情報漏洩対応マニュアルの作り方｜インシデントの初動対応・報告期限・記載例を解説

情報漏洩のインシデント対応マニュアルは、漏洩やその疑いを発見したときに、誰が、何を確認し、どのように対応するかを定めた手順書です。連絡先だけでなく、被害拡大を防ぐ措置、報告・通知の判断基準、復旧の条件まで整理しておく必要があります。

個人情報保護委員会の2025年度（令和7年度）年次報告によると、民間事業者等の個人データの漏えい等事案について、17,139件の報告が処理されました。さらに、責任者への連絡体制や委員会への報告体制が適切に構築されておらず、報告が著しく遅れた事案への指導も記載されています。

こうした最新の公表内容から考えたいのは、自社で情報漏洩が疑われたとき、必要な対応をすぐに始められるかという点です。

本記事では、情報漏洩に備えるインシデント対応マニュアルの作り方を、初動対応の流れ、盛り込む項目、報告期限、具体的な記載例とともに解説します。

参考：個人情報保護委員会「令和7年度年次報告」

情報漏洩のインシデント対応マニュアルとは

情報セキュリティにおけるインシデントとは、情報の漏洩、不正利用、改ざん、システム停止など、情報やシステムの安全を脅かす事象です。

大規模なサイバー攻撃だけでなく、日常業務で起こる次のような事象も対象になります。

顧客情報を添付したメールを、別の取引先に送った
個人情報が入った書類、パソコン、USBメモリを紛失した
クラウド上のファイルを誤って外部公開した
不審なサイトに業務用アカウントの認証情報を入力した
不正アクセスやマルウェア感染が疑われる異常を発見した

インシデント対応マニュアルの役割は、こうした事象を発見した人が、迷わず報告し、必要な対応につなげられるようにすることです。

情報漏洩の防止ルールが「事故を起こさないための行動」を定めるのに対し、対応マニュアルでは「事故やその疑いを発見した後の行動」を具体化します。両方を整備することで、予防から発生後の対応までつながります。

なぜ今、情報漏洩の対応手順を整備する必要があるのか

被害が確定するまで待つと、初動が遅れる

情報漏洩が疑われても、発見時点で対象人数や流出経路が分かるとは限りません。

「本当に漏洩したのか分からない」「もう少し調べてから報告しよう」と考えている間に、不正利用が続いたり、必要な記録が失われたりするおそれがあります。

そのため、社内の報告ルールは、被害の確定を条件にしないことが大切です。「誤送信に気づいた」「意図しない共有設定を見つけた」といった段階で報告し、調査と対応を始められるようにします。

対応の遅れは、連絡体制の不備からも生まれる

前述の年次報告では、報告連絡体制の不備が報告の遅れにつながった事案も示されています。

自社でも、次のような状態がないか確認しておきましょう。

上司には報告したが、対応責任者に伝わっていない
担当者が休みで、次の連絡先が分からない
システム停止の判断者が決まっていない
外部への報告を、誰が準備するか決まっていない

マニュアルでは「報告すること」だけでなく、報告を受けた後に誰が動くかまで定める必要があります。

情報漏洩が疑われたときの初動対応の流れ

基本となる流れは、次のとおりです。ただし、被害拡大防止、調査、報告の判断は並行して進めます。全容が分かるまで、必要な連絡や措置を止めないようにしましょう。

段階	主な対応	事前に決めること
発見・社内報告	異常と発見時刻を記録し、指定窓口に連絡する	連絡先、連絡手段、不在時の代替先
被害拡大防止・証拠保全	状況に応じてアクセスを制限し、ログや記録を保全する	実施者、判断者、許可された操作
調査・影響範囲の確認	対象情報、人数、システム、業務への影響を調べる	調査担当、外部専門家への依頼基準
外部報告・本人通知	法令や契約に基づき、必要な報告・通知を行う	対象の判断者、期限、文面の承認者
復旧・業務再開	原因への対処と安全確認を行い、再開を判断する	復旧条件、優先順位、再開の承認者
再発防止・見直し	原因と対応上の問題を振り返り、手順を更新する	改善担当、実施期限、確認方法

IPAも、平時から対応体制と証拠保全を含む初動対応を定めることを示しています。

参考：IPA「インシデント発生時の緊急対応体制の整備」

情報漏洩インシデント対応マニュアルに盛り込む7つの項目

情報漏洩インシデント対応マニュアルでは、単に「問題が起きたら上司に報告する」と決めるだけでは不十分です。

実際にトラブルが発生すると、「これは情報漏洩なのか」「パソコンを止めてもよいのか」「顧客へ連絡すべきか」など、判断に迷う場面が多く発生します。

そのため、担当者の経験だけに頼らず動けるよう、次の項目を具体的に決めておくことが重要です。

情報漏洩対応マニュアルの項目①：対象とする事象と報告の基準

まず、何を発見したら報告するのかを示します。「重大な事故が発生した場合」のような表現では、発見者が重大性を判断しなければなりません。

メールの誤送信、書類の紛失、共有設定の誤り、不審なログイン通知など、従業員が気づける事象を具体的に挙げましょう。漏洩の疑いも報告対象に含めます。

情報漏洩対応マニュアルの項目②：連絡先と役割分担

発見者、受付担当、対応責任者、経営者、個人情報保護担当、システム担当などの役割を整理します。小規模な会社では兼務も可能ですが、誰が判断を引き受けるかは明確にします。

連絡先には、夜間・休日の窓口、責任者不在時の代行者、システム保守会社なども記載します。メールや社内チャットが使えない場合に備え、電話などの代替手段も用意しておくと実用的です。

情報漏洩対応マニュアルの項目③：発見者が行う初動と操作上の注意

発見者が報告する内容は、次のように整理できます。

発見日時と発見者
起きている事象と対象の端末・サービス
関係する可能性がある情報
発見後に実施した操作
現在も異常が続いているか

分からない項目は「未確認」として報告できるようにします。報告書の完成を待つ運用は避けましょう。

また、再起動、初期化、メール削除などの操作によって、調査に必要な情報が失われる場合があります。ネットワーク切断や電源操作の扱いは、想定する事象ごとにシステム担当や専門家と確認し、発見者が行ってよい操作を明記します。

情報漏洩対応マニュアルの項目④：被害拡大防止と証拠保全の手順

対象端末の隔離、アカウントの利用停止、共有リンクの無効化など、状況に応じた措置を整理します。

その際は、被害拡大を止める対応と、調査に必要な記録の保存を両立させる必要があります。「対象システムを停止する」と書くだけでなく、停止の判断者、実施者、保存するログ、作業記録の保管先まで定めましょう。

技術的な対応手順は、システム構成によって異なります。実際に運用する保守会社やセキュリティ専門家と、実施できる内容か確認することが重要です。

情報漏洩対応マニュアルの項目⑤：被害範囲の確認項目

調査では、対象情報の種類、対象人数、流出の可能性、影響を受けたシステム、業務停止や二次被害の有無などを確認します。

記録は「確認済みの事実」「可能性があること」「未確認のこと」に分けます。たとえば、「外部流出は未確認」と「外部流出はない」は意味が異なります。調査途中の情報を断定しない書き方も、マニュアルに含めておきましょう。

情報漏洩対応マニュアルの項目⑥：外部報告・本人通知・公表の判断基準

法令上の報告、本人への通知、取引先への連絡、Webサイトでの公表は、それぞれ目的と判断基準が異なります。
誰が必要性を確認し、誰が文面を作成・承認するのかを定めます。問い合わせ対応も窓口を決め、従業員が調査途中の情報を個別に発信しない運用にしましょう。
委託先で発生した場合や、自社が業務を受託している場合には、委託元・委託先との連絡手順も必要です。契約上の通知期限を確認し、法令に基づく報告とあわせて管理します。

情報漏洩対応マニュアルの項目⑦：復旧条件と再発防止の進め方

復旧手順には、原因への対処、システムやデータの確認、業務再開の判断者を記載します。「動くようになった」だけで再開せず、安全性と業務への影響を確認できる条件を設定しましょう。
再発防止策は、担当者と実施期限まで決めます。「従業員への注意喚起」で終わらせず、共有権限、確認手順、承認方法など、発生原因に対応した変更を検討します。

個人情報保護委員会への報告が必要なケースと期限

ここでは、民間事業者に適用される個人情報保護法の一般的なルールを整理します。マイナンバーを含む情報や業種固有の報告については、別途該当するルールも確認してください。

報告対象となる主な4つの類型

次のような個人データの漏えい、滅失、毀損が発生した場合、または発生したおそれがある場合は、報告対象になり得ます。

要配慮個人情報を含む場合
不正利用によって財産的被害が生じるおそれがある場合
不正の目的で行われたおそれがある場合
対象となる本人の数が1,000人を超える場合

少人数でも、ほかの類型に該当すれば報告対象になります。不正目的の類型には一定の個人情報も含まれるため、対象範囲や例外は個人情報保護担当がガイドラインに照らして確認します。

速報は概ね3〜5日以内が目安、確報は原則30日以内

区分	対応時期
速報	報告対象事態を知った後、速やかに。目安は概ね3〜5日以内
確報	報告対象事態を知った日から30日以内
不正目的の類型に該当する事態の確報	報告対象事態を知った日から60日以内
本人への通知	事態の状況に応じて速やかに

速報は、その時点で把握している内容を報告します。すべての調査が完了するまで待つ必要はありません。法人の場合、期限の起算点は、いずれかの部署が報告対象事態を知った時点が基準となります。

報告対象となる場合は、原則として本人への通知も必要です。本人通知の時期を確報の期限と混同せず、別に管理しましょう。

マニュアルには、期限の計算方法、報告先、提出担当、承認者を記載します。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、「個人情報保護法ガイドライン（通則編）」

情報漏洩インシデント対応マニュアルの作り方 5つのステップ

情報漏洩対応マニュアルの作り方①：自社の情報と業務から想定する事故を洗い出す

顧客情報、従業員情報、契約書などが、どの業務で使われ、どこに保存され、誰に渡されるかを確認します。

メール、紙の書類、クラウド、外出先での端末利用、委託先との受け渡しなど、実際の情報の流れに沿って考えると、自社で起こり得る事象を整理しやすくなります。

情報漏洩対応マニュアルの作り方②：現在の対応を聞き取り、判断基準を整理する

担当者に「何をするか」だけでなく、「どの状況で、何を根拠に判断するか」を聞き取ります。

たとえば、共有設定の誤りを発見したとき、公開範囲を誰が確認するのか、どの情報が含まれていたら経営者へ報告するのか、判断者が不在なら誰が代行するのかを確認します。

こうした判断を言葉にすることで、経験のある担当者に依存していた対応を、組織の手順にできます。

情報漏洩対応マニュアルの作り方③：共通の対応フローと事象別の手順を作る

連絡体制、記録方法、外部報告の確認などは共通化します。そのうえで、メール誤送信、書類紛失、クラウドの誤公開、不正アクセスなど、事象ごとの対応を作成します。

一つの手順ですべてを扱おうとすると、発見者が必要な操作を選びにくくなります。共通ルールから、該当する事象の手順へ進める構成にしましょう。

情報漏洩対応マニュアルの作り方④：初動の要点と記録様式を用意する

全従業員が最初に見るページには、報告対象、連絡先、最初に伝える内容、操作上の注意をまとめます。詳細な調査手順は、対応担当者向けに整理します。

あわせて、第一報の様式、対応の時系列記録、判断事項の記録欄を用意すると、連絡と記録を進めやすくなります。

情報漏洩対応マニュアルの作り方⑤：訓練で確かめ、修正して公開する

「休日に書類紛失が判明した」「社内チャットが使えない」といった条件で、連絡から判断までを机上で確認します。

訓練では、連絡先に到達できるか、次の担当者が動けるか、判断が止まる箇所がないかを見ます。修正後は承認者、改訂日、次回の見直し時期を明記し、必要な人が参照できる場所に公開しましょう。

マニュアルの記載例メール誤送信を発見した場合

以下は社内手順の構成例です。窓口名や権限、操作内容は、自社の体制と利用システムに合わせて具体化してください。

項目	記載例
報告の条件	宛先、添付ファイル、本文の誤りによって、社外へ情報を誤送信した、またはその疑いがある場合
発見者の行動	指定の事故受付窓口へ直ちに連絡する。連絡がつかない場合は代替窓口へ連絡する
第一報の内容	送信日時、宛先、情報の種類、対象人数、発見経緯、実施済みの操作。不明点は未確認と伝える
記録の保全	対象メールと送信記録を削除せず、指定の方法で保全する。個人情報を不要に転送しない
拡大防止	対応責任者の指示で共有リンクの停止等を行う。誤送信先への連絡内容と担当者を決める
判断・確認	個人情報保護担当が報告・通知の要否を確認し、必要な対応と期限を管理する
完了の確認	拡大防止措置、必要な報告・通知、記録保存、再発防止策の担当と期限を確認する

送信取消機能を使ったことや、誤送信先に削除を依頼したことだけで、対応を完了させないようにします。実際にどの措置ができたのかを確認し、残るリスクを判断する手順が必要です。

情報漏洩マニュアル作成後に確認したい運用チェックリスト

漏洩が確定していなくても報告できる
夜間・休日、担当者不在時の連絡先が分かる
社内メールやチャットが停止しても手順を参照できる
発見者が行ってよい操作と、避ける操作が分かる
システム停止と業務再開の判断者が決まっている
委託元・委託先との連絡手順がある
外部報告と本人通知の期限を管理できる
確認済みの事実と未確認の情報を分けて記録できる
訓練や組織・システム変更後に見直す担当者がいる

マニュアルの完成は、文書ができたかだけでは判断できません。発見者が最初の行動を取れ、その後の担当者へ対応がつながるかを確認することが大切です。

情報漏洩のインシデント対応マニュアルに関するよくある質問

小規模な会社でも対応マニュアルは必要ですか

顧客情報や従業員情報、取引先の機密情報を扱う会社では、規模に合わせた手順の整備が重要です。まずは報告窓口、代行者、初動対応、外部への相談先を決めるところから始められます。

IPAの資料をそのまま社内マニュアルにできますか

IPAの手引きは、対応の全体像を整理する参考になります。ただし、自社の連絡先、役割、利用システム、委託先との契約などを反映して、実際に動ける手順にする必要があります。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」

情報漏洩はすべて公表する必要がありますか

法令上の報告・本人通知と、Webサイト等での公表は区別して判断します。被害の内容や二次被害防止の必要性などを踏まえ、公表の要否、時期、内容を検討します。Webサイトに掲載しただけで、本人通知を含む必要な対応がすべて済むとは限りません。

情報漏洩インシデント対応マニュアルは「もしも」に備える経営課題

個人情報漏えいの報告件数が高止まりし、国内外で情報漏洩・サイバー攻撃の事例が相次ぐ今、情報漏洩のインシデント対応マニュアルの整備は、情報システム部門だけの課題ではなく、経営課題として位置づける必要があります。「起きてから考える」のではなく、平時のうちに対応手順を明文化し、訓練を重ねておくことが、いざというときの被害を最小限に抑える最も確実な備えです。

株式会社mayclassは、業務の可視化と暗黙知の抽出を通じて、緊急時にも機能する実践的なマニュアルづくりを支援してきました。情報漏洩やサイバー攻撃に備えたインシデント対応マニュアルの整備にご関心をお持ちの方は、ぜひ一度ご相談ください。支援実績の詳細はmayclassの支援事例集をご覧ください。また、サービス内容や費用感についてはお問い合わせページよりお気軽にご連絡ください。

防災マニュアルとは？作り方・テンプレート・整備のポイントまで徹底解説

カスハラ対応マニュアルの作り方｜2026年10月義務化に向けた企業対応と整備ポイント