントの対応と備えで押さえたい6つのこと

セキュリティインシデントは、情報の漏えいや改ざん、システムの停止など、セキュリティ上の事故や出来事のことで、外部の攻撃だけでなく、社員の誤操作や紛失からも起きます。起きたときに被害を小さくするには、報告と初動の流れを決め、社員全員が動ける状態にしておく必要があります。

1. インシデントは、情報の漏えいや改ざん、システム停止など、被害につながる可能性のある事象まで含むと押さえる
2. 種類(情報漏えい、ウイルス・ランサムウェア感染、システム停止)と原因(外部攻撃、内部不正、誤操作、設定不備、故障)を分けて考える
3. 対応は、検知・初動、報告・公表、復旧・再発防止の3ステップで進め、初動では記録を消さない
4. 個人情報が漏えいしたときは、個人情報保護委員会への報告(速報は概ね3-5日以内、確報は30日以内)の要否を、早めに確認する
5. IPAの6か条から始め、報告先と手順書を決めて、年に1回は見直す
6. 報告先や手順が社員に伝わっていない、理解度を確かめていない場合は、社員教育のサービスの資料を請求して比べる

まずは、自社の報告先と初動の手順が、社員に伝わっているかを確かめるところから始められます。そのうえで、教育の仕組みが足りないと分かったときに、サービスを検討すれば十分です。

参考文献

• IPA「中小企業のためのセキュリティインシデント対応の手引き」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 https://www.ipa.go.jp/security/guide/sme/about.html
• IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「サイバーセキュリティ 相談・届出窓口一覧」 https://www.ipa.go.jp/security/support/soudan.html
• IPA「コンピュータウイルス・不正アクセスに関する届出について」 https://www.ipa.go.jp/security/todokede/crack-virus/about.html
• IPA「SECURITY ACTION」 https://www.ipa.go.jp/security/security-action/
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
• 警察庁「令和7年の犯罪情勢」 https://www.npa.go.jp/publications/statistics/crime/situation/r7_hanzaijyousei__.pdf
• 警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
• 警察庁「サイバー事案に関する相談窓口」 https://www.npa.go.jp/bureau/cyber/soudan.html
• JPCERT/CC「インシデント対応依頼」 https://www.jpcert.or.jp/form/
• JNSA「サイバーインシデント緊急対応企業一覧」 https://www.jnsa.org/emergency_response/
• アサヒグループホールディングス「サイバー攻撃によるシステム障害発生について」 https://www.asahigroup-holdings.com/newsroom/detail/20250929-0102.html
• アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」 https://www.asahigroup-holdings.com/newsroom/detail/20260218-0101.html
• KDDI「セキュリティインシデントとは？原因やリスク、対策を徹底解説」 https://biz.kddi.com/content/column/smartwork/what-is-security-incident/
• OneCompliance コンテンツ一覧 https://onecompliance.jp/courses
• Smart Boarding 導入事例(株式会社ミツハシ) https://smartboarding.net/example/11813/
• イー・コミュニケーションズ「SAKU-SAKU Testing」リニューアルのお知らせ https://www.e-coms.co.jp/news/news220201
• ビジネスコンシェルジュ「OneCompliance(ワンコンプライアンス)」商品ページ https://www.onamae.com/business/product/103970/
• ビジネスコンシェルジュ「Smart Boarding」商品ページ https://www.onamae.com/business/product/26754/
• ビジネスコンシェルジュ「SAKU-SAKU Testing」商品ページ https://www.onamae.com/business/product/50897/