情報漏えい・サイバー攻撃の報告先と期限まとめ｜個人情報保護委員会・警察・JPCERT/CC
はじめに：「全部わかってから報告」では間に合わない
「まだ全容がつかめていないし、報告はもう少し調べてから…」。
インシデント対応の現場では、こうして報告が後回しになりがちです。
でも、個人情報保護委員会への報告には法律で決まった期限がありますし、警察や取引先への連絡も、遅れるほど二次被害が広がります。
報告は「確定してから」ではなく、相手ごとに相談・速報・確報と段階を分けて進めるのが基本です。
このシリーズでは、次の3つをまとめています。
- インシデント発生から終息までの流れと、各段階で迷いやすい判断ポイント → インシデントレスポンスとは？初動対応の流れと判断ポイントをわかりやすく解説
- どこに・いつ報告すればいいのか、報告先と期限（この記事）
- 経営層の判断基準やベンダー契約など、発生前に決めておくこと → インシデント発生前に決めておくべきこと
まずは全体像：報告・連携先は7つ
| 報告・連携先 | 何のために | いつ |
|---|---|---|
| 経営層・社内責任者 | 遮断、復旧、公表の判断 | 重大インシデントの疑いが出た時点ですぐ |
| 個人情報保護委員会 | 個人データ漏えい等の法定報告 | 該当しそうなら速報は3〜5日以内、確報は30日以内（不正目的のおそれがあれば60日以内） |
| 所轄官庁・監督官庁 | 業法・業界ルール上の報告 | 対象になりそうなら早めに相談・速報 |
| 警察 | 犯罪被害の相談・通報 | 不正アクセス、ランサムウェア、脅迫、詐欺、情報窃取の疑いが出た時点で |
| JPCERT/CC・IPA等 | 技術的な調整、攻撃情報の共有、初動対応の相談・届出 | 攻撃が続いている、他の組織にも影響が出そう、フィッシングがあるときは早めに |
| 顧客・取引先・委託元 | 契約上の報告、二次被害の防止 | 影響がありそうなら、確定前でも初報を検討 |
| サイバー保険会社 | 保険適用、専門家の手配、費用補償 | 調査や復旧の費用が発生しそうな時点で |
サイバー保険は、保険会社への連絡や事前承認が補償の条件になっていることがあります。
外部の調査会社を呼ぶ前に、契約内容をさっと確認しておきましょう。
現場からのひとこと
外部に報告しても、復旧作業を代わりにやってくれるわけではありません。
それでも「報告するだけ損」とは思わずに、連絡はちゃんと入れておきましょう。
個人情報保護委員会：速報は3〜5日、確報は30日
個人データの漏えい等（またはそのおそれ）があったら、まず確認したいのが個人情報保護委員会への報告が必要かどうかです。期限はこのように決まっています。
- 速報：発覚日から3〜5日以内
- 確報：発覚日から30日以内
- 不正な目的で行われたおそれがある場合の確報：発覚日から60日以内
あわせて、次の3点も押さえておきましょう（2026年10月時点の情報です）。
- 報告先が所管省庁になる業種もある
業種によっては、個人情報保護委員会ではなく所管省庁に報告します（次の章で解説）。 - サイバー攻撃なら共通様式も使える
サイバー攻撃が原因の漏えい等では、個人情報保護委員会への報告に、関係省庁で共通の報告様式を使うこともできます。
ただし、報告先ごとの期限や提出方法はそれぞれ異なるので、各窓口の案内を確認しましょう。 - ルールが変わる可能性がある
2026年7月に改正個人情報保護法が公布され、細かなルールは現在検討中です。
最新情報は個人情報保護委員会のサイトで確認してください。
個人情報保護委員会への報告が必要なケース
- 病歴などの要配慮個人情報が含まれる漏えい等
- クレジットカード番号など、悪用されるとお金の被害が出るおそれがある漏えい等
- サイバー攻撃や不正アクセスなど、不正な目的で行われたおそれがある漏えい等
- 1,000人を超える本人に関わる漏えい等
発覚から報告までの動き方
| タイミング | やること |
|---|---|
| 発見直後 | 個人情報が関係していそうかを確認する |
| 数時間〜24時間以内 | 報告対象に当たりそうか、法務・個人情報の担当部門と相談する |
| 3〜5日以内 | わかっている範囲で速報する |
| 30日以内 | 原因、影響範囲、本人への通知、再発防止策をまとめて確報する |
| 不正目的のおそれがある場合 | 確報の期限は60日以内。とはいえ、できる範囲で早めに |
現場からのひとこと
対象人数や漏えい範囲が確定していなくても、該当しそうなら速報を検討しましょう。
速報は「わかっている範囲」で大丈夫。足りない部分は確報で補えます。
所轄官庁・監督官庁：業種によってルールが違う
金融、医療、電気通信、重要インフラ、上場企業、自治体関連の業務などでは、個人情報保護委員会とは別に、所管省庁や業界団体、委託元への報告が求められることがあります。
さらに、業種によっては漏えい等の報告そのものを、個人情報保護委員会ではなく所管省庁に提出することになります。
自社がどれに当てはまるかは、平時のうちに一覧にしておくと有事に迷いません。
経済産業省などが公表している「サイバー攻撃被害に係る情報の共有・公表ガイダンス」でも、専門組織との連携や警察への相談、所管官庁への報告が、正確な情報共有や注意喚起、犯罪の抑止につながると整理されています。
| タイミング | やること |
|---|---|
| 発見当日 | 業法・契約・ガイドライン上の報告先を洗い出す |
| 重大な影響が疑われる時点 | 所轄官庁・監督官庁への相談や速報を検討する |
| 影響範囲が見えてきた時点 | 正式な報告として、原因と対策を説明する |
| 終息後 | 再発防止策や改善計画を報告する |
業務停止、顧客への影響、社会インフラや金融・医療サービスへの影響、通信障害、重要データの漏えいがあるなら、早めの相談がおすすめです。
警察：犯罪被害っぽいと思ったら早めに相談
「警察に言っても、犯人なんて捕まらないでしょ」と思うかもしれません。
でも警察との連携は、犯人探しのためだけではありません。
被害を記録に残す、被害の拡大を防ぐ、他社の被害とのつながりを確認するといった意味もあります。
また、警察は被害企業の業務への影響ができるだけ小さくなるよう配慮して捜査を行うとしています。
警察庁はサイバー事案について全国統一のオンライン受付窓口を設けています。
被害の具体的な事実がある場合の「通報」、アドバイスを求める「相談」、情報を伝える「情報提供」ができ、内容は選んだ都道府県警察本部や警察署に届きます。
窓口の詳しい案内は、警察庁の「サイバー事案に関する相談窓口」のページで確認できます。
なお、オンラインでの通報と被害届は別の手続きです。
被害届を出す場合や、被害について直接相談したい場合は、最寄りの警察署か、都道府県警察本部のサイバー犯罪相談窓口に連絡しましょう。
警察に早めに相談したい6つのケース
| ケース | 例 |
|---|---|
| ランサムウェア | データの暗号化、脅迫文、身代金の要求 |
| 不正アクセス | 管理者アカウントやVPNの侵害、クラウドへの不正ログイン |
| 情報窃取 | 顧客情報、営業秘密、認証情報の持ち出しの疑い |
| 詐欺・なりすまし | ビジネスメール詐欺、偽の送金指示や請求 |
| フィッシング | 自社を装った偽サイトで、お客さまが金銭をだまし取られた |
| 脅迫・恐喝 | 攻撃者からの接触、情報公開の予告、金銭の要求 |
被害が出る前の段階で、偽サイトや偽メールを見つけた場合の情報提供は、インターネット・ホットラインセンター（IHC）やJPCERT/CCへ連絡しましょう。
相談の前に、ランサムノート、攻撃者とのやり取り、不審メール、送金先、暗号資産アドレス、ログ、IPアドレス、ドメイン、ファイルハッシュなどをまとめておくとスムーズです。
もちろん、証跡は消さずに保全したうえで。
現場からのひとこと
攻撃者とすでに接触しているなら、交渉や身代金の支払いを決める前に、必ず専門家・警察・法務と連携してください。ここで単独行動は禁物です。
JPCERT/CC：他の組織に広がりそうなときに
警察が犯罪被害を担当するのに対して、JPCERT/CCは技術的な調整と情報共有を担う組織です。
インシデントの報告・調整依頼、相談・情報提供、フィッシングの報告、制御システムのインシデント報告などの窓口があり、Webフォームからも連絡できます。
調整や情報共有だけでなく、インシデントの初期段階での調査や対応方針の検討、被害箇所の特定方法などを相談できる「初動対応支援」もあります。
| こんなとき | 例 |
|---|---|
| 他の組織にも被害が及びそう | 取引先経由の攻撃、サプライチェーン攻撃、共有基盤の侵害 |
| フィッシング・なりすまし | 自社ブランドを使った偽サイトや偽メール |
| 攻撃インフラの調整が必要 | 悪性ドメイン、C2サーバ、マルウェアの配布サイト |
| 制御システム関連 | 工場、設備、OT（制御システム）への影響 |
| 攻撃情報を共有したい | IOC（侵害の痕跡）、攻撃手口、似た被害の可能性 |
攻撃が高度になるほど、1社だけで全体像をつかむのは難しくなります。
「うちだけの問題じゃないかも」と思ったら早めに連携しましょう。
また、IPA（情報処理推進機構）も、2025年4月から企業・組織向けのセキュリティインシデント相談窓口を設けています。
初動対応の相談のほか、ウイルスや不正アクセスの被害の届出も受け付けています。
時系列で見る、報告のタイムライン
| 時間軸 | 主な報告・連携先 | ここでの判断 |
|---|---|---|
| 発見直後〜数時間 | 社内責任者、情シス、CSIRT、SOC、委託先 | 本当にインシデントっぽいか、すぐ遮断すべきか |
| 当日中 | 経営層、法務、広報、個人情報の管理責任者 | 個人情報、顧客への影響、業務停止、犯罪被害の可能性 |
| 当日〜翌営業日 | 警察、JPCERT/CC・IPA、所轄官庁、保険会社 | 不正アクセスやランサムウェアか、外部への影響、業法上の報告義務 |
| 3〜5日以内 | 個人情報保護委員会（速報） | 報告対象に当たる、または当たりそうか |
| 1週間程度 | 顧客・取引先・委託元 | 二次被害の防止、契約上の報告義務 |
| 30日以内 | 個人情報保護委員会（確報） | 原因、影響範囲、本人への通知、再発防止策 |
| 60日以内 | 個人情報保護委員会（不正目的のおそれがある場合の確報） | サイバー攻撃などによる漏えい等か |
| 終息後 | 所轄官庁、顧客、取引先、社内 | 恒久対策、改善計画 |
報告先に迷ったら、この5つをチェック
- 犯罪っぽい？ → ランサムウェア、不正アクセス、脅迫、情報窃取、詐欺なら警察へ
- 個人データが関係してる？ → 個人情報保護委員会への報告が必要か、最優先で確認
- 業界のルールがある？ → 金融、医療、通信、重要インフラ、自治体業務、委託業務なら所轄官庁・委託元も
- 他の組織に広がりそう？ → マルウェア配布やサプライチェーン攻撃ならJPCERT/CCへ。フィッシングサイトの情報提供は、インターネット・ホットラインセンター（IHC）やJPCERT/CCへ
- お客さまに二次被害が出そう？ → パスワード変更のお願いや偽メールへの注意喚起なら、確定前でも初報を
まとめ：報告は「確定してから」ではなく「おそれの段階で」
- 報告は相談・速報・確報と段階を分けて進める
- 個人情報保護委員会は、速報3〜5日以内、確報30日以内（不正目的のおそれがあれば60日以内）
- 犯罪被害の疑いがあれば、警察には早めに相談
- 業種によっては所轄官庁への報告も必要
- 他の組織に広がりそうなら、JPCERT/CCと連携
報告先と期限は、有事に調べ始めると間に合いません。
自社が対象になる法令やガイドライン、各窓口の連絡先は、平時のうちに一覧にしておきましょう。
事前に決めておきたいことは、こちらにまとめています。
よくある質問（FAQ）
Q. 速報と確報って何が違うの？
速報は、発覚から3〜5日以内に「今わかっていること」を伝えるもの。確報は、原則30日以内に原因、影響範囲、本人への通知状況、再発防止策をまとめて報告するものです。
Q. 警察に相談したら、調査や復旧もしてもらえる？
警察は犯罪被害の捜査や記録を担う機関なので、自社システムの調査や復旧を代わりにやってくれるわけではありません。技術的な調査や復旧は、フォレンジックなどの専門会社に依頼しましょう。
「どこに報告すればいい？」と迷ったら
レオンテクノロジーでは、フォレンジック調査を含むインシデントレスポンスの伴走支援を提供しています。被害範囲の調査から、報告に必要な情報の整理、再発防止策の検討までお手伝いします。
「報告先がわからない」「調査が追いつかない」というときは、まずはご相談ください。
お問い合わせはこちら
