SAKURA法律事務所 代表弁護士 道下剣志郎 Legal Update

2026年10月6日

SAKURA法律事務所　代表弁護士　道下 剣志郎

SAKURA法律事務所は、このたび、代表弁護士 道下剣志郎によるLegal Update第23回の全面改訂版として、「サイバー攻撃・情報漏えい発生時の企業危機対応――ランサムウェア、個人情報保護委員会報告、フォレンジック、委託先・クラウド、適時開示と経営判断【2026年版】」を公開いたしました。

サイバーインシデントは、情報システム部門だけで処理できる技術障害ではありません。ランサムウェア、不正アクセス、クラウドアカウント侵害、委託先からの情報流出、ビジネスメール詐欺、DDoS、内部不正その他の事案では、システムの封じ込めと復旧に加えて、個人情報保護法上の報告・本人通知、営業秘密の保護、契約上の通知、保険、警察・所管当局への対応、上場会社の適時開示、取引先・顧客への説明、海外本社への報告、役員による経営判断が同じ時間軸で進行します。対応の成否は、技術チームがどれだけ早く復旧したかだけではなく、限られた情報の下で複数の法的・経営上の判断を矛盾なく統合できたかによって決まります。

2026年の実務では、この統合対応の重要性が一段と高まっています。IPAの「情報セキュリティ10大脅威 2026」は、組織向け脅威の第1位にランサム攻撃、第2位にサプライチェーンや委託先を狙った攻撃、第3位に初選出の「AIの利用をめぐるサイバーリスク」を挙げました。IPAが2026年9月に公表したランサムウェア被害の教訓集も、暗号化が発覚した時点では攻撃者の活動が最終段階に達していることが多く、経営判断、侵害調査、復旧、事業継続及び外部公表を短時間で並行させる必要があると指摘しています。

報告制度も更新されています。国家サイバー統括室は2026年9月15日、関係省庁間の被害報告一元化の申合せ及び共通様式を改定し、従来のDDoS・ランサムウェアに加えて「その他サイバー攻撃等事案共通様式」を整備しました。個人情報保護委員会では2026年10月1日以降、一定のランサムウェア事案及びその他のサイバー攻撃事案について共通様式を利用した漏えい等報告が可能となり、金融庁も同日から監督指針等を改正し、金融機関等のサイバー事案報告を共通様式へ接続しています。もっとも、様式が共通化されても、個人情報保護法、業法、上場規則、契約その他の法的根拠、報告期限及び報告先が一つに統合されたわけではありません。

本稿は、2026年10月6日時点で施行されている日本法及び最新の一次資料を前提に、サイバー攻撃・情報漏えい発生時の初動から、個人情報保護委員会への報告・本人通知、デジタルフォレンジック、ランサムウェア対応、委託先・クラウド事故、越境データ、警察・所管当局対応、適時開示、契約・保険・営業秘密、社内調査及び再発防止までを、一つの企業危機管理プロセスとして整理します。2026年7月に成立・公布された改正個人情報保護法については、大部分が未施行であるため、現行法と将来制度を明確に区別します。

本稿の要旨

サイバーインシデントの初動では、「封じ込め」「証拠保全」「意思決定」の三つを同時に走らせる必要があります。感染端末の初期化、ログの消去、バックアップの上書き、アカウント設定の変更は復旧には有効でも、後に侵入経路、データ窃取、攻撃者の滞在期間又は委託先責任を立証する証拠を失わせることがあります。CISO・ITだけでなく、経営、法務、広報、内部監査、関係事業部門、外部弁護士及びフォレンジック専門家を接続し、誰が事実を認定し、誰が対外説明を承認し、誰が各当局・顧客・保険会社との窓口になるかを早期に固定することが重要です。

個人情報保護法上の漏えい等報告は、すべての事故について一律に課される制度ではありません。法26条及び個人情報保護委員会規則に基づき、要配慮個人情報、財産的被害のおそれがある情報、不正目的の行為に起因する漏えい等、又は1,000人を超える本人に係る漏えい等など、個人の権利利益を害するおそれが大きい類型を判定します。個人情報保護委員会は、報告対象事態について速報を発覚から概ね3～5日以内、確報を原則30日以内、不正目的の行為に起因するおそれがある場合は60日以内と案内しています。これはGDPRの72時間ルールとは異なる日本独自の制度であり、海外本社のグローバル手順を機械的に当てはめるべきではありません。

ランサムウェアでは、暗号化されたか否かと情報が窃取されたか否かを分けて分析しなければなりません。現在の侵入型攻撃では、データを外部へ持ち出した後に暗号化し、復号と公開回避の双方を材料に脅迫する手口が典型化しています。「漏えいを示す証拠が現時点で確認されていない」という調査上の限定的結論と、「漏えいは発生していない」という断定は法的・広報的に意味が異なります。身代金の支払も単純な技術復旧の選択ではなく、外為法上の経済制裁、反社会的勢力、警察対応、保険条件、事業継続及び取締役の意思決定を含む経営判断です。

委託先やクラウド事業者で事故が生じた場合も、「ベンダーの事故だから自社の問題ではない」とは整理できません。委託元には個人データの委託先監督義務があり、漏えい等報告についても委託元・委託先それぞれの法的地位を確認する必要があります。海外本社、Global SOC、海外フォレンジック会社又は外国法律事務所へデータを共有する場合には、緊急時であっても個人情報保護法上の外国第三者提供、委託、アクセス権限及び安全管理措置の分析が必要です。

上場会社及び金融機関等では、個人情報保護委員会への報告だけで事故対応は完結しません。東証の適時開示、金融庁その他所管当局への報告、会計監査、業績・引当て・後発事象、契約通知、サイバー保険、警察相談を同時に管理する必要があります。優れた対応は、報告書を提出して終わるものではなく、技術原因、意思決定、サプライチェーン、権限管理、バックアップ、訓練、広報及び取締役会の監督を一体として再設計し、次の事故で同じ弱点を繰り返さないところまでを含みます。

1　初動の成否は「封じ込め・証拠保全・意思決定」の同時進行で決まる

インシデントが発覚した直後、技術チームはネットワーク分離、アカウント停止、EDR隔離、パスワード変更、バックアップ復元等を急ぎます。これらは必要な措置ですが、順序を誤るとログ、メモリ、認証履歴、クラウド監査記録、攻撃者との通信、端末上の痕跡が消え、後に「いつ侵入したのか」「何が持ち出されたのか」「どの認証情報が悪用されたのか」を再構成できなくなります。したがって、復旧計画の中に証拠保全を組み込み、復旧のために消去又は変更する情報については、可能な範囲でフォレンジックコピーやスナップショットを確保した上で処理する必要があります。

同時に、会社はインシデントの指揮系統を立ち上げます。技術上のIncident Commanderと、法的・経営上の意思決定者が同一である必要はありません。経営陣、法務、CISO・IT、広報、内部監査、個人情報保護担当、影響を受ける事業部門を接続し、外部弁護士、フォレンジック会社、保険会社、必要に応じ警察又は所管当局との窓口を一本化します。対外的な説明文の承認権限、顧客通知の決裁、身代金交渉の可否、海外本社へのエスカレーション、取締役会への報告ラインも初期段階で確定させるべきです。

証拠保全は、将来の個人情報保護委員会報告、訴訟、保険請求又はベンダーへの補償請求だけのために行うものではありません。初動の事実認定を支えるためにも不可欠です。メール、Slack・Teams、IdP、VPN、EDR、ファイアウォール、クラウド、SaaS、バックアップ、スマートフォン、管理者操作履歴等について、保存対象、対象期間、custodian、保管場所を決め、通常の自動削除やログローテーションを止めます。他方で、何でも無制限に収集することは、個人情報・プライバシー、労務、営業秘密、海外データ移転及び調査コストの問題を生むため、調査目的との比例性を保ちながら段階的に範囲を広げる設計が必要です。

2　個人情報保護法の漏えい等報告は「不確実性の下で期限を守る」制度である

個人情報保護法上の出発点は、事故が「情報漏えい」と呼ばれているかではなく、会社が取り扱う個人データについて漏えい、滅失、毀損その他の安全確保上の事態が生じたか、又はそのおそれがあるかを法令に即して評価することです。現行の個人情報保護委員会規則は、要配慮個人情報、財産的被害のおそれがある個人データ、不正目的の行為に起因する漏えい等、及び1,000人を超える本人に係る漏えい等を、代表的な報告対象事態として定めています。ランサムウェアや不正アクセスでは、窃取の事実を完全に確認できていなくても、不正目的の行為に起因する漏えい等のおそれとして早期評価が必要となります。

報告対象に該当する場合、個人情報保護委員会は、まず発覚後速やかに速報を行い、目安として概ね3～5日以内、その後、原則として30日以内、不正目的の行為に起因するおそれがある事案では60日以内に確報する運用を示しています。これは、初動で完全な原因究明が終わっていることを要求する制度ではありません。速報では判明している事実と未確定事項を分け、確報までにフォレンジック、影響範囲、原因、再発防止策を更新します。海外企業が注意すべきなのは、日本のこの仕組みをGDPRの72時間ルールと同一視しないことです。グローバルインシデントでは、各法域の起算点・報告対象・期限を別々に管理する必要があります。

本人通知はPPCへの報告とは別の義務であり、対象者にとって理解可能な内容としなければなりません。会社は、漏えい等した情報の項目、原因、二次被害の可能性、本人が取り得る防御措置、問い合わせ先等を、調査状況に応じて整理します。PPC報告、本人通知、顧客説明、プレスリリース、取引先通知で表現が食い違うと、後の当局対応・訴訟・信用回復を難しくします。そのため、全ての対外文書について、共通のfact matrixと版管理を持つことが重要です。

2026年10月1日以降、PPCでは、ランサムウェア事案及び「その他サイバー攻撃等事案」による漏えい等について、国家サイバー統括室が整備した共通様式を利用できるようになりました。これは報告実務の効率化として重要ですが、提出先や法的義務を一本化する制度ではありません。共通様式を用いる場合でも、個人情報保護法の要件・期限を満たしているか、別の所管当局や契約上の通知が必要かを独立に確認する必要があります。

3　ランサムウェア対応では、復旧・データ窃取・警察・身代金判断を一つの経営判断として扱う

侵入型ランサムウェアでは、暗号化は攻撃の終盤であることが多く、攻撃者が権限昇格、横展開、バックアップ妨害、情報収集及び外部送信を先行させている可能性があります。したがって、システムを復旧できたことは、個人データや営業秘密の窃取がなかったことを意味しません。外向き通信、クラウドストレージ、異常な圧縮・アーカイブ生成、管理者権限の利用、認証ログ、VPN、EDR及びデータ転送痕跡を検証し、「確認できた事実」「合理的に疑われる事実」「ログ不足等により確認不能な事項」を分けて整理します。

対外説明では、この証拠の限界を正確に表現する必要があります。「現時点で外部流出を示す痕跡は確認されていない」と「外部流出は発生していない」は同義ではありません。後者を断定した後に窃取が判明すれば、元のサイバー被害に加えて、会社の説明の信頼性が損なわれます。経営・法務・広報は、フォレンジック会社の技術的表現をそのまま広報文へ転記するのではなく、調査範囲と限界を理解した上で、ステークホルダーが誤解しない文章へ翻訳する必要があります。

警察への相談・被害申告は、犯罪捜査だけでなく、攻撃者情報の共有や他の被害拡大防止の観点からも検討対象です。ただし、警察へ端末・ログを提供する際には、事業復旧や自社フォレンジックに必要な証拠を確保し、chain of custodyを保つことが重要です。捜査機関への説明、PPC報告、保険会社への報告で事実認識が食い違わないよう、単一の時系列と証拠台帳を維持します。

身代金の支払は、技術部門又は交渉ベンダーだけに委ねるべき判断ではありません。日本法にはランサム支払を一律に禁止する単一規定があるわけではありませんが、支払先が外為法上の制裁対象者又はその関係者である場合には支払規制が問題となり得ます。加えて、反社会的勢力対応、犯罪捜査への影響、保険契約、復号・情報削除の実効性、再攻撃リスク、会計・税務、事業継続及び取締役の善管注意義務を含めて判断し、情報が不完全な状況で何を根拠に決定したかを記録する必要があります。

4　委託先・クラウド・海外本社を含む事故では、責任主体と情報の流れを再構成する

サプライチェーンや委託先を起点とする事故では、「侵害されたシステムの所有者」と「法的義務を負う者」が一致しないことがあります。個人データの取扱いを委託している場合、委託元には法25条に基づく必要かつ適切な監督が求められます。委託先で報告対象となる漏えい等が生じた場合、原則として委託元・委託先双方に報告義務が問題となり得ますが、委託先が法令所定の方法で委託元へ通知した場合の取扱いなど、役割に応じた例外があります。事故時には、データ管理主体、処理の委託関係、誰が事実を把握しているかを直ちに整理する必要があります。

契約上の通知義務は法令より短いことがあります。DPA、SaaS契約、クラウド契約、業務委託契約、NDA、ライセンス、金融契約、M&A契約等には、24時間又は48時間以内の通知、ログ提供、調査協力、監査権、再委託先の開示、費用負担、補償、サイバー保険、データ返還・削除等が定められていることがあります。法令報告だけに集中すると契約上の期限を失うため、影響システムとデータを顧客・委託元・契約へマッピングし、通知期限を最も早いものから管理します。

グローバル企業では、日本法人の事故データを海外本社、Global SOC、海外フォレンジック会社、保険会社又は外国法律事務所へ共有することがあります。もっとも、日本法人とは別法人の海外親会社や外国の第三者へ個人データを提供する場合、法28条の外国第三者提供規制を含む分析が必要です。国外ベンダーへの委託であっても、外国第三者提供規制が問題となり得るため、「グループ内」「調査目的」「緊急事態」という理由だけで無制限の移転が許されるわけではありません。共有目的、法的根拠、必要最小限性、アクセス権、データ保管場所及び削除方針を整理します。

一方で、インシデント対応を過度にローカル化し、海外本社への必要なエスカレーションを遅らせることも適切ではありません。Global GCや取締役会が意思決定を担う企業では、日本法上の義務と海外本社のgovernanceを接続する必要があります。重要なのは、情報を送るか送らないかの二択ではなく、誰がどのデータへアクセスし、どの目的で共有し、どの法域の規制を満たすかを設計することです。

5　上場会社・金融機関等では、PPC報告とは別に開示・監督・会計のワークストリームが走る

上場会社にサイバー攻撃が発生した場合、攻撃があったという事実だけで常に同じ適時開示義務が生じるわけではありません。しかし、業務停止、重要システムの障害、顧客影響、重大な損失、業績への影響、取引先対応、行政処分リスク等が投資判断に重要な影響を与える場合には、東証の上場規程及び2026年7月版「会社情報適時開示ガイドブック」を踏まえ、個別開示項目又はバスケット条項への該当性を継続的に評価する必要があります。最終的な被害額が確定するまで開示判断を停止することは、常に安全な選択ではありません。

法務だけでなく、財務・経理、IR、監査役・監査委員会、会計監査人を同じタイムラインに乗せる必要があります。業務中断による収益影響、復旧費用、顧客補償、訴訟可能性、引当金、保険金、後発事象等の会計論点は、対外開示と相互に影響します。サイバー事故対応で技術・法務が事実を更新している一方、決算・監査チームが古い前提で作業を続ける状態を避けなければなりません。

金融機関その他の規制業種では、さらに業法・監督指針に基づく報告が重なります。金融庁は2026年10月1日適用の監督指針等で、サイバーセキュリティ事案の報告様式を関係省庁の共通様式へ移行しました。金融分野ではサードパーティリスク、ITレジリエンス、AI関連脅威についても2026年に政策対応が進んでいます。したがって、金融機関等のインシデント対応は、APPI、金融監督、システム障害報告、顧客保護、取引所開示等を一つのreporting matrixで管理することが不可欠です。

この多重報告環境では、「同じ内容をどこへ出したか」を管理するだけでは足りません。各制度ごとに、報告義務の主体、起算点、法的評価、提出先、使用様式、更新義務、守秘性、公表の有無が異なります。共通様式は入力作業を軽減しても、判断責任までは共通化しません。法務部門は、技術事実の最新版を基礎として、制度ごとの法的結論と提出履歴を追跡できる体制を整える必要があります。

6　事故後の法的責任は、個人情報だけでなく営業秘密、契約、保険、社内不正まで広がる

サイバー攻撃で窃取される情報は個人データに限りません。ソースコード、研究開発情報、価格表、顧客リスト、M&A資料、認証情報その他の秘密情報が持ち出された場合、不正競争防止法上の営業秘密又は限定提供データ、契約上の秘密保持義務、知的財産権等を別途検討する必要があります。営業秘密としての保護を受けるには、秘密管理性、有用性及び非公知性が重要であり、事故後の公表や社内共有の仕方も将来の差止め・損害賠償の可能性を意識して設計すべきです。

外部攻撃と見えていた事故が、実際には従業員・委託先による内部不正、認証情報の横流し、権限設定の不備を含んでいることもあります。早期に特定の社員を犯人扱いすれば、労務紛争、証拠汚染、社内調査の信頼性低下を招きます。アクセスログ、端末、権限付与、ダウンロード、外部媒体、承認履歴等を客観的に分析し、必要に応じて第21回Legal Updateで扱った社内調査の枠組みとフォレンジックを統合します。

保険と第三者責任の管理も同時進行です。サイバー保険には事故通知、指定ベンダー、事前承認、retention、業務中断、データ復旧、第三者賠償、危機広報、ランサム関連費用等の条件があり、高額な専門家費用を無断で発生させるとcoverage disputeが生じることがあります。委託先又はシステムベンダーに契約違反が疑われる場合には、補償条項、責任制限、通知期限、監査権、保険、求償の可能性を確認し、ログその他の証拠を保存します。

顧客、取引先又は本人から損害賠償請求を受ける可能性がある場合には、事故発生そのものだけでなく、事前の安全管理措置、委託先監督、事故後の初動、通知の正確性、二次被害防止策が争点となり得ます。したがって、インシデント対応は「今どう復旧するか」と同時に、「半年後又は数年後に、会社がどのような証拠で自らの判断を説明できるか」という視点で記録化する必要があります。

7　再発防止は技術対策の追加ではなく、取締役会レベルのレジリエンス再設計である

重大事故の再発防止を、パッチ適用、MFA導入又は研修の追加だけで終わらせるべきではありません。経済産業省のサイバーセキュリティ経営ガイドラインVer.3.0は、経営者のリーダーシップ、サプライチェーン全体への目配り、平時・緊急時の関係者とのコミュニケーションを経営者が認識すべき原則として掲げています。インシデント後には、攻撃経路だけでなく、権限管理、脆弱性管理、資産台帳、委託先管理、バックアップ、復旧優先順位、意思決定、取締役会報告、広報承認、夜間休日対応までを検証する必要があります。

IPAが2026年に「AIの利用をめぐるサイバーリスク」を組織向け脅威の上位に挙げたことも、従来の境界を変えています。生成AIへの機密情報入力、AIを利用したフィッシング・なりすまし、ディープフェイク、AIエージェントへの過大な権限付与、外部ツール連携によるデータ流出は、AIガバナンスとサイバーセキュリティを分けて扱えないことを示します。インシデント対応計画は、ランサムウェアやクラウド障害だけでなく、AI起因又はAI増幅型の事故を含む形に更新する必要があります。

2026年7月に成立・公布された改正個人情報保護法は、一部を除き未施行であり、2026年10月時点ではPPCが政令・規則・ガイドラインの具体化を進めています。したがって、現在の事故対応で未施行規定を現行義務として扱うことはできません。他方、課徴金制度等を含む将来の制度強化は、個人データの適正な取扱いとセキュリティを経営課題として扱う方向性を明確にしています。施行準備と現在のインシデント対応を切り離さず、データガバナンス、委託先管理、意思決定記録及び監査可能性を高めることが合理的です。

最終的に重要なのは、インシデント対応計画を文書として保有することではなく、実際に機能するかです。平時から外部弁護士、フォレンジック会社、保険会社、広報支援先の連絡先と契約条件を確認し、システム・データ台帳、報告先、契約通知期限、承認権限を整理します。その上で、ランサムウェア、クラウド侵害、委託先漏えい、AIアカウント侵害等を想定したtabletop exerciseを行い、技術復旧だけでなく、PPC速報、顧客通知、取締役会メモ、適時開示案まで実際に作成することが、事故時の意思決定速度と法的整合性を最も高めます。

FAQ――企業実務で特に多い質問

Q1　ランサムウェアに感染したら、必ず個人情報保護委員会へ報告しなければなりませんか。

必ずしもそうではありません。個人データの漏えい等又はそのおそれがあり、個人情報保護委員会規則が定める報告対象事態に該当するかを判断します。ただし、ランサムウェアや不正アクセスは不正目的の行為に起因する漏えい等のおそれとして報告対象になり得るため、暗号化の有無だけで判断せず、外部送信、毀損、利用不能その他の影響を調査する必要があります。

Q2　PPCの「3～5日」はGDPRの72時間ルールと同じですか。

同じではありません。日本の制度は報告対象類型、速報・確報の構造及び起算の考え方がGDPRと異なります。PPCは速報について発覚から概ね3～5日以内を目安として案内し、その後に30日又は一定の場合60日以内の確報を求めています。グローバル事故では法域ごとに別のdeadline matrixを作るべきです。

Q3　被害人数がまだ分からない場合、確定するまでPPC報告を待ってよいですか。

原則として、報告対象事態が疑われるのに人数確定だけを理由に速報を遅らせるべきではありません。速報は初期段階の判明事実を前提とする制度であり、調査の進展に応じて続報・確報で更新します。

Q4　委託先やクラウド事業者で漏えいした場合、自社は報告不要ですか。

一概にはいえません。委託元・委託先の双方に報告義務が問題となるのが原則で、委託先が法令所定の方法で委託元へ通知した場合の例外もあります。委託関係、個人データの管理主体、契約上の通知及び各社の事実把握状況を整理して判断する必要があります。

Q5　フォレンジックで流出痕跡が見つからなければ「情報漏えいはない」と公表できますか。

慎重な判断が必要です。ログ欠落、攻撃者による削除、可視性のない領域がある場合、流出を積極的に否定できるとは限りません。「現時点で流出を示す痕跡は確認されていない」と「調査の結果、流出は認められなかった」は異なる結論です。

Q6　攻撃者への身代金支払は日本では違法ですか。

日本法に一律の禁止規定があるとはいえませんが、支払先が外為法上の制裁対象者等であれば許可制その他の支払規制が問題となり得ます。警察対応、反社会的勢力、保険、復旧可能性、再攻撃リスク、取締役の意思決定等も含め、個別に検討する必要があります。

Q7　2026年10月からの共通様式を出せば、PPC・金融庁・警察への対応を一度で終えられますか。

いいえ。共通様式は重複入力を減らすための行政上の仕組みですが、各制度の法的義務、期限、提出先、更新方法が完全に統合されたわけではありません。どの手続に共通様式を利用できるか、別途の届出や相談が必要かを確認する必要があります。

Q8　上場会社はサイバー攻撃を受けたら必ず適時開示が必要ですか。

一律ではありません。業務停止、損害額、顧客影響、業績、行政処分リスク等が投資判断へ与える重要性を踏まえ、具体的な開示項目又はバスケット条項への該当性を評価します。事故調査の進展に応じて継続的に見直す必要があります。

Q9　事故データを海外本社や海外フォレンジック会社へすぐ送ってよいですか。

緊急時でも無条件ではありません。個人データが含まれる場合、外国にある第三者への提供、委託、グループ内の法人関係、本人同意又は相当措置、アクセス制限、安全な転送方法等を確認する必要があります。必要な経営報告と越境データ移転の適法性は別々に検討します。

Q10　2026年改正個人情報保護法は、現在のインシデントにも既に全面適用されますか。

いいえ。改正法は2026年7月に成立・公布されましたが、一部を除き未施行です。2026年10月時点ではPPCが政令・規則・ガイドラインの整備を進めている段階であり、現在の事故対応は現行法を基礎として行い、施行日と実施ルールを別途フォローする必要があります。

代表弁護士 道下剣志郎「Legal Update」について

SAKURA法律事務所は、代表弁護士 道下剣志郎（Kenshiro Michishita）のプロフィールページに「LEGAL UPDATE」欄を設け、企業法務、M&A、クロスボーダー取引、国際紛争、AI・IT、個人情報・データ保護、知的財産、金融規制、企業危機管理、社内調査、Web3・暗号資産その他の重要な実務論点について、日本語及び英語で継続的に公表しています。第23回は、第20回のインターネット上の名誉毀損・レピュテーション対応、第21回の社内調査・第三者委員会、第22回の当局調査・立入検査対応に続き、重大サイバーインシデントを技術・データ保護・開示・企業統治の交差点から扱うものです。

SAKURA法律事務所 公式サイト　代表弁護士 道下剣志郎 プロフィール

SAKURA法律事務所に相談できる事項

SAKURA法律事務所では、ランサムウェア、不正アクセス、個人情報漏えい、クラウド・SaaS侵害、委託先事故、営業秘密流出その他のサイバーインシデントについて、初動対応、証拠保全、デジタルフォレンジック会社との連携、個人情報保護委員会・金融庁その他所管当局・警察への報告・相談、本人・顧客・取引先通知、契約責任、サイバー保険、上場会社の適時開示、社内調査、危機広報及び再発防止に関する法的助言を行います。クロスボーダー案件では、海外本社、Global GC、海外法律事務所、SOC、フォレンジック会社及び保険会社と英語で連携し、日本法上の報告義務と海外のデータ保護・制裁・契約規制が交錯する状況を一体的に整理します。

お問い合わせ

サイバー攻撃、情報漏えい、ランサムウェア、個人情報保護委員会報告、デジタルフォレンジックその他の企業危機管理に関するご相談は、SAKURA法律事務所までお問い合わせください。

SAKURA法律事務所
〒106-0032 東京都港区六本木一丁目4番5号 アークヒルズサウスタワー4F
代表弁護士 道下 剣志郎
Web: https://sakura-lawyers.jp/

主な参考資料

1. 個人情報の保護に関する法律（e-Gov法令検索） — 現行法23条、25条、26条、28条等。

2. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 — 安全管理措置、漏えい等報告、本人通知等。

3. 個人情報保護委員会「漏えい等の対応とお役立ち資料」 — 速報・確報、報告フォーム、2026年10月1日以降の共通様式。

4. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」 — 海外本社・海外ベンダー等への個人データ移転。

5. 個人情報保護委員会「令和8年 改正個人情報保護法について」 — 成立・公布済み改正法と政令・規則・ガイドライン整備状況。

6. 国家サイバー統括室「サイバー攻撃時の報告様式の統一について」 — 2026年9月15日改定の被害報告一元化申合せ・共通様式。

7. IPA「情報セキュリティ10大脅威 2026」 — ランサム、サプライチェーン、AI等の主要脅威。

8. IPA「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」 — 2026年9月公表の被害組織インタビューに基づく教訓。

9. IPA「ランサムウェア対策特設ページ」 — 予防、被害時対応、関連資料。

10. 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」 — Ver.3.0、経営者の3原則・重要10項目。

11. 警察庁「サイバー事案に関する相談窓口」 — 都道府県警察への通報・相談・情報提供。

12. 日本取引所グループ「会社情報適時開示ガイドブック」 — 2026年7月版。

13. 日本取引所グループ「適時開示が求められる会社情報」 — 上場会社の適時開示制度。

14. 金融庁「金融分野におけるサイバーセキュリティ対策について」 — 金融分野ガイドライン、ITレジリエンス、AI・第三者リスク等。

15. 金融庁「主要行等向けの総合的な監督指針等の一部改正に対するパブリックコメント結果」 — 2026年10月1日から共通様式へ移行。

16. 財務省「経済制裁措置及び対象者リスト」 — 外為法上の資産凍結・支払規制の確認用。

17. 経済産業省「営業秘密～営業秘密を守り活用する～」 — 営業秘密管理指針・秘密情報保護資料。

免責事項

本稿は、2026年10月6日時点で公表されている日本法令、公的資料及び一般的な実務を基礎として、企業のサイバー攻撃・情報漏えい対応に関する一般的情報を提供するものであり、個別案件に関する法律意見又は法的助言を構成するものではありません。個人情報保護委員会その他の当局への報告義務、本人通知、業法上の報告、適時開示、契約通知、越境データ移転、身代金支払、経済制裁、サイバー保険、営業秘密、刑事手続、損害賠償その他の法的評価は、対象情報、攻撃経路、被害範囲、契約関係、業種、上場の有無、関係国・地域その他の具体的事情により異なります。2026年7月に成立・公布された改正個人情報保護法については一部を除き未施行であり、今後の政令・規則・ガイドライン及び施行日を確認する必要があります。具体的なインシデントについては、初動段階から最新の法令・監督実務・技術状況を踏まえて個別に検討してください。