フォレンジック調査とは、不正アクセスの侵入原因と被害の範囲を、専門の調査会社がログなどの記録から突き止める調査のことです。委員会の連絡会は、この調査がうまくいくかは、平時の備えと最初の対応でほぼ決まるとして、準備と注意点をまとめています。令和8年改正の漏えい等報告・本人通知の見直しとあわせて、先に整えておく社内の手順として整理します。
1. 平時の備え3つ
資料は、平時から備えておくとよい事項として次の3つを挙げています。
- 情報資産の把握: サーバやパソコン、個人データが入っているものを一覧（情報資産管理台帳）にして、ネットワーク機器（VPN装置やルータ）も漏らさず入れる。簡単なネットワーク構成図でも、被害の範囲を絞るのに役立つとされています。
- ログの保管: 調査に必要なログ（機器やサービスの操作・通信の記録）は、少なくとも1年程度保管することが望ましいとされています。ただし、法令で保管が認められる期間を超えて保管することをすすめるものではない、という注記があります。通信履歴は通信の秘密との関係で、特に慎重な扱いが求められます。
- 対応フローの整理: 不正アクセスに気づいたときの連絡先（責任者や担当部署）を決めておく。情報システムの部署とは別に個人情報保護の担当部署がある場合は、そちらにも早く伝えて、漏えい等報告が要るかを早く判断できるようにする。
2. 発生したときの初動
被害が広がるのを防ぐため、影響が及んだおそれのある機器は、速やかにネットワークから切り離すこと（ネットワーク隔離）が必要とされています。ランサムウェア（データを暗号化して金銭を要求する不正プログラム）のように今まさに進行している事案では、早く調査会社や専門機関に相談することも求められています。
あとで原因を調べるために、調査を予定している機器の扱いには次の区別があります。
| 区分 | 措置 |
|---|---|
| 実施してもよい | ネットワーク隔離（有線・無線の接続を切る） |
| 実施してはいけない | 電源を切る・再起動する／ウイルススキャンをかける／初期化やソフトウェアの更新をする |
資料は、初期対応を誤るとログが消えて原因の特定や復旧に悪い影響が出るおそれがあるとしています。機器の保守を別の組織に任せている場合は、その委託先と連携しながら慎重に対応するよう求めています。
3. 連絡と報告の順序
資料は、外部への連絡先として次を挙げています。
- 警察: 速やかに通報・相談することが望ましい。
- 調査会社・専門機関: 自社で対応が難しいときや相談したいときは、速やかに連絡することが望ましい。
- 個人情報保護委員会への漏えい等報告（速報）: 報告対象事態を知った後、速やかに（おおむね3〜5日以内）行う必要がある。
- 本人への通知: 状況に応じて速やかに行う必要がある。
また、ランサムウェア事案とDDoS攻撃事案については、令和7年10月1日から、政府の共通様式を添えて官公署へ報告できる運用が始まっています（関係省庁の申合せ）。報告・通知の見直しの内容は漏えい等報告・本人通知の緩和で確認できます。
4. 調査会社への依頼と調査の進み方
調査会社が提供するサービスは目的が違います。資料は次の4つに分けています。
- 封じ込め対応: 被害の拡大を防ぐ。
- フォレンジック調査: 侵入原因と被害範囲を特定する。
- ダークウェブモニタリング: 自社が扱う機密情報が、ダークウェブ（専用のブラウザでないと見られないウェブ）に流れていないかを監視する。
- ぜい弱性診断（広義）: 不正アクセスの発生を前提とせず、システムの弱点を見つけて評価する。
封じ込めまで頼みたいときは、あらかじめ調査会社にそう伝えておく必要があるとされています。調査会社を選ぶ手がかりとして、資料は、IPA（情報処理推進機構）が公開している「情報セキュリティサービス基準適合サービスリスト」を挙げています。この中にはデジタルフォレンジックのサービスも含まれます。
調査は一般に、証拠保全、予備調査、フォレンジック調査、報告の順に進み、報告書を受け取るまでに1か月以上かかる例が多いとされています。調査会社に頼む可能性があるなら、早めに相談するよう資料はすすめています。
発覚からの流れと、調査会社の作業の対応
漏えい等の報告期限と、調査会社の作業を並べると次のようになります。報告期限は施行規則第8条、速報の目安は資料の記載です。調査にかかる日数は事案で違うため、表の行は日数ではなく順序を示します。
| 段階 | 自社で行うこと | 調査会社の作業 | 報告との関係 |
|---|---|---|---|
| 発覚直後 | 影響が及んだおそれのある機器のネットワーク隔離。電源断・再起動・初期化はしない | 必要なら早めに相談。封じ込めまで頼むときは、その旨を伝えておく | 報告対象事態に当たるかの判断を始める（施行規則第7条の4つの事態） |
| 速報 | 報告時点で把握している事項を、委員会へ電子的な方法で報告 | 証拠保全（ログや機器のデータのコピー）が中心 | 報告対象事態を知った後、速やかに。資料は概ね3〜5日以内としている |
| 調査中 | 警察への通報・相談。本人への通知の準備 | 予備調査、フォレンジック調査で侵入原因と被害範囲を特定 | 本人への通知は、状況に応じて速やかに |
| 確報 | 原因、二次被害のおそれ、再発防止策を含む9項目を報告 | 調査報告書の作成。受領まで1か月以上かかる例が多い | 事態を知った日から30日以内（不正の目的による事態は60日以内） |
確報の期限（30日以内）と調査報告書の受領は、前後することがあります。報告書を待たずに確報を出すか、期限をどう扱うかは、委員会の窓口や専門家にご確認ください。報告の様式や記載事項の詳細は漏えい等報告・本人通知の緩和にあります。
5. 調査報告書に盛り込むことが推奨される事項
| 区分 | 項目 |
|---|---|
| 調査の前提 | 調査対象・範囲／調査範囲を決めた根拠／ログの範囲 |
| 調査の結果 | 調査結果の概要／不正アクセスの概要／初期侵入の詳細／被害拡大の詳細／情報漏えいの詳細 |
| 再発防止 | 再発防止に関する事項 |
項目の分け方や書式は問わない、と資料に書かれています。保全したデータについては、コピーと元のデータが同じだと示すために、ハッシュ値（データから計算される固有の文字列）を2種類取って報告書に記載することが望ましいとされています。
6. 参考: 不正アクセスの原因の内訳
資料は、委員会が令和6年度に民間事業者へ行った指導・助言のうち、不正アクセスが原因だった198件を原因別に数えています。
| 原因 | 件数 |
|---|---|
| ソフトウェアのぜい弱性 | 84 |
| アクセス制御の設定ミス | 77 |
| ID・パスワードのぜい弱性 | 68 |
1件で複数の原因に当たる場合は、それぞれに数えているため、合計は198件を超えます。主なものだけを載せた表です。
よくある質問
不正アクセスに気づいたら、まず何をすればよいですか
資料は、影響が及んだおそれのある機器を速やかにネットワークから切り離すこと（ネットワーク隔離）を求めています。電源を切る、再起動する、ウイルススキャンをかける、初期化やソフトウェアの更新をすることは、ログが消えて原因の特定に悪い影響が出るおそれがあるため、してはいけないとされています。連絡先や報告の順序は3. 連絡と報告の順序にあります。
ログはどのくらいの期間、保管しておくべきですか
資料は、調査に必要なログを少なくとも1年程度保管することが望ましいとしています。一方で、法令で保管が認められる期間を超えて保管することをすすめるものではないという注記があり、通信履歴は通信の秘密との関係で慎重な扱いが求められます。自社の保管期間をどう定めるかは、顧問弁護士または個人情報保護委員会にご確認ください。
フォレンジック調査の報告書は、どのくらいで受け取れますか
調査は一般に、証拠保全、予備調査、フォレンジック調査、報告の順に進み、報告書を受け取るまでに1か月以上かかる例が多いとされています。個人情報保護委員会への速報は、報告対象事態を知った後、速やかに（おおむね3〜5日以内）行う必要があるため、報告書を待たずに動く点に注意が必要です。漏えい等報告・本人通知の見直しは漏えい等報告・本人通知の緩和で確認できます。
調査会社はどう選べばよいですか
資料は、選ぶ手がかりとして、IPA（情報処理推進機構）が公開している「情報セキュリティサービス基準適合サービスリスト」を挙げています。この中にはデジタルフォレンジックのサービスも含まれます。封じ込めまで頼みたいときは、あらかじめ調査会社に伝えておく必要があるとされています。事前の備えの整理は安全管理措置ガイドラインの見直し案にあります。
出典
- S-54個人情報保護法サイバーセキュリティ連絡会「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」（令和8年1月16日・PDF）（確認日 2026-10-06）
- S-131e-Gov「個人情報の保護に関する法律施行規則」第7条・第8条（確認日 2026-10-19）