報告対象を確認
四類型を確認し、少人数や未確定だけを理由に対象外にしません。
根拠1を確認情報漏えい時の対応実務ガイド
結論：社内の事故連絡と、法律上の報告・本人通知を分ける
給与資料を違う相手へ送った、共有フォルダが外部から見られる状態だった、不審なログインが見つかった。情報漏えいが疑われるときは、担当者だけで解決しようとせず、会社と委託先の責任者へ直ちに連絡します。拡大を止める作業と、いつ何が起きたかを残す作業は並行して進める必要があります。全容が判明するまで報告を待つ、記録を消してから安全を確かめる、といった対応を避けるため、連絡・判断・復旧の役割を事前に分けておきましょう。
判断の前提
この記事は民間事業者における個人データの漏えい等を中心にした準備の説明です。機密情報だけの事故でも契約や社内規程による対応が必要になる場合があります。個人情報保護法の報告要否は、内容・人数・原因等から判断し、マイナンバーを含む場合は番号法上の対応も別に確認します。実際の事故では情報管理責任者、法務、専門の調査・復旧担当等へ速やかにつなぎます。
QUICK ANSWER
個人情報保護法の報告対象を確認する四つの類型
次のいずれかに該当する漏えい・滅失・毀損が発生した場合、又はそのおそれがある場合が対象になります。
| 類型 | 確認する観点 | 経理での注意 |
|---|---|---|
| 要配慮個人情報を含む | 病歴等が含まれる個人データか | 健康情報等が給与関連資料に混在していないか |
| 財産的被害のおそれ | 不正利用により財産被害が生じるおそれがあるか | 決済用の認証情報等の内容を確認 |
| 不正目的の行為のおそれ | 不正の目的による行為が疑われるか | 不正アクセスや持出しを人数だけで除外しない |
| 本人の数が1,000人超 | 重複を整理した本人の人数が基準を超えるか | ファイル数や行数と人数を混同しない |
規則上、一定の高度な暗号化等の措置を講じたものの除外があります。パスワード付きというだけで除外しません。不正目的の類型では、取得済み又は取得予定で個人データとして扱う予定の個人情報も含まれます。個別の対象範囲は公式資料と専門家で確認します。
EVIDENCE & DECISION
情報漏えい時の対応の根拠と、この記事の運用提案
報告対象と時間的な条件は個人情報保護委員会の案内、技術的対応の考え方はIPAのガイドラインで確認しています。
図解1：事故対応に必要な6つの記録
01検知時刻・連絡先・対応責任者
02実施した制限・保全した記録
03対象データ・人数・影響の確度
04報告要否・主体・期限・提出控え
05本人通知・問合せ・二次被害対策
06復旧条件・検証結果・改善計画
VISUAL GUIDE
図解2：拡大防止の流れと、調査・報告の流れを同時に進める
上下の流れは並行します。全ての調査や復旧が終わるまで速報・本人通知を待つ図ではありません。判明事項を更新しながら必要な判断を進めます。
技術担当：拡大防止と安全な再開
DETECT検知責任者へ連絡
→LIMIT制限適切な隔離・権限対応
→VERIFY検証原因と安全性を確認
→RESTORE復旧段階的に再開
管理担当：保全と説明・報告
RECORD保全時刻・原記録を残す
→SCOPE調査範囲と未判明を更新
→REPORT報告要件・主体・通知
→IMPROVE改善対応を検証する
並行対応を含む6つの確認事項
STEP 01
→責任者へ直ちに連絡
検知時刻・疑い・影響先を伝え、担当を分けます。
STEP 02
→拡大防止と保全を並行
技術担当が適切な制限を行い、記録担当が経緯を保全します。
STEP 03
→影響範囲を更新
対象データ・人数・期間・経路を確認します。
STEP 04
→報告と本人通知を判断
全容判明を待たず、要件・主体・時点を確認します。
STEP 05
→安全を確認して復旧
原因への対応と重要データの整合を検証します。
STEP 06
改善策を試して見直す
責任者・期限・効果確認を決め、訓練へ反映します。
事故対応を遅らせる四つの思い込み
全部分かるまで連絡しない
疑いのままでも必要な初動と報告の判断が遅れます。
共有を止めれば解決と思う
既に保存・転送されたデータや別の経路を確認していません。
記録を先に消してしまう
再起動や初期化、ログ削除で調査に必要な情報を失います。
委託先が全て報告すると思う
会社側の義務と、通知による例外の条件が未確認です。
その場で担当者に任せると混乱する理由
連絡先と権限が未整備
誰がアクセスを止め、誰が社外説明を決めるか曖昧です。
事実と推測が混在
確認済みの内容と未確認の影響が同じ報告になっています。
復旧と安全確認を混同
画面が開いたことだけで再開してよいと判断しています。
情報漏えい時の対応を具体化する10の実務
検知と連絡の体制
発見者は発見時刻、システムや資料、起きたこと、既に行った操作を会社と委託先の責任者へ伝えます。断定できない内容は疑いと明記します。通常の依頼窓口で翌営業日まで待たせず、緊急の連絡先と不在時の代替者を事前に共有しておきます。
対応を取りまとめる人、技術対応、記録、法務確認、社外説明の担当を決めます。同じ担当へすべてを集中させないよう、小規模な会社では外部支援先も確認します。委託先で起きた事故でも、会社側が把握した日時と意思決定を記録します。
拡大防止と証拠保全
技術担当が状況に応じて共有権限の制限、不正な利用経路の遮断、端末のネットワーク隔離等を検討します。同時に記録担当が画面、メール、アクセス記録、実施した操作と時刻を保全します。記録収集が終わるまで危険な公開状態を続ける運用にはしません。
初期化、不要な再起動、ログ削除など調査情報を失う操作を自己判断で行わず、専門担当へ確認します。誤送信先へ削除を依頼する場合も、送信記録等を残して会社の手順で行います。保全データは閲覧者を限定し、新たな漏えいを起こさないようにします。
対象データと人数
どの会社のどの資料が、いつから誰に見える状態だったかを確認します。氏名、住所、給与、健康情報、口座、認証情報等の項目を分け、対象者の重複を整理します。資料の行数や件数をそのまま本人の人数とせず、数え方と不明範囲を残します。
アクセス可能だったこと、実際に閲覧されたこと、ダウンロードや転送が確認されたことを区別します。ログに記録がないだけで閲覧されなかったとは断定できません。給与資料にマイナンバーが含まれる場合は、別の法令上の対応も責任者へ確認します。
報告対象の判断
個人情報保護法の報告対象となる四類型は、いずれかに当たるかを確認します。人数が1,000人以下でも、他の類型に該当すれば対象となり得ます。確定した漏えいだけでなく、そのおそれも対象になるため、「流出を確認できない」で調査を終えません。
高度な暗号化等の除外を使えるかは、方式や鍵の管理、復号の可能性等を含めて確認します。単なる圧縮ファイルのパスワードで対象外とは判断しません。個人データに当たらない営業秘密等も、契約や業種別の連絡義務がないか別に確認します。
速報と確報の管理
報告対象事態を知ったら、速報は速やかに行い、目安は概ね3～5日以内です。法人では、いずれかの部署が知った時点を基準にします。責任者への連絡日や社内承認日まで起算を遅らせません。知った部署・日時・根拠を記録します。
確報は知った日を1日目として30日以内、不正目的の類型では60日以内です。土日・祝日も数え、末日が休日等なら公式の算定方法で提出期限を確認します。合理的な努力でも未判明の事項は把握分を報告して追完し、提出控えと担当を残します。速報を省いて確報まで待つ意味ではありません。
委託元と委託先の役割
報告対象であれば、原則として委託元と委託先の双方に報告義務が生じます。委託先が報告義務を負う委託元へ、規則に沿って把握済みの必要事項を速やかに通知した場合は、委託先の報告義務が免除される仕組みがあります。
契約書に「会社へ任せる」とあるだけで免除されるとは扱いません。誰がいつ何を通知し、受領したかを残し、委託元の報告に必要な調査へ協力します。本人通知の例外も条件と合わせて確認し、どちらも対応していない状態を防ぎます。
本人通知と対外説明
報告対象となる場合、本人への通知は事態の状況に応じて速やかに行います。確報の30日・60日をそのまま本人通知の待機期間にはしません。本人が二次被害を防ぐために必要な情報、連絡先、取ることのできる対応を分かりやすく伝えます。
確認できたことと未判明のことを分け、他の対象者の情報を通知文へ混ぜないよう点検します。本人通知が困難な場合の代替措置には条件があり、公表だけで常に足りるわけではありません。会社、委託先、法務の間で説明内容と更新担当をそろえます。
経理業務の継続判断
事故対応中も給与や支払の期限は近づきます。影響を受けた経路を無理に使わず、安全性を確認した連絡・承認方法で進められるか会社が判断します。承認者の本人確認を省き、私的なメールや共有アカウントで急場をしのぐことは避けます。
停止前にどこまで入力・振込準備・実行が済んだかを確認し、再開時の二重処理を防ぎます。支払先変更など不正利用の影響が疑われるときは、会社が金融機関や関係者の正式な窓口へ確認します。通常の代行先だけで安全を保証しないようにします。
復旧条件と再開確認
共有設定を戻せた、ファイルを開けたという事実だけで復旧完了にしません。技術担当が原因への対応、権限、安全な接続先、再発の兆候を確認し、会社が再開条件を承認します。必要に応じて対象や利用者を限定し、段階的に再開します。
復元した帳簿や支払データは、停止前の確かな記録と件数・金額・状態を照合します。欠落、二重処理、不審な振込先変更がないかを確認します。再開しても調査や本人通知が残る場合は別の残件として追い、事故全体の解決と混同しません。
再発防止と訓練
原因を担当者の注意不足だけで片付けず、共有権限、送信確認、退職者の権限、委託・再委託先の連絡体制等を確認します。改善項目ごとに責任者、期限、完了証拠、効果を確かめる方法を決めます。新しい手順を配布しただけでは完了にしません。
架空の誤送信等を使い、連絡先、並行分担、記録の取り出し、期限の判断を机上で試します。実データを危険な相手へ送る訓練は行いません。事故と訓練の数字を分け、見つかった課題を次の確認へ反映して、体制の変更時にも見直します。
緊急時の連絡と、平常時の資料管理をつなげる
事故が起きてから委託先の責任者や保存先を探すと、初動に時間がかかります。契約開始時に扱う情報、共有方法、連絡先、再委託の有無を確認し、変更のたびに見直しておきましょう。専門の調査や復旧をどこへ相談するかも、平常時に決める項目です。
愛知・名古屋で本社と店舗・工場の資料が分かれる会社は、どの拠点の情報が含まれるかを追えるようにします。拠点から別々の説明を出す前に会社の窓口をそろえつつ、現場からの事実連絡を止めない体制にすることが大切です。
キャシュモの標準化・確認工程と、葵パートナーズの経理業務の区分は、平常時の役割を整理する参考です。他社の一般的なサービス情報から、当社が専門的な事故調査や緊急復旧を提供できるとは説明しません。事故対応は別に支援先と契約条件を確認します。
平常時の相談では、資料の種類、共有先、連絡体制を整理します。実際の漏えいが疑われる場合は、一般的な相談の返信を待たず、会社の緊急連絡先と専門担当へ直ちに連絡してください。原資料や認証情報を不特定の相談窓口へ送らないでください。
情報漏えい時の対応における会社・経理代行・専門家の役割
会社は取引事実、契約、金額、期限、例外、資金移動、最終承認を担います。経理代行は承認済み資料の整理、入力、照合、一覧化、結果報告を支援します。
税務代理・税務書類の作成・税務相談は税理士、社会保険・労働保険の申請書等の作成や提出代行等は社会保険労務士、契約その他の法的判断は弁護士へ確認します。
情報漏えい時の対応の実務チェックリスト
- 検知と連絡の体制
- 拡大防止と証拠保全
- 対象データと人数
- 報告対象の判断
- 速報と確報の管理
- 委託元と委託先の役割
- 本人通知と対外説明
- 経理業務の継続判断
- 復旧条件と再開確認
- 再発防止と訓練
READY-TO-USE TEMPLATE
情報漏えいへの備えと事故対応の確認表（10項目）
打合せ前に必要な資料・担当・時点を確認する表です。処理履歴を記入する台帳とは別です。運用を始める際には、自社の担当者名、期限、確認結果、未解決事項の欄を追加してください。
| 確認する実務 | 用意する資料・記録 | 確認する担当・関係者 | 確認時点 |
|---|---|---|---|
| 検知と連絡の体制 | 検知日時・事実と疑い・連絡先・担当分担 | 発見者・会社責任者・委託先責任者 | 疑いを把握した時・体制確認時 |
| 拡大防止と証拠保全 | 制限内容・実施者と時刻・原記録・保全先と権限 | 技術担当・記録担当・外部調査支援者 | 初動から並行して実施 |
| 対象データと人数 | データ項目・本人の人数・期間・経路・不明範囲 | 情報管理責任者・技術担当・資料の管理者 | 初期調査時・新事実が分かった時 |
| 報告対象の判断 | 四類型の判定・適用範囲・除外判断の根拠・相談記録 | 個人情報保護責任者・法務・専門家 | 対象情報を把握した時・判定の更新時 |
| 速報と確報の管理 | 最初に知った部署・日時・根拠・算定した期限・提出控え・追完予定 | 報告責任者・法務・調査担当 | いずれかの部署が対象事態を知った時から継続 |
| 委託元と委託先の役割 | 委託関係・通知内容と日時・受領・報告の分担 | 会社の報告責任者・委託先責任者・法務 | 委託関係の確認時・通知と報告の実施時 |
| 本人通知と対外説明 | 対象者・通知内容・手段・実施状況・問合せ記録 | 会社の通知責任者・法務・問合せ担当 | 状況に応じた通知時・内容更新時 |
| 経理業務の継続判断 | 停止中の業務・期限・安全な代替経路・実行状況 | 会社の支払・給与責任者・技術担当 | 停止判断時・重要な期限の前 |
| 復旧条件と再開確認 | 安全確認・復旧版・照合結果・再開承認・残件 | 技術責任者・会社経理責任者・承認者 | 復旧作業後・段階的な再開前後 |
| 再発防止と訓練 | 原因分析・改善担当と期限・効果確認・訓練結果 | 会社責任者・委託先責任者・技術担当 | 事故後の振返り・定期訓練・体制変更時 |
この表は打合せ・照合前の準備用です。処理履歴の台帳には、対象番号、担当者名、期限、確認結果、未解決事項を追加してください。コピーはタブ区切り形式です。印刷前に表だけのプレビューを確認できます。
運用モデル
架空の机上訓練例です。14時00分に誤った公開設定へ気付き、14時04分に指定責任者へ連絡が到達し、14時10分に対象リンクの公開を制限したとします。連絡まで4分、初回制限まで10分です。これは法定の一律目標時間や当社の対応実績ではありません。
14時10分に制限できても、既にダウンロードされたデータや別リンクを確認していなければ、完全に封じ込めたとは評価できません。並行して必要と判断した記録が5種類あり、4種類を保全できたなら、保全率は4÷5×100＝80％です。
残る記録の所在と入手見込み、失われた可能性を別に残します。記録がないことを漏えいなしの証拠とは扱いません。事故の報告や本人通知の必要性は、この訓練の速さではなく、実際の事態と法令の要件から判断します。
図解3：情報漏えい時の対応の品質を測る6指標
実事故と訓練を分け、対象期間・集計時点を明示します。時間は記録した時刻間の経過分で、平均だけでなく各案件の遅れも確認します。割合は分母0件なら算出しません。初動の速さや報告提出だけで、漏えいの不存在や事故の解決を示す指標にはしません。 期限付きの割合は各算式の期限到来分だけを対象にし、未到来の前倒し完了は到来後に数えます。期限変更・取消は元の期限と理由・件数を別記し、過去の未達を消しません。
責任者連絡までの時間
案件ごとの検知時刻から指定責任者へ連絡が到達した時刻までの経過分
初回制限までの時間
案件ごとの検知時刻から最初の適切な制限を実施した時刻までの経過分。完全な封じ込めとは別
必要記録の保全率
集計日時点で保全を確認した記録の種類数÷案件で必要と判定した記録の種類数×100（％）
報告・通知の未処理
集計日時点で必要と判断した報告・本人通知の未完了件数を期限別に集計
復旧照合の未確認
集計日時点で重要データの復元・件数・金額・状態の照合が終わっていない対象数
改善の効果確認率
集計日までに当初の効果確認期限が来た改善項目のうち効果まで確認した数÷同じ対象数×100（％）。期限後の確認も含む現在の完了率
SERVICE
平常時の情報共有・担当・記録の持ち方を確認します
当社へ依頼する経理業務について、資料の受渡し、閲覧範囲、担当、連絡方法を事前に確認します。事故時には合意した連絡・事実確認の分担を踏まえて対応しますが、専門的な調査・復旧や法的判断を経理代行だけで保証するものではありません。技術・法務の専門担当と、会社の意思決定を分けて体制を整えます。
COMPANY
会社・社内責任者
事故対応責任者・法定報告・本人通知・再開の判断を担当
PARTNERS
愛知経理代行パートナーズ
合意した資料整理・入力・照合・集計を実施し、差異と未処理を報告
MANAGEMENT
税理士・社労士・弁護士・システム管理者
税務・労務・法務・システム上の専門判断と、会社が承認するための回答を担当
対応範囲は資料量、件数、利用システム、締め、例外処理を確認して事前にご案内します。専門資格が必要な判断・書類作成・代理手続きは当社サービスの範囲外です。
PRICE
料金プラン
記帳・給与計算・請求書発行をセットにした、規模に合わせて選べる月額プランです。業務量や資料の状態を確認したうえで、必要な範囲をご案内します。
横にスワイプしてプランを確認できます
エコノミー
〜5名・小規模事業者向け
¥24,800／月（税別）
記帳・給与計算・請求書発行をセットで
- 記帳代行 50仕訳／月
- 給与計算 5名まで
- 請求書発行 10件／月
- クラウド会計サポート あり
- 月次試算表レポート あり
シルバー
〜10名・中小規模向け
¥42,800／月（税別）
記帳・給与計算・請求書発行をセットで
- 記帳代行 100仕訳／月
- 給与計算 10名まで
- 請求書発行 15件／月
- クラウド会計サポート あり
- 月次試算表レポート あり
プラチナ
〜15名・成長企業向け
¥59,800／月（税別）
記帳・給与計算・請求書発行をセットで
- 記帳代行 150仕訳／月
- 給与計算 15名まで
- 請求書発行 20件／月
- クラウド会計サポート あり
- 月次試算表レポート あり
仕訳数・人数・請求書の件数を超える場合は追加費用が発生します。詳しくはお問い合わせください。
料金ページを見る →FAQ
よくある質問
Q. 漏えいが確定していなくても連絡すべきですか？
A. 疑いの段階から会社と委託先の責任者へ連絡し、拡大防止と記録保全を進めます。法定報告も発生のおそれが対象となる場合があるため、全容が分かるまで放置しません。
Q. 1,000人以下なら報告しなくてもよいですか？
A. 人数だけでは判断できません。要配慮個人情報、財産的被害のおそれ、不正目的による行為のおそれなど、他の類型に該当する場合は報告対象となり得ます。
Q. 委託先から会社へ伝えれば報告は不要ですか？
A. 原則として双方に義務が生じます。委託先が報告義務を負う委託元へ規則に沿って必要事項を速やかに通知した場合の例外がありますが、委託元は報告を行います。条件と通知記録を確認します。
Q. システムが使えるようになれば復旧完了ですか？
A. 原因への対応と安全性、帳簿・支払等の重要データの整合を確認し、会社が再開を判断します。報告、本人通知、調査や改善が残る場合は、再開後も別に追跡します。
関連コラム
参考情報・出典
本文の判断軸と、確認に使った一次情報の対応を示します。
参照情報の範囲
法的要件と、この記事独自の初動分担・確認表・訓練指標を区別しています。一般の経理代行の案内は、専門的な事故調査・復旧サービスを提供できる証拠ではありません。個別事故の報告要否や技術的操作は責任者・専門家が判断します。 出典は2026年8月31日時点で確認。確認表、頻度、工程例、指標は法令が定める統一様式ではなく、各社の契約・件数・期限・規程へ調整する提案です。競合の公開情報は当社の提供範囲や実績を証明しません。個別の税務・労務・法務判断は資格者へご相談ください。
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」報告対象の四類型、速報・確報、本人通知の案内。一般の事故連絡と法定報告を区別2026年8月31日確認
- 個人情報保護委員会「ガイドライン（通則編）」安全管理、委託先監督、3-5の漏えい等報告・本人通知を確認。委託元への通知による例外にも条件がある 3-5-3-3・3-5-3-4の把握部署、確報の初日・休日計算も確認2026年8月31日確認
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」権限・記録・委託・事故対応の考え方を参照。本文の台帳や指標は独自の運用提案2026年8月31日確認
- キャシュモ「経理代行」公式検索掲載内容で業務の標準化とダブルチェックを確認（直接取得に制限）。他社情報であり当社の提供保証ではない2026年8月31日確認
- 葵パートナーズ「経理代行のサービス内容」記帳・給与・振込・請求等の公開区分を比較。当社の契約範囲や事故対応能力を証明する情報ではない2026年8月31日確認
情報漏えい時の対応実務ガイドでは、参照先の最新版と自社規程・実態を確認し、税務代理・税務書類の作成・税務相談は税理士、社会保険・労働保険の申請書等の作成や提出代行等は社会保険労務士、契約その他の法的判断は弁護士へご相談ください。
情報漏えい時の対応について、依頼できる範囲を相談しませんか
現在の資料量、利用システム、困っている工程を伺い、外注できる範囲と料金の目安を整理します。資料が完全にそろっていなくても、分かる範囲からご相談いただけます。
無料相談・お見積りはこちら