サイバー攻撃を受けた企業の対外公表は、広報対応ではなく、インシデントレスポンスそのものです。公表の巧拙は、取引継続、当局対応、訴訟リスク、企業の信頼回復に影響するので、専門家の関与が必須です。

サイバーインシデントには、通常の企業不祥事と決定的に異なる、次の三つの特徴があります。

• 技術的要素が大きいこと
• フォレンジック調査の進捗に応じて事実関係が刻々と変わること
• 公表内容そのものが攻撃者に利用され得ること

サイバー攻撃を受け、調査段階においては、事案の全体像の把握、攻撃範囲の精確な把握、攻撃の封じ込め、システム・業務復旧が最優先であり、「ためにする公表」によって、これらの各アクションが阻害されてはなりません。

同様に、公表にあたっては、攻撃者や、同種のシステム・セキュリティ構成を採用している他社への攻撃のヒントを与えてはなりません。

本稿では、これらの特徴を前提に、対外公表の実務上の留意点を整理します。

１．通知・公表の法的根拠と基本原則

1-1. 通知・公表の法的根拠は三つ

サイバー攻撃の通知・公表には、主に次の三つの根拠があります。何のための公表かを意識することで、記載すべき内容とタイミングが定まります。

• 適時開示
  • 上場会社の場合、取引所規則に基づき、投資判断に影響を与える重要事実として開示が求められ得ます。特に、サイバー攻撃が重要事実に該当する場合には、公表前の段階でインサイダー取引規制（情報伝達規制）に該当するリスクにも配慮が必要です。一部の関係者にのみ情報が先行して伝わる、情報の非対称性に注意すべきです。
• 個人情報保護法
  • 漏えい等が報告対象事態に該当する場合、個人情報保護委員会への報告（速報・確報）と本人への通知が義務付けられます。本人のメールアドレスや住所を保有していない、あるいは保有する連絡先が古く使えないなど、本人への通知が困難な場合には、代替措置としてコーポレートサイト上での公表（プレスリリース）が行われます。速報は、事態を知った時点から「速やかに」行うこととされ、個人情報保護委員会のガイドラインでは概ね3〜5日以内が目安とされています。GDPRでは、侵害を認識してから72時間以内の監督機関への通知が求められます。もっとも、これらの期間を金科玉条としてこだわる必要はありません。もちろん速やかな調査は重要ですが、期限の時点で判明した範囲で、明らかになった事項をまとめるという意識で問題ありません。無理に5日以内に初動調査を完了させるために焦る必要はない、という意味です。
• 取引先との契約
  • 委託契約やSLA、セキュリティ条項に基づく通知義務です。影響を受ける取引先に対しては、契約上の義務として報告・説明を行う必要があります。

1-2. 開示情報の内容の統一と平等性

公表で最も避けるべきは、ステークホルダー間の情報格差です。ある相手には伝え、別の相手には伝えないという状態は、後に「隠蔽」と評価されるリスクを生みます。

• すべての公表物（リリース、IR資料、Q&A、個別説明）で事実関係を統一する。
• 同一カテゴリーのステークホルダーの中で、特定の相手にのみ開示する事実は、原則として作らない。
• 訴求点はステークホルダーごとに変えてよいが、土台となる事実は一つである。

1-3. 攻撃者へのヒントを与えない

公表文は攻撃者も認識する前提で作成します。侵入経路の詳細、脆弱性の具体的な所在、システム構成、未対応の箇所など、追加攻撃や模倣攻撃のヒントになり得る技術的仕様は、秘匿するか、少なくとも抽象化して記載する必要があります。可能な限り詳らかに開示することが要請される一般的な不祥事のリリースとは、この点が大きく異なります。

２．記者会見の要否とタイミング

2-1. フォレンジック調査途中の記者会見は原則として避ける

サイバー攻撃の初期段階での記者会見は、原則として避けるべきです。理由は次のとおりです。

• 技術的要素が大きい：侵入経路、手口、侵害の影響範囲は、口頭の質疑応答で正確に伝えることが困難です。また、質問する側にとっても、技術的な裏付けのない質問には意味がなく、空中戦になってしまっては本末転倒です。
• 専門性の分断：会見での質疑応答には、法的・技術的リテラシーの双方が求められます。しかし、情報セキュリティの専門家が必ずしも個人情報保護法の専門家であるとは限らず、一人の回答者が両面を正確に答えることは困難です。
• 開示可否の即時判断が困難：質疑応答では、上記で述べた特殊性からどの情報が開示可能かを現場で瞬時に判断しなければなりませんが、攻撃者へのヒントや法的リスクを踏まえた判断をその場で行うことは困難です。
• 事実関係が刻々と変わる：フォレンジック調査の進行中は、その時点での回答に大きな意味がありません。会見での発言が後の調査結果と食い違えば、その後の訂正自体が新たな信頼毀損を招きます。

また、会社内部の理由としては、次の二点があります。

• 対応リソースの確保：記者会見準備のための業務負荷によって、事案の全体像の把握、攻撃範囲の精確な把握、攻撃の封じ込め、システム・業務復旧の各アクションへのリソースが削がれてはいけません。これらに会社の全リソースを注ぐべきです。
• 取締役の任務懈怠の判断資料に直結する：公表される情報は、取締役が善管注意義務を果たしていたかを判断する重要な資料となります。確定前の情報を会見で口頭説明することには、慎重であるべきです。

2-2. 会見を行うならフォレンジック調査の最終報告後

仮に記者会見を行うのであれば、そのタイミングはフォレンジック調査の最終報告受領後とすべきです。原因、影響範囲、再発防止策を確定した事実に基づいて説明できる段階になって初めて、会見が実質的な意味を持ちます。

2-3. 当面のマイルストーンを共有する

当面のマイルストーンは、フォレンジック調査の最終報告受領時です。それまでは、把握できる事案の全体像が可変的であることを、社内外に理解してもらう必要があります。

• 調査の進捗に応じて事案の解明は少しずつ進み、すぐには事案の全体像は判明しないこと
• 新事実が調査の進捗に応じて刻々と、段階的に判明すること
• 現時点の公表内容は、その時点で確認できた事実に限られること

これは経営陣の経営判断に対しても同じです。不確定な事実関係を基礎にして適切な経営判断はできません。誤った経営判断をしないためにも、確認済みの事実と未確認の事項を明確に区別して扱う姿勢が求められます。そのためにも、外部弁護士とフォレンジックエンジニアを構成員とするアドバイザリーコミッティを組成し、社長、取締役、CISOと日次で意思決定する体制を敷く必要があります。

３．ステークホルダー別の訴求ポイント

サイバーインシデントのステークホルダーは多岐にわたり、それぞれが知りたいことは異なります。土台となる事実は一つに保ちつつ、相手ごとに訴求点を設計します。

ステークホルダー	主な関心事	訴求すべきポイント
消費者	自分の情報は大丈夫か、サービスは使えるか	サービスの継続性、信頼性、本人が取るべき対応（パスワード変更、不審メールへの注意等）、補償の有無
取引先	自社の情報・業務への影響、取引を続けてよいか	影響範囲（取引先データへの影響有無）、封じ込めの状況、技術的な再発防止策、契約上の報告義務の履行
個人情報保護委員会・監督官庁	法令上の義務の履行、被害拡大の防止	法定の報告（速報・確報）の適時・正確な実施、本人通知の状況、調査体制と進捗
株主	業績・企業価値への影響	業績に与える影響、事業継続の見通し、ガバナンス体制、IRとの整合
警察（サイバー犯罪対策課）	犯罪捜査、被疑者の特定	被害届・相談の状況、ログ等の証拠保全、捜査への協力姿勢
公助組織（IPA、業界ISAC等）	同種被害の防止、脅威情報の共有	攻撃手法・脅威情報の共有
公衆（マスコミ）	何が起きたのか、会社の対応は適切か	事実の正確性、時系列、誠実な対応姿勢、他責にしない説明
セキュリティ業界	原因の技術的妥当性、業界全体への示唆	技術的な裏付けのある原因説明、合理的な再発防止策

3-1. セキュリティ業界は「公助」と「技術的納得感」を求める

セキュリティ業界は、業界全体でセキュリティレベルを担保するという公助の意識が高いコミュニティです。他社の被害事例は、自社や顧客の防御に活かすべき知見として注視されています。

そのため、技術的な裏付けがなく納得感のない説明は受け入れられません。「高度な攻撃だった」「想定外だった」といった抽象的な説明だけでは、かえって対応の稚拙さを疑われます。攻撃者へのヒントは抽象化しつつも、セキュリティ専門家が読んで合理的と判断できる水準の説明を目指すべきです。

3-2. 公助組織・警察への情報提供は公表と切り分ける

IPAや業界ISAC、警察への情報提供は、対外公表とは目的が異なります。攻撃手法や痕跡情報など、公表文では抽象化すべき技術情報も、これらの機関には適切なルートで共有することで、同種被害の防止に貢献できます。

４．公表文の作成・承認プロセス

4-1. IRとの平仄を合わせる

対外公表は、IR（適時開示）と内容の平仄を合わせる必要があります。リリースとIR資料で記載が食い違えば、情報の不統一として市場や当局の不信を招きます。

4-2. 技術的・法的なチェックを経る

公表文の内容は、CISO、およびCISOから委任を受けた弁護士とフォレンジックエンジニアのチェックを経るべきです。弁護士は法的義務との整合と表現上のリスクを、フォレンジックエンジニアは調査で確認された事実との整合と技術的な正確性を確認します。

1. 広報・IR部門が原案を作成する
2. CISOおよび委任を受けた弁護士・フォレンジックエンジニアがチェックする
3. 社長が最終判断する
4. 社長判断で修正が入った場合は、修正版について再度、弁護士とフォレンジックエンジニアのチェックを受ける

これらの観点から、対外的に発信する次の文書は、すべて弁護士のチェックを経ます。

• 個人情報保護委員会・監督官庁への報告文
• 公表文（プレスリリース、適時開示）
• 顧客・取引先への説明文
• 顧客・消費者向けコールセンターのQ&A
• マスコミ向けQ&A

4-3. 最終段階の修正こそ再チェックを

最終判断は社長が行います。ただし、経営判断の段階で表現が修正されることは珍しくありません。会社にとってよかれと思った内容の修正であっても、事実と異なる表現、誤解を与える表現、過度な安心感を与え、後に覆る可能性のある断定表現などが紛れ込むことが多々あります。社長の修正が入った場合は、必ず再チェックを経るというルールを事前に合意しておくことが重要です。

５．意思決定体制

5-1. 技術的裏付けのあるCISOがいなければアドバイザリーコミッティを組成する

サイバーセキュリティリスクは最重要の経営課題です。しかし、その判断を社長・取締役だけに委ねることは、荷が重すぎます。侵入経路の評価、影響範囲の見積もり、封じ込めの十分性といった論点は、技術的な理解なしには適切に判断できません。これらは、業務・サービスの停止と再開の判断にも不可欠です。

お飾りのCISOではなく、技術的裏付けのあるCISOが取締役メンバーに入っていない限り、外部弁護士とフォレンジックエンジニアを構成員とするアドバイザリーコミッティを組成すべきです。そのうえで、社長、取締役、CISOとアドバイザリーコミッティが、日次で意思決定を行う体制を敷きます。

• 日次会議の構成員：社長、取締役（情報システム担当のみでも可）、CISO、外部弁護士、フォレンジックエンジニア
• 会議体：構成員による日次の意思決定
• 役割分担：アドバイザリーコミッティが技術的・法的な事実評価と選択肢を示し、最終判断は社長・取締役会が行う

これにより、経営陣は不確定な事実関係や誤った技術的理解に基づく経営判断を避けることができます。

６．公表文の記載内容

6-1. 委託先のせいにする他責のリリースにしない

攻撃者は犯罪者であり、企業は被害者です。しかし、公表文で被害者としての立場を強調しすぎると、他責のリリースと受け取られます。委託先やベンダーに責任を転嫁するような記載も同様であり、かえってインシデントの真因を理解していないという心証を与えかねません。ステークホルダーが知りたいのは、会社として何が起き、何をしているかという事実関係です。

6-2. 情報の粒度を上げる

攻撃者へのヒントにならない範囲を厳格に守ったうえで、確認できた事実の粒度を上げて記載します。そのため、攻撃の手口については事案を抽象化して記載します。

• 確認された事実と、調査中の事項を明確に区別する
• 影響を受けたシステム・サービスの範囲
• 漏えい等のおそれのある情報の種類と件数（判明している範囲で）
• 実施済みの封じ込め措置（恒久的な再発防止策は後でよい）

6-3. 時系列表を入れる

公表文には時系列表を入れることを推奨します。いつ検知し、いつ何を判断し、いつ封じ込めたのかを示すことで、対応の適切さを客観的に説明できます。初動の遅れを疑われやすい事案ほど、時系列表が有効です。

6-4. こまめに、かつ適時に続報を出す

公表は一度で終わりではありません。社内の初動調査、フォレンジック調査の進捗に従って、こまめに、かつ適時に続報を出し続けます。調査で確認された情報を、公表しないまま持ち続けることのないようにします。後に「判明していたのに公表しなかった」と指摘されることは、サイバー攻撃を受けた事象以上に信頼を損ないます。

７．Q&Aの整備

7-1. マスコミ用Q&A

記者会見を行わない場合でも、マスコミからの個別の問い合わせには対応が必要です。窓口ごとに回答がぶれないよう、マスコミ用Q&Aを作成し、回答者を一元管理します。調査中の事項については「調査中であり、判明次第公表する」という回答を統一的に用います。

7-2. 消費者・顧客向けQ&A

消費者・顧客からの問い合わせに備え、コールセンターやWebサイト向けに消費者・顧客向けQ&Aも作成します。消費者の関心は、自分の情報が影響を受けたか、何をすべきか、サービスは使えるか、金銭補償を受けられるかに集中します。Q&Aでは、平易な言葉で、本人が取るべき具体的な行動を示します。

7-3. 二つのQ&Aの平仄を合わせる

マスコミ用と消費者・顧客向けのQ&Aは、表現や詳しさは異なっても、内容の平仄を合わせます。どちらか一方にのみ開示する情報は、基本的にありません。続報を出すたびに、両方のQ&Aを同時に更新する運用とします。

８．再発防止策の示し方

8-1. 真の名宛人は顧客のセキュリティ部門

サイバー攻撃の再発防止策は、技術的セキュリティ措置が中心となります。その実質的な名宛人は、取引先・顧客企業のセキュリティ部門です。

顧客のセキュリティ部門は、公表された再発防止策をもとにセキュリティ審査を行い、取引を継続するか否かを判断します。再発防止策の記載は、取引継続を左右する営業上の資料でもあるという認識が必要です。

8-2. 実装レベルのセキュリティ措置を用意する

「セキュリティ対策を強化します」「監視体制を見直します」といった抽象的な記載では、セキュリティ審査を通りません。実装レベルのセキュリティ措置を用意し、説明できるようにしておきます。

• 公表文では、攻撃者へのヒントにならない粒度で措置の方向性を示す
• 顧客のセキュリティ審査には、NDA等を前提に個別に実装レベルの説明を行う
• 再発防止策の一環としてのセキュリティ措置の導入スケジュール、完了状況を示す

なお、個別説明で詳しく伝えるのは「技術的な実装の詳細度」の違いであり、事実関係そのものを相手によって変えるものではありません。個別説明にあたっては、NDAの締結が必須です。

９．補償への言及

調査途中の公表では、補償については触れません。消費者、取引先、顧客の関心事に補償が含まれることは確かですが、この段階で先決なのは次の四点です。

• 原因の究明
• 被害の正確な把握
• 攻撃の封じ込め
• 再発防止

被害の範囲も原因も確定していない段階で補償に言及すれば、後に内容を変更せざるを得なくなるおそれがあります。補償を含む事後対応は、フォレンジック調査の最終報告受領後に判断します。問い合わせには、Q&Aで「調査結果を踏まえて判断する」という統一回答を用意しておきます。

１０．第三者委員会の要否

10-1. 一般論

企業不祥事における第三者委員会は、経営陣から独立した立場で事実調査と原因分析を行い、ステークホルダーの信頼を回復することを目的とします。

• 経営陣の関与や責任が問われ、社内調査では客観性を担保できない場合
• 社会的影響が大きく、調査結果の信頼性を外部に示す必要がある場合
• 監督官庁や取引所、株主、監査法人から独立した調査を求められる場合

10-2. サイバー攻撃の場合

サイバー攻撃の場合には、外部弁護士やフォレンジック調査会社による調査が入ります。調査の主体が社外の専門家であるため、事実調査について一定の独立性・客観性は担保されます。この点で、社内調査が中心となる一般的な不祥事とは前提が異なります。

したがって、サイバー攻撃では第三者委員会の設置が必須とまではいえません。他方、次のような事情がある場合には、フォレンジック調査とは別に第三者委員会の設置を検討する余地があります。

• 既知の脆弱性の放置など、内部統制システム構築義務の一環としてのセキュリティ体制構築について、経営陣の責任が問われる場合
• 内部不正の関与が疑われる場合
• 検知から公表までの対応の遅れなど、組織的な意思決定の適否が論点となる場合

フォレンジック調査は、フォレンジックエンジニアが主体となって「何が起きたか」を技術的に解明するものです。他方で、「なぜ組織として防げなかったか」というガバナンス上の評価まではカバーしません。この役割分担を踏まえて要否を判断すべきです。

おわりに

サイバー攻撃の対外公表で問われるのは、完璧な情報を出すことではなく、その時点で確認できた事実を、正確に、統一的に、適時に、こまめに出し続けることです。フォレンジック調査の最終報告というマイルストーンを見据え、事態が動くことを前提とした公表戦略を、インシデント発生前から準備しておくことが重要です。

平時から、意思決定、公表措置を含めた各アクションの承認フロー、弁護士・フォレンジック調査会社との連携体制を整備し、机上でのインシデント対応訓練で検証しておくことをお勧めします。

大井 哲也

TMIプライバシー＆セキュリティコンサルティング　代表
TMI総合法律事務所　パートナー弁護士

日本企業のサイバーインシデント対応およびデータ利活用・EUデジタル規制対応の双方に特化した国内でも数少ないIT・プライバシー法務の専門家。日本企業のサイバー危機対応およびデータ規制分野における第一人者の一人として上場企業、グローバル企業を含む多数の企業を支援している。

クラウド、インターネット・インフラ／コンテンツ、SNS、アプリ・システム開発、アドテクノロジー、ビッグデータアナリティクス、IoT、AI、サイバーセキュリティ分野における法務を専門とする。

主な専門領域：

• 企業へのサイバー攻撃・情報漏えいインシデント対応
• 個人情報保護法に適合したDMP／CDP導入支援
• GDPR、EUデータ法、EU AI法、サイバーリジリエンス法対応
• 国内外データ保護規制に基づくセキュリティアセスメント

セキュリティISMS認証機関公平性委員会委員長、社団法人クラウド利用促進機構（CUPA）法律アドバイザー、経済産業省情報セキュリティタスクフォース委員を歴任。

主な実績：

【サイバー攻撃・情報漏えいインシデント対応（有事対応）】

• 初動調査・ディレクション: インシデント発生時の初動調査支援や、フォレンジック調査のスコープ決定、業者選定のディレクション
• トリアージと被害拡大防止: 被害状況の初動把握（トリアージ）を行い、システム稼働停止の判断や二次被害防止のアドバイス
• 第三者委員会の組成・運営: 外部の情報漏えい事故調査委員会や再発防止委員会の組成、および委員長への就任
• 当局および対外対応: 個人情報保護委員会への速報・確報、警察への被害届出、プレスリリース作成、記者会見の支援まで総合的サポート
• 法的手続・被害回復: インシデントに伴う損害賠償請求、ベンダへの責任追及、刑事告訴などの法的措置

【データ利活用・プライバシー対応支援】

• 高度データの利活用支援: 人事・顧客データに加え、Cookie、バイタルデータ、生体情報データ、IoT、AI等の利活用における適法性評価
• 匿名加工情報の評価: ビッグデータ利活用における「匿名加工手続き」の個人情報保護法適合性評価
• DMP/CDP・アドテクノロジー: アドテクノロジーやビッグデータアナリティクス分野における実務支援

【プライバシーガバナンス構築の支援】

• 体制構築・規程整備: セキュリティ管理委員会の組成、各種ポリシー、管理規程、インシデント対応マニュアル等の策定・改定支援
• リスクアセスメント: セキュリティアセスメントやプライバシーインパクトアセスメント（PIA）を通じた分析
• 教育・研修: 経営層向けのレクチャーから事業部向けのセキュリティ研修
• リスク転嫁支援: 経済的インパクトを抑えるためのサイバーセキュリティ保険の導入支援や、保険料割引のためのセキュリティ診断

【IT・先端技術の法的支援】

• 多産業分野のアドバイス: クラウド、インターネット・インフラ、SNS、アプリ・システム開発、スマートシティ等の各分野で法的助言
• 適合性評価: クラウド導入に伴う国内外の個人情報保護法、およびガイドライン等の適合性評価

【国内外の個人情報保護規制へのアドバイス】

• 国内法: 個人情報保護法、不正競争防止法、電気通信事業法等に加え、資金決済法、特定商取引法等
• 海外法・規制: EUのGDPR、米国のCCPA、およびアジア・アフリカ・南米・中東各地域の個人情報保護法への対応、EUデータ法、EU AI法、サイバーリジリエンス法などEUデジタル規制対応、海外当局対応、IGDTA（Intra-Group Data Transfer Agreement)対応
• 国際基準: PCI-DSS要件やISMS認証基準への対応、米国財務省のOFAC規制（身代金支払いに関する制裁リスク）