企業が顧客情報や従業員情報を大手のサーバー会社やクラウドサービスに預けることは、今や珍しいことではありません。
2026 年には、GMO インターネットの「お名前.com デスクトップクラウド」、さくらインターネットの「さくらのレンタルサーバ」、IDC フロンティアの「IDCF クラウド」などで、不正アクセスやランサムウェア攻撃による事故が公表されています。
事案によって、情報の外部持ち出し、閲覧の可能性、システム停止やデータの暗号化など、影響の内容は異なります。
では、そのようなサーバー会社でシステム障害や不正アクセスが発生し、情報漏えいの可能性があると連絡を受けたら、どのように対処するのか。
あらかじめ手順を整えておく必要があります。
実際ある企業が利用しているサーバー会社で事故が発生し、「調査中」との連絡がありました。
自社が保有する個人情報にも影響があるかもしれません。
今の段階で個人情報保護委員会への報告や、本人への通知は必要になるのでしょうか？
原因となった事故は、データを預かるサーバー会社で発生しています。
しかし、そのデータを利用している企業にも、顧客や取引先への対応、法令に基づく報告・通知などが必要になる場合があります。
さらに企業を戸惑わせたのは、サーバー会社から「現在調査中です」と言われている段階です。
システム障害だけなのか、情報漏えいがあったのか、漏えいのおそれがあるのか、自社のデータに影響があるのか分からない。
同じサーバー会社を利用する大手企業が早々に公表する一方で、自社として何を確認し、誰が判断し、どう動くのかが決まっていなければ、初動が遅れてしまいます。
データを預けることと、事故への対応まで預けることは違います。
平時に準備しておきたいことを挙げます。
• 保有データの把握: どのサーバーやクラウドに、どのような個人情報・会社情報を預けているか把握する。
• 委託先との連絡体制: 事故発生時の連絡先、報告内容、調査状況の確認方法を把握する。
• 社内の報告体制: 事故の連絡を受けた社員が、誰に、どのように報告するかフローチャートを作成する。
• 判断基準の整備: 情報漏えいの事実が確定していない段階でも、何を確認し、どのような条件で報告・本人通
知が必要となるか、その判断基準を策定する。
• 初動対応の準備: 被害拡大の防止、顧客等への連絡、事業継続や復旧に向けた対応手順を策定する。
• 訓練と見直し: 決めた手順が実際に機能するか、担当者が判断・行動できるか、情報漏えいを想定した訓練で
確認する。
個人情報を預けている会社の規模や知名度だけで、安全性を判断することはできません。
また、事故の原因が委託先にあったとしても、自社の対応が不要になるわけではありません。
事故が起きてから対応方法を考えるのではなく、平時から判断基準と行動手順を整えておきましょう。
日頃より、出来ないこと、準備していないことは、いざという時もおそらく出来ない!