「情報漏えい？うちは関係ないよ」は本当か？　中小企業が知っておきたい責任と備え

2026年9月前後から、国内で不正アクセスによる個人情報の漏えいが相次ぎ、国や専門機関も事業者に向けて注意を呼びかけています。ニュースに出てくるのは誰もが知っている大きな企業やサービスの名前ばかりで、「うちのような会社には関係のない話だ」と感じている方も多いのではないでしょうか。本記事では、中小企業の経営者や担当者からよく寄せられる疑問を取り上げ、情報漏えいが本当に他人事なのかを見つめ直していきます。

^{※ 本記事の情報は2026年10月23日時点のものです。}

セキュリティベンダーのトレンドマイクロが公開した「2026年1月～9月の国内セキュリティインシデントを振り返る」によると、2026年1～9月に公表された国内組織のセキュリティインシデントは607件で、1日当たり2.2件のペースでした。2025年は1年間で594件だったため、9月末の時点ですでに昨年1年分を上回っています。同記事では、10月9日時点の集計で659件となり、2024年の645件を超えて過去最大規模の件数になるとしています。

「個人情報は持っていない」と思っている会社でも、社員名簿や給与・社会保険の書類、採用の応募書類、取引先の担当者の名刺などは持っているはずです。こうした社員や取引先の情報も個人情報にあたり、個人情報保護法は社員が数人の会社も含め、全ての事業者に適用されています。また、漏えいして困るのは個人情報だけではありません。中小企業の多くは、取引先や委託先として、図面や見積もり、顧客のデータ、取引先のシステムにつなぐためのアカウントなどを預かっています。こうした情報が自社から漏れれば、自社だけではなく、情報を預託・共有してくれた取引先にも多大な被害が及びます。

取引先に迷惑をかければ、信用にも響きます。事故を起こせば、説明や補償を求められるだけでなく、発注を見送られたり、取引そのものを見直されたりすることも考えておかなければなりません。

^{参考：はじめての個人情報保護法～シンプルレッスン～｜個人情報保護委員会}

はい、生じます。2022年4月から、個人データの漏えいが起き、個人の権利や利益を害するおそれがある場合には、個人情報保護委員会への報告と本人への通知が義務になりました。対象になるのは次の4つのケースです。

このうち上の3つは、件数に関係なく対象になります。昨今相次いでいる不正アクセスによる漏えいは、3つ目の「不正な目的で漏えいが起きた」に当たります。つまり、外部から侵入されて漏れたのであれば、漏れたのが数件だけでも、委員会への報告と本人への通知が必要になるということです。

また、漏えいが確定していなくても「漏えいした恐れがある」段階で対象になり、委員会への最初の報告は、事態を知ってからおおむね3〜5日以内に行う必要があります。報告を受けた委員会は、必要な調査を行い、必要に応じて漏えいを起こした企業に対して指導などを行います。委員会は「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」という資料の中で、報告された漏えいの事案を9つの事例に分類しています。そして、それぞれの問題への対策が十分でない場合、安全管理措置や従業者の監督、委託先の監督の義務に違反していると判断される可能性があるとしています。なお、個人情報保護法では、委員会からの命令に従わなかった場合の罰則が定められており、法人には1億円以下の罰金が科される可能性があります。

こうした法律上の対応とは別に、漏れてしまった本人へのおわびや問い合わせへの対応、原因の調査、Q1で触れた取引先への説明などを、通常の業務と並行して進めなければなりません。

^{参考：漏えい等報告・本人への通知の義務化について｜個人情報保護委員会}

攻撃者は、会社の名前や規模を見て狙いを決めているとは限りません。JPCERTコーディネーションセンター（JPCERT/CC）は「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を出しています。その中で確認されている攻撃の一つとして、攻撃者は特定の弱点だけを狙うのではなく、標的ごとにさまざまな既知の脆弱性を片っ端から調べ、隙が見つかれば悪用を試みるというものを挙げています。さらに、脆弱性だけでなく、機器の設定ミスや運用の甘さを突いて、設定ファイルやバックアップファイルを盗み出す手口も指摘されています。

また、中小企業そのものではなく、その先にいる取引先が本当の狙いということもあります。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの脅威の2位に「サプライチェーンや委託先を狙った攻撃」が入っています。その解説書では、攻撃者は強固な対策をしている標的の組織を直接は攻撃せず、サプライチェーンの中で脆弱な部分を狙って、そこを経由して標的を攻撃すると説明しています。標的よりもセキュリティが脆弱な関連会社や業務委託先を攻撃し、そこが持っている標的の秘密情報を盗み出す、といった例も挙げられています。自社に盗られて困るものがないと思っていても、大きな取引先とメールをやりとりしていたり、取引先のシステムにつなぐアカウントを持っていたりすれば、それらが狙われる理由になります。

任せていること自体は悪いことではありませんが、「何を任せているのか」を一度確認しておく必要があります。個人情報保護委員会は、漏えいの報告を分析して「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」にまとめています。この中で、脆弱性が放置された原因として次のような例が挙げられています。

業者との契約に脆弱性への対応が含まれているか、誰が対策するのかが決まっているかを確認してください。併せて、インシデント発生時の連絡体制や報告経路などをあらかじめ決めておきましょう。

先ほど触れたとおり、漏えいの「恐れ」が分かった時点から、個人情報保護委員会への報告までの目安はおおむね3〜5日です。何が漏れたのか、どこまで広がっているのか、誰に連絡するのかなどを、その数日の間に決めていかなければなりません。

しかも、実際のインシデントは、最初から大きな形でやってくるとは限りません。金曜日の夕方に「普段と違う場所からサインインがありました」という通知が届いた、取引先から「御社から変なメールが届いたのですが」と電話があった、といった小さな出来事から始まることがほとんどです。こうしたときに「とりあえず様子を見ましょう」で週末を越してしまうと、その間に被害が広がることもあります。何が起きたら誰がどう動くのかは、何も起きていない今のうちに決めておくしかありません。

もう一つ知っておいていただきたいのが、いざというときに頼れる調査会社が、すぐに見つかるとは限らないということです。漏えいが起きれば、原因や影響の範囲を調べるために、フォレンジック調査（PCやサーバーに残った記録の調査）を専門の会社に依頼することになります。ところが、漏えいが相次いでいる最近は調査会社への依頼が重なっており、当社とお付き合いのある調査会社からも「新しいお客様の依頼までは受けきれないことがある」という声が上がっています。事態が発生してから探し始めるのではなく、相談できる調査会社を平時のうちに見つけておくことをおすすめします。

一度どこかで漏れたID・パスワードは、持ち主が気づかないまま別の入口の鍵として使われ、そこから社内に入り込まれることがあります。そのため、対策の第一歩として、自社のアカウントがすでに漏れていないかを知っておくことが大切です。アカウントが流出する原因としてよくあるのが、社員が会社のメールアドレスで外部のサービスに登録し、そこで会社と同じパスワードを使い回しているケースです。その外部サービスから情報が漏れれば、会社のメールやクラウド環境にもそのまま入られてしまう恐れがあります。組織としてどれほど注意を払っていても、社員一人ひとりがどの外部サービスを利用しているかまでを完全に把握・管理することは極めて困難です。

当社にも「アカウント流出チェッカー」というサービスがあり、会社のメールアドレスのドメインをもとに、ID・パスワードが流出している件数を確認する機会を提供しています。件数が出た場合は、パスワードの変更と併せて多要素認証の設定を進めてください。ぜひ皆様も、まずは自社の状況を確かめるところから始めてみてください。

^{※ フリーメールやプロバイダーのメールアドレスは対象外となりますので、会社のドメインのメールアドレスでご利用ください。}

診断の受付が終了してから、5営業日以内に、以下のような形で当社から診断完了メールを送付いたします。

漏えいが起きると、調査や復旧の費用、取引先や顧客への補償、業務が止まっている間の売上の損失などが一度にのしかかります。ただ、「いくらかかるか」が見えていないと、対策にお金をかけるべきかどうかの判断もつきません。

サイバーセキュリティラボでは、サイバー攻撃を受けた場合の被害額を試算できる「RaDaCa（ラダカ）」を公開しています。売上や扱っている個人情報の件数、導入している対策、バックアップの状況などを入力すると、

といった項目ごとに被害額の目安が出て、結果はPDFのレポートとして保存できます。ホワイトハッカーの西尾素己氏の監修のもと、弊社所属のセキュリティエンジニアならびに監査人が、できるだけ少ない質問で実態に近い値が出せるよう、ロジックを綿密に設計しています。社内でセキュリティ対策の予算を相談する際の材料としても、ぜひ使ってみてください。 

何か起きてから相談先を探していては、初動が間に合いません。普段お付き合いのあるIT業者がどこまで対応してくれるのか、それを超えたときにどこへ連絡するのかを、今のうちに確認しておいてください。

当社でも緊急窓口を設けており、実際に事故が起きてしまい、緊急で相談したい場合はこちらからお問い合わせいただけます。少しでもおかしいと感じた時点で、早めにご相談ください。

▶ 緊急窓口はこちら

個人情報は社員や取引先の情報という形でどの会社にもあり、漏えいすれば個人情報保護委員会への報告や本人への通知に加えて、取引先への説明責任や損害賠償を求められることもあります。また、セキュリティに隙があれば企業規模を問わず標的となり、大きな取引先を攻撃するための入口として使われることもあります。

こうした状況では、「うちは被害に遭わないだろう」という前提で、侵入を防ぐ「入口対策」だけに頼るのは危険です。被害に遭うことも想定したうえで、自社のアカウントの漏えい状況を知っておくこと、想定被害額を数字で見ておくこと、いざというときの相談先を決めておくこと、そして平時に訓練しておくことが大切です。まずは本記事で紹介した3つの備えから、できるところを一つずつ着実に進めていきましょう。

弊社で作成したプロンプトを、インシデント対応の練習にぜひご利用ください。被害に遭った企業が公表している一次情報のお知らせを貼り付けるだけで、「もし自社で発生したら、どう対応すべきか」を話し合うための訓練用のスライドができあがります。出力されたスライドを使って、「もしこの事例が自分たちの会社で起きていたら、どのように対応するか」を中心に話し合ってみてください。 

使い方

^{※このプロンプトは、Claude での利用を前提に作成しています。ほかのAIでも使えますが、入力の分割が必要であったり、出力が想定と異なる場合があります。}

利用にあたっての条件