サイバーインシデント発生時の情報開示｜初報・続報・記者会見の判断と留意点
2026.7.28
サイバー攻撃の増加に伴い、プレスリリースや記者会見などでサイバー攻撃の事実や被害、対応状況を公表するケースが増加している。この際、被害公表の位置づけを誤ると、企業の危機管理にとって悪影響を及ぼすおそれがある。
また、企業のサイバーセキュリティに関する情報開示には大きく分けて有事のサイバーインシデントに関するものと平時のリスク対策状況に関するものとの2種類がある。同じ情報開示でも、意味合いや留意点は大きく異なる。
本レポートでは有事の情報開示を中心に、その意味合いや開示タイミングごとの留意点を整理する。
流れ
- サイバー攻撃の被害発生時の情報開示の意義
- インシデント発生直後と続報の際における情報開示の留意点
- オフィシャルサイト・プレスリリース・記者会見の情報開示手法の特性
- 平時におけるサイバーセキュリティ対応状況の情報開示
- サイバーインシデントに対する備えの重要性
サイバー攻撃の被害発生時の情報開示の意義
サイバー攻撃の被害公表は、被害拡大を防ぎ、信頼を維持するための重要な危機対応である。
第一に、顧客・取引先・株主・従業員などの関係者が、自らの安全確保や追加対応を取れるようにするためである。
たとえば、個人情報流出の可能性があれば、パスワード変更や不審メールへの警戒を促す必要がある。あわせて、提供サービスの停止などを顧客に案内し、混乱を避ける狙いもある。
第二に、法令・規制・契約上の報告義務を果たすためである。第三に、自社の信用維持のためである。事実を隠したまま後から発覚すると、被害そのもの以上に「隠蔽した」という印象が信頼失墜を招く。迅速で誠実な公表は、組織の危機管理能力を示す手段でもある。
なお、公表の目的は「謝罪」だけではなく、何が起き、何に注意すべきか、次にどう対応するかを社会に伝えることにある。
| 位置づけ | 目的 |
|---|---|
| 被害の公表 | サイバー攻撃被害があったことや、どのようなインシデント対応を行ったのかを、被害組織が情報発信する。 法令・ガイドラインに基づく公表のほか、法令などの定めはないものの、被害組織自身の判断で行う公表もある。後者の判断に至る事情はさまざまで、例えば、以下のようなものがある。
|
| 情報共有 | 被害組織で見つかった攻撃技術情報を中心に、非公開の方法で情報共有活動参加組織と共有し、フィードバックを得ることや、早期警戒、共助を目的とする。 未公表の個別攻撃を特定・調査するために必要なインディケータ情報や、被害予防に必要な侵入経路などのTTP※1情報を共有する。 |
| 報告 | 法令に基づき、または任意により、被害事実や対応状況について行政機関に伝えること。 |
| 連絡 | 取引先や顧客等、なんらかの利害関係者に対して攻撃被害が発生したことや、調査結果等を伝えること。個人情報漏えいなどで顧客や取引先に二次被害が発生するおそれがある場合や、調査がある程度終わり、被害内容や取引先へ影響の有無などを伝えるために行う。 |
出典 「サイバー攻撃被害に係る情報の共有・公表ガイダンス」をもとにMS＆ADインターリスク総研が作成
※1 TTP：Tactics, Techniques, and Procedures の略で、攻撃者の行動パターンや攻撃の進め方を表す用語
インシデント発生直後と続報の際における情報開示の留意点
サイバーインシデントの発生時にはインシデントレスポンス※2として、被害を受けたシステムの復旧、企業の危機管理対応、事業の復旧の3つが同時並行で進む。また、それぞれが緊密に連携することが欠かせない。
※2 インシデントレスポンス：サイバー攻撃や情報漏えい、システム障害などのインシデント発生時に行う対応のこと
① インシデント発生直後の留意点
インシデント発生直後は、検知した自組織では混乱が生じ、システム障害の原因が明確でないこともある。ランサムウェア被害の場合、攻撃者からの犯行声明や身代金要求文書（ランサムノート）が見つかれば、原因がサイバー攻撃だと断定できる。ただ、被害範囲の特定には時間を要する。
このように、サイバーインシデント時の広報対応は、通常の新製品発表やイベント告知とは異なり、情報が未確定な中で発信しなければならない点が最大の特徴である。そのため、確認済み事実と未確認事項を明確に分け、断定を避けて伝えることが重要である。
社内のIT部門やCSIRT※3 、危機管理委員会や対策本部は連携して短時間で情報を整理する。開示要否、開示目的、開示主体（単独か関係者と連名にするか）、開示範囲（開示先、開示する情報の範囲）、開示方法（開示方法は後述の第４項参照）、開示の時期（初報、続報のタイミング）といった項目を基本方針として定め、これに則って対応を進める。
※3 CSIRT：Computer Security Incident Response Teamの略。情報セキュリティインシデントに対応するための組織・チームを指す
② 続報における留意点
事故に関する調査の進展や、顧客などのステークホルダへの対応方針が定まったタイミングで適時に情報を開示する。危機時は、広報部門だけでなく、情報システム、法務、経営、外部専門家が連携し、メッセージを一本化することが欠かせない。広報におけるポジションペーパーに則り、何を開示してよいか／開示してはいけないか、問い合わせがあった場合の対応方針等を定め、情報を統制する。
お詫び文章を掲載することは重要だが、感情表現だけで終わらせてはならない。再発防止策と問い合わせ窓口を明示し、実行可能な対応を示すことが、信頼回復につながる。
オフィシャルサイト・プレスリリース・記者会見の情報開示手法の特性
情報開示に、必ず記者会見やプレスリリースが必要ということではない。状況と目的に応じて、適切な開示方法を選ぶ。
| 位置づけ | 内容 | 狙い | タイミング |
|---|---|---|---|
| オフィシャルサイト掲出 | 発生事案の説明や事案を受けた見解などを自社のオフィシャルサイトに掲載する。 |
|
「第1報」は、インシデントを検知後、速やかに掲載する。詳しい原因がまだわからなくても、事故の概要や詳細調査中であることを示す。合理的な理由なく事案発生から第一報までに時間を要した場合、隠蔽が行われていたと評価されるリスクがある。 調査が進み、新しい事実が判明したタイミングや、被害を受けたステークホルダへの対応が決まったタイミングで、その都度掲載する。 |
| プレスリリース | 記者クラブの加盟社などに配布、またはメールなどで送信する。 |
|
広範囲な被害に及び、社会的な影響が大きい可能性があると判断した段階で実施する。（個人情報が大量に漏えいしている可能性がある、等） |
| 記者会見 | 記者クラブや用意した会場で、さまざまなメディアの記者を集め、説明や質疑応答に対応する。 会社の代表者（社長や役員）が登壇・説明する。 |
経営としての責任を示し、深刻な事案に対して丁寧に説明・謝罪する。 | 重大事故・大規模被害など、社会的関心が高く、代表者の説明が必要なときに実施する。ただし、事実関係（原因や被害の全体像）がある程度判明していない状況で実施しても記者からの質問に十分答えられず、逆効果になるおそれがある。 |
平時におけるサイバーセキュリティ対応状況の情報開示
ここまで有事における情報開示を説明してきたが、より理解を深めるために、平時の段階における情報開示との違いを述べる。
平時にサイバーセキュリティへの対応状況を開示することの意義は、社会的信用を獲得し、事業の成長につなげることである。例えば、取引先や顧客から選ばれるための信頼獲得や、取引維持のためにサイバーセキュリティ管理体制の要件を満たしていることを示す目的がある。
これに加え、投資家や株主に対する公表は、自社のサイバーセキュリティガバナンスの実効性を示すことでESG投資※4につなげることを目的とする。
信用格付け会社では、サイバーセキュリティの管理体制単独で評価することはないが、ESGのうちのG：Governance（企業統治）の観点で、アナリストによる経営陣へのヒアリングや公開情報（事業計画、管理・監査体制等）に加え、外部パートナーと連携したセキュリティ診断の結果を用いるケースがある。
※4 ESG：投資先を選ぶ際に、利益だけでなくE：Environment（環境）、S：Social（社会）、G：Governance（企業統治）の3つを重視し、環境や社会への配慮、経営の健全性が高い企業を評価して投資する考え方。
サイバーインシデントに対する備えの重要性
平時から、想定されるインシデントごとの公表文案、承認フロー、問い合わせ窓口、社内連絡網を整えておく必要がある。あわせて、広報・法務・情報システム・経営層が連携できる体制を作り、誰が何を判断するかを明確にしておくことが重要である。
さらに、第一報で伝えるべき項目を整理し、定期的に訓練を行うことで、実際の発生時にも迷わず対応できる。準備の有無が、炎上の抑制と信頼維持を大きく左右する。
MS&ADインターリスク総研株式会社は、サイバーインシデント発生時の初動対応の体制整備と、サイバー攻撃によりシステムが利用停止に陥った事態を想定した事業継続計画（BCP）策定をご支援いたします。
また危機発生時において求められる、事実確認、情報共有、意思決定、対策実行、情報開示に関するトレーニングを企画し、お客さまの実践力を検証します。
サイバーBCP策定支援
ご支援範囲
作成対象文書
緊急時対応トレーニング
ご支援範囲
演習イメージ
