顧客情報が外部に流れているかもしれない。退職者がデータを持ち出した疑いがある。社内システムに不審なアクセスがあった——こうした「情報漏洩かもしれない」という場面で、最初の数日にどう動くかが、被害の大きさとその後の対応を大きく左右します。

ところが、専門の情報システム部門がない会社では、慌てて対象のPCを操作したり、慌てて初期化したりと、良かれと思った行動が、かえって状況を悪化させてしまうことが少なくありません。

本記事では、専門知識がなくても実践できる情報漏洩の初動対応の正しい順番と、証拠を壊さないための注意点、そして自社でできる一次判定の方法までを、実務の目線で整理します。

初動の「最初の数日」が結果を左右する

情報漏洩への対応で最も重要なのは、発覚直後の初動です。理由は、時間が経つほど手がかりが失われていくからです。

デジタルの痕跡は、放置すれば上書きされ、削除され、あるいは対象者によって意図的に消されていきます。ファイルを開く、PCを使い続ける、再起動する——こうした日常的な操作だけでも、「いつ・誰が・何をしたか」を示す記録は少しずつ壊れていきます。

初動が遅れると、証拠が失われて事実関係を特定できなくなり、被害範囲もわからないまま二次被害が広がります。逆に、初動を素早く正しく行えば、事実を早期に特定でき、被害の拡大を最小限に抑えられます。「確証が持てないから様子を見る」ではなく、疑いの段階でも証拠の保全から始める——これが初動対応の基本姿勢です。

そして、こうした事態に直面する企業は決して少数ではありません。IPA（情報処理推進機構）の「企業における営業秘密管理に関する実態調査2024」によると、過去5年以内に営業秘密の漏えい事例・事象を認識している企業の割合は35.5%。前回調査（2020年度）の5.2%から大きく増加しています。「起きたときにどう動くか」は、すべての企業にとって現実的な問いになっています。

なお、情報漏洩は外部からの攻撃だけの問題ではありません。IPAの「情報セキュリティ10大脅威 2026」では、「内部不正による情報漏えい等」が組織向け脅威の7位に挙げられており、2016年の初選出以来、11年連続でランクインし続けています。順位の上下はあっても、消えることのない脅威だということです。外部攻撃と内部不正では初動の進め方も引き継ぎ先も変わるため、まずは事実を確認できる状態を作ることが出発点になります。

情報漏洩の初動対応、正しい順番

初動対応には、踏むべき順番があります。この順番を外すと、後の対応が成り立たなくなります。

  1. 検知：不審な操作、通報、監査などで異変に気づく
  2. 保全：対象を隔離し、証拠となるデータを「使える形」で確保する
  3. 調査・解析：削除ファイル、外部接続、アクセス履歴などを確認する
  4. 報告・対処：事実を整理し、法的・人事的な対応、関係先への報告を行う

この中で最も重要なのが、2の「保全」です。ここを正しく行わないと、その後どれだけ調査しても、得られた情報が証拠として使えなくなってしまいます。調査に飛びつく前に、まず保全——これが鉄則です。

発覚直後に「まずやること」

では、漏洩の疑いに気づいたら、具体的に何から手をつけるべきか。優先順位の高い3つを押さえます。

事実を記録する

いつ、何が、誰によって、どのように発覚したのかを、時系列でメモに残します。この記録が、後の調査と報告の出発点になります。

被害の拡大を止める

対象のPCやアカウントをネットワークから切り離すなど、情報が流れ続けるのを止めることを検討します。外部への送信やシステムへのアクセスが継続している場合は、これを断つことが優先されます。

むやみに操作しない

被害を止める行動と同時に守るべきなのが、「対象PCを不用意に操作しない」ことです。中身を確認したい気持ちは自然ですが、その操作自体が証拠を壊します（詳細は次章）。

なお、事実の把握がいかに難しいかは、公表事例からもうかがえます。東京商工リサーチ TSRデータインサイトの調査によると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故180件のうち、漏えい人数が開示されていない「調査中・不明等」が70件にのぼりました。専門部署を持つ上場企業でさえ、被害範囲の特定には時間がかかるのが実情です。だからこそ、痕跡が失われる前に動くことが重要になります。

逆に「やってはいけないこと」

初動で最も多いのが、焦りから証拠を壊してしまう失敗です。次の3点は避けてください。

１．対象PCを通常どおり操作し続ける

ファイルを開くだけでも最終アクセス日時などのメタデータが書き換わり、「いつ何が起きたか」を正確に復元できなくなります。調べるつもりの操作が、証拠を上書きしてしまうのです。

２．慌てて初期化・再配布する

「とりあえずPCをきれいにして使い回そう」とすると、最も重要な証拠を自ら消すことになります。疑いがある間は、対象PCを初期化・再配布しないでください。

３．「ただのコピー」で証拠を取ろうとする

怪しいファイルを通常のコピーで保存しても、それは証拠になりません。元データと同一である保証がなく、改ざんの有無を証明できないため、裁判・懲戒・行政調査の場で無効と判断されるおそれがあります。

証拠を「使える形」で残すには

ここが初動対応の分かれ目です。証拠として通用させるには、改ざんされていないことを証明できる形でデータを保全する必要があります。

具体的には、データのハッシュ値（データの指紋にあたる値）を記録しておくことで、後から「このデータは取得時点から一切変わっていない」と数学的に証明できます。1ビットでも変われば値が変わるため、改ざんの有無が客観的に分かるのです。フォレンジックの手順に沿って保全されたデータは、裁判や社内懲戒、行政調査の場でも証拠として通用します。

逆に言えば、「ただのコピー」や、操作してしまった後のPCからは、この証拠能力を確保できません。だからこそ、調査より先に、正しい方法での保全が必要になります。

情シス不在でも、初動を自社で完結する方法

とはいえ、専門部署がない会社で、正しい保全を自力で行うのは簡単ではありません。

この難しさは、数字にも表れています。前出のIPA調査では、営業秘密への不正アクセス防止策について「特に何もしていない」と答えた割合が、従業員301人以上の製造業では9.7%であるのに対し、従業員300人以下の非製造業では42.0%にのぼりました。

さらに、社内の認識にもズレがあります。内部不正を誘発する環境について「当てはまるものはない」と答えた割合は、サイバーセキュリティ部門で7.6%だったのに対し、経営層では45.1%。IPAはこれを、経営者と部門担当者のリスク認識の相違として指摘しています。

現場には確認する手段がなく、経営層にはリスクが見えていない。 この二つが重なると、いざ何かが起きたときの初動は、どうしても遅れます。だからこそ、「起きてから考える」のではなく、あらかじめ手順と手段を用意しておくことが、初動の速さを決めます。

この初動の壁を、専門知識なしで越える現実的な選択肢が、簡易フォレンジックツールです。

EASY Forensics は、USBを対象のPCに挿すだけで、改ざん防止のハッシュ値を記録しながらデータを保全し、確認できる痕跡を自動でレポート化します。発覚直後、専門家の到着を待たずに、PC操作に詳しくなくても自分で証拠を確保できるのが特徴です。

これにより、自社で「シロ・クロ」の一次判定が可能になります。問題がなければ社内で解決し、明らかに不正の疑いが強い、あるいは判断がつかない場合にのみ、専門業者による本格調査へ引き継ぐ——この流れなら、費用と時間を抑えながら、証拠能力を保った状態で初動を完結できます。

なお、外部からのサイバー攻撃（ランサムウェアや不正アクセスなど）が疑われる場合は、被害範囲の特定や再発防止のため、セキュリティベンダーとの連携が必要になります。実際、東京商工リサーチ TSRデータインサイトの調査では、2025年に公表された上場企業の漏えい・紛失事故のうち、原因の64.4%が「ウイルス感染・不正アクセス」でした。 外部攻撃は防ぎきることが難しく、専門的な対応を要する領域です。EASY Forensics が特に力を発揮するのは、PCに残る痕跡の保全と一次判定です。

まとめ｜情報漏洩 初動対応チェックリスト

情報漏洩への対応は、最初の数日が勝負です。確証が持てなくても、疑いの段階で「証拠を保全する」ことから始めれば、後の調査と対応の選択肢が大きく広がります。

最後に、初動対応の要点をチェックリストにまとめます。

  • 発覚の事実（いつ・何が・誰が・どう発覚したか）を時系列で記録する
  • 対象をネットワークから切り離し、被害の拡大を止める
  • 対象PCをむやみに操作しない・初期化しない・再配布しない
  • 「ただのコピー」ではなく、ハッシュ値付きで保全する
  • 自社で一次判定し、判断がつかない場合は専門家へ引き継ぐ
  • 外部攻撃が疑われる場合はセキュリティベンダーと連携する
  • 個人情報の漏洩では、報告・通知の義務が生じる場合があるため、専門家・公式情報で確認する

「起きてから困る」ではなく、「起きてもすぐ動ける」体制を持つこと。その第一歩が、正しい初動対応です。

参考文献・出典

この記事の監修者

渥美 雅之（Masayuki Atsumi）：三浦法律事務所 パートナー弁護士（第二東京弁護士会所属）ニューヨーク州弁護士 / 英国弁護士

神戸大学法科大学院修了後、公正取引委員会事務総局に入局。司法修習を経て森・濱田松本法律事務所にて企業法務に従事。シカゴ大学ロースクール（LL.M.）修了後、米国法律事務所および米国連邦取引委員会（U.S. Federal Trade Commission）にて執務。株式会社LIXILコンプライアンス調査部長を経て、現職。 競争法（独占禁止法・景表法）、コーポレートガバナンス、危機管理・コンプライアンスを専門とし、上場企業の社外取締役・社外監査役も務める。日本経済新聞社「企業法務・弁護士調査」等、著名アワードにて高い評価を獲得。主要取扱分野：独占禁止法・景表法 / コーポレートガバナンス / 情報セキュリティ / 国際法務