情報漏洩が相次ぐ今、小さな会社は何をすべきか?原因と初動対応の手順

ここ数週間、国内で大規模な情報漏洩の公表が相次いでいます。通販、会員サービス、カラオケ、鉄道、旅行、物流、大学など、業種はさまざまです。「大きな会社の話」と感じるかもしれませんが、お客様の名前や連絡先を預かっているのは、小さな会社や個人事業主も同じです。この記事では、なぜ情報漏洩は起きてしまうのか、自社でできる備え、そして万一のときの初動対応を整理します。

いま、何が起きているのか

報道や各社の公表によると、2026年9〜10月には、次のような事案が伝えられています。数字は「最大」や「おそれ」を含み、実際に流出が確認された件数とは分けて見る必要があります。

ブックオフグループが、子会社の会員管理システムへの不正アクセスで、最大約643万件(会員番号の件数)が対象になったと公表。
第一興商が、委託先のパソコンのマルウェア感染が原因で、顧客と従業員あわせて約872.4万件の漏洩のおそれがあると公表。
JR東日本が、委託先経由でクラウドサービスへのランサムウェア(データを人質にする攻撃)を受けたと報じられています。

NHKは、相次ぐ流出について、AIが悪用されている可能性を指摘する声があると伝えています。ただし、個々の事案の原因は、それぞれの会社の公式発表をご確認ください。

なぜ情報漏洩は起きてしまうのか

上の事例だけでも、原因は一つではありません。小さな会社に当てはまりやすいものを、4つに分けて整理します。

委託先や取引先が入り口になる:自社が気をつけていても、システムの運用や事務を任せている先で感染や不正アクセスが起きると、預けた情報が漏れることがあります。
パスワードの使い回しや、古い設定のまま:同じパスワードを複数のサービスで使う、退職した人のアカウントが残っている、更新していない機器を使い続ける、といった状態です。
だまされる(偽メール・偽サイト):本物そっくりのメールからパスワードを入力させる手口です。文面が自然になるほど、見分けにくくなります。
うっかりミスと「誰も全体を見ていない」状態:宛先の間違い、共有設定のミス、私物のパソコンやスマホでの持ち出しなどです。誰がどの情報を持っているか分からないと、気づくのも遅れます。

共通しているのは、「個人の注意力」に頼っていて、仕組みになっていないことです。「気をつけます」だけでは、回り続けません。

小さな会社が、今日からできる備え

預かっている情報を書き出す:顧客名簿、請求書、問い合わせ履歴など、「何を」「どこに」「誰が」持っているかを1枚にまとめます。
必要のない情報は持たない:使わなくなった名簿やデータは、決まりに沿って消します。持っていなければ、漏れません。
パスワードと認証を見直す:使い回しをやめ、可能なサービスでは2段階認証を使います。退職や契約終了のときに、アカウントを止める手順も決めます。
委託先を確認する:どの業者に、どの情報を預けているかを把握し、何かあったときの連絡先を確認します。
AIに入力してよい情報を決める:お客様の個人情報や取引先の資料を、AIに貼り付けてよいかどうかを、会社として先に決めます。

万一、漏洩が分かったときの初動対応

慌てて動くと、被害が広がったり、記録が失われたりします。まずは次の順番で考えます。

1. 被害を広げない:疑わしい端末をネットワークから切り離す、パスワードを変える、など。ただし、調査のために、勝手に電源を落としたり初期化したりしないようにします。
2. 事実を記録する:いつ、何に気づいたか、何を操作したかを、時刻つきで書き残します。
3. 影響を確認する:どんな情報が、何件ぐらい、誰のものかを確認します。分からない点は、「分からない」と整理します。
4. 報告と連絡を検討する:個人情報の漏洩では、個人情報保護委員会への報告や、本人への連絡が必要になる場合があります。解説記事では、速報はおおむね数日以内、確報は30日程度とされていますが、事案の種類によって異なります。報告の要否や期限は、個人情報保護委員会の公式の案内で確認し、必要に応じて専門家にご相談ください。
5. 原因を直して、仕組みに戻す:再発防止の手順を、チェックリストとして残します。

なお、個人事業主でも、個人情報を取り扱っていれば、報告の対象になり得ると解説されています。事業の規模で決まるわけではない点は、押さえておきたいところです。

AIで「初動対応チェックリスト」を作る

決まりがないと、いざというときに動けません。AIに、自社用のたたき台を作ってもらいましょう。ここには、実際のお客様の情報は入れず、会社の状況だけを書きます。出てきた内容は、そのまま使わず、必ず人が確認してください。

そのままコピペで使えるプロンプト例

あなたは、小さな会社の情報管理を支援するアドバイザーです。次の会社の状況をもとに、「情報漏洩が疑われたときの初動対応チェックリスト」のたたき台を作ってください。出力の形: 1. 最初の1時間にやること(番号つき、1項目1行) 2. 当日中にやること 3. 1週間以内にやること 4. 各項目の担当者(私の会社の役割名で。決まっていなければ「要決定」) 5. 法律や報告の期限に関わる項目は「公式の案内で要確認」と書く条件: ・法律の判断や、報告の要否を断定しない・私が書いていない事実や数字は作らない・専門家に相談したほうがよい場面を、最後に挙げる【会社の状況】従業員数: [例:5名] 預かっている情報: [例:顧客の氏名・住所・電話番号(件数は書かない)] 使っているシステム: [例:クラウドの顧客管理、メール、会計ソフト] 委託している先: [例:ホームページ制作会社、経理の外部委託]

まとめ

情報漏洩は、大きな会社だけの問題ではありません。原因は、委託先、パスワード、だまし、うっかりミスと、小さな会社にも身近なところにあります。大切なのは、「預かっている情報を把握する」「必要のない情報は持たない」「万一の初動を先に決めておく」という、仕組みづくりです。「何から手をつければよいか分からない」という方は、OPSIDEの無料相談で、お気軽にご相談ください。