データが戻るかどうかだけの問題ではない
業務で使っているNASやサーバー、業務用PCが故障した、あるいはランサムウェアに感染した——このとき最初に頭に浮かぶのは「データが戻るか」です。
しかし、そこに個人データが含まれていた場合、並行して動く義務があります。
個人情報保護法では、個人データの漏えい・滅失・毀損が発生し、個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人への通知が義務とされています（令和4年4月1日から）。
復旧作業には時間がかかりますが、報告の期限は待ってくれません。 この2つを並行して進める必要があります。
報告が必要になる4つの類型
個人情報保護委員会は、報告義務が生じる事態として次の類型を示しています。
1. 要配慮個人情報が含まれる事態
2. 財産的被害が生じるおそれがある事態
3. 不正の目的をもって行われた漏えい等が発生した事態
4. 1,000人を超える漏えい等が発生した事態
3番目に注意してください。 ランサムウェア感染による漏えいは、この類型に該当しうるものです。「データが暗号化されただけで、外部に持ち出された証拠はない」という状況でも、報告の要否を検討する必要があります。
近年のランサムウェアは、暗号化する前にデータを窃取して「公開する」と脅す手口（二重の脅迫）が確認されています。暗号化されたという事実は、持ち出されていないことの証明にはなりません。
ランサムウェア被害時の初動はファイルが暗号化されて開けないにまとめています。
期限は2段階
報告は速報と確報の2段階です。
| 区分 | 期限 |
|---|---|
| 速報 | 速やかに（おおむね3〜5日以内） |
| 確報 | 原則30日以内。ただし不正の目的をもって行われたおそれがある場合は60日以内 |
速報の段階では、把握できている範囲で構いません。 全容が判明してから報告するのではなく、まず速やかに一報を入れ、調査結果を確報でまとめる、という組み立てです。
「調査中だから報告できない」ではなく「調査中であることを報告する」と考えてください。復旧作業が長引いても、速報の期限は動きません。
本人への通知も、状況に応じて速やかに行う必要があります。概要・漏えいした個人データの項目・原因などを、本人に分かりやすい方法で伝えます。
復旧作業との兼ね合い
ここで実務上の緊張が生じます。復旧を優先すると、調査に必要な証跡が失われることがあります。
- 感染端末の電源を落とすと、メモリ上の情報が消える
- ドライブを初期化して再構築すると、侵入経路の手がかりが消える
- ログが上書きされると、いつ何が起きたか分からなくなる
「何が漏れたか」を説明できなければ、報告の内容も本人への通知も曖昧になります。
法人の環境で被害が発生した場合、復旧業者に依頼する前に、証跡の保全について確認してください。 データ復旧と、侵入経路や漏えい範囲を調べる調査（フォレンジック）は別の作業です。両方が必要な場合、順番と分担を決めてから着手する必要があります。
復旧業者に相談する際に伝えるべき情報は復旧業者に伝えるべきことにまとめています。法人案件であること、個人データが含まれること、証跡の保全が必要かどうかを、最初に伝えてください。
相談先
- 個人情報保護委員会：漏えい等報告の窓口と、対応の手引きが公開されています
- IPA（情報処理推進機構）：情報セキュリティ安心相談窓口
- 警察：都道府県警察のサイバー犯罪相談窓口。不正アクセスやランサムウェアは犯罪被害です
業種によっては、監督官庁への報告や、取引先との契約上の通知義務が別途生じます。 金融、医療、電気通信などは特に確認が必要です。
起きる前にできること
バックアップがオフラインで保管されているかどうかが、被害の大きさをそのまま決めます。IPAは、バックアップデータも暗号化される事例が多数確認されているとして、ネットワークから切り離した保存を推奨しています（バックアップは「取っているつもり」が一番危ない）。
RAIDは可用性のための仕組みであり、この文脈では守りになりません。 RAID構成のNASも暗号化されます（バックアップとRAIDの違い、RAID6と業務継続）。
そして、誰がどの手順で動くかを決めておくことが、期限の短さへの唯一の備えです。 3〜5日という速報の目安は、体制が決まっていない組織にとっては非常に短い時間です。
よくある質問
# Q. 小規模な事業者でも報告義務がありますか？
事業者の規模による除外はありません。 個人情報を取り扱う事業者が対象です。
# Q. 暗号化されていたので中身は見られていないはずです。報告は不要ですか？
暗号化は漏えいしていないことの証明にはなりません。 高度な暗号化により第三者が閲覧できない状態であれば報告を要しないとされる場合がありますが、これは自社の暗号化が有効に機能している場合の話です。攻撃者が暗号化した場合とは別問題です。 判断は専門家と個人情報保護委員会の公表資料に沿って行ってください。
# Q. データ復旧業者にデータを渡すこと自体は問題ありませんか？
委託先の監督という論点になります。 秘密保持契約、作業範囲、データの取り扱いと消去について、事前に書面で確認してください。
# Q. 個人データが含まれていたか分かりません。
まずそれを確認することが最初の作業です。 分からないまま時間が経つのが最も不利になります。バックアップや台帳から、対象データの内容を確認してください。
