.png)
情報漏えいの報告が遅れる理由｜「怒られるのが怖い」を減らす初動対応
「この案件、よくまとめてくれたね。次も任せたい」
朝、上司にそう言われたばかりだった。
やっと、自分の仕事が認められた気がした。
午後、取引先へ送った共有リンクを見直して、手が止まった。
公開してよい提案資料だけでなく、社内用の価格比較表まで入っている。
共有を止めた。けれど、相手がもう見たかどうかは分からない。
隣の同僚に小声で話すと、返ってきた。
「止めたなら、もういいんじゃない？ 今言ったら、また全部確認し直しになるよ」
上司への連絡文を書きかけて、消した。
この前、別のミスをした人は、会議で経緯を長く説明させられていた。
「せっかく任せたのに」と言われるだろうか。今度の担当も、なくなるだろうか。
相手から何も連絡が来なければ、大丈夫かもしれない。時計だけが進んでいた。
※人物・会話・心理は架空です。後述するIPAの企業事例の再現や、著者の実体験ではありません。画像もAIで制作した架空の場面です。
ミスの後に、もう一つの判断がある
誤送信や共有範囲の設定ミスを、完全になくすことは簡単ではありません。
でも、気づいた後に、誰へ何を伝えるかは準備できます。
「漏えいしたと確定してから」
「自分で直し切ってから」
「上司に聞かれたら」
そうして連絡を待つ間、相手が何を見られたか、別の人へ渡ったか、同じ設定が他にも残っていないかを、会社として確かめる機会が遅れます。
設定を直したことと、影響を確認できたことは、同じではありません。
この記事では、中小企業の経営者や兼務のIT担当者に向けて、ミスに気づいた本人が早く報告できる条件と、最初に報告を受ける側の対応を整理します。
IPAの事例でも、報告しづらさが初動の課題だった
IPA（独立行政法人 情報処理推進機構）の「プラクティス・ナビ」は、標的型攻撃メールのURLを開いたり、添付ファイルを開封したりした際に、セキュリティ部門への連絡が速やかに行われない問題を抱えた製造業i社の取り組みを紹介しています。[1]
同社では、以前の対応で関係者が厳しく叱責された、という事実と異なる噂が流れたことも記載されています。[1]
取り組みでは、訓練での開封率だけでなく報告率を確認し、報告が少ない・遅い場合に原因を調べてフォローすることなどが挙げられています。また、報告したことを前向きに受け止める風土を目指しています。[1]
従業員約1,000人の企業の事例であり、小さな会社に同じ体制を求めるものではありません。参考になるのは、ミスをしなかったかだけでなく、気づいた後に伝えられたかを見ていることです。
「怒られない保証」がなくても、受け止め方は変えられる
会社が「何をしても責任を問わない」と約束するのは、現実的ではありません。
故意の行為や、確認が必要な事情もあります。
それでも、最初の一言を変えることはできます。
「知らせてくれてありがとう。 まず、どの情報が、どこまで見られた可能性があるかを一緒に確認しましょう」
その場で皆の前に呼び出したり、「また、あなたか！」と言ったりすれば、本人だけでなく、聞いていた周囲にも「次は言いづらい」と感じさせるかもしれません。
最初は被害を止めるための事実を聞く。
原因の確認や指導、責任の判断は、必要な情報をそろえて別に進める。
早く知らせた行動を受け止めることと、その後に行為を確認することは、両立できます。
最初の報告は、分かっている四つからでよい
IPAの「中小企業のためのセキュリティインシデント対応の手引き」は、疑わしい兆候や発生を見つけた際の報告、認知した日時、発生事象、対応経過などの整理を示しています。[2]
社員向けには、まず次の四つを伝える形にすると、連絡を始めやすくなります。
これは本稿による簡略化した報告例です。
伝えること | 冒頭の架空例なら |
いつ気づいたか | 今日14時ごろ、送った共有リンクを見直して気づいた |
何が起きた可能性があるか | 取引先へ送ったフォルダに、社内用の価格比較表が含まれていた |
どこまで分かっているか | 送信先は一社。閲覧や保存の有無はまだ分からない |
すでに何をしたか | 14時5分に共有を停止した。送信履歴と対象フォルダは残っている |
分からない欄は「未確認」と伝えます。
本人に、漏えいの有無や責任まで結論を出させる必要はありません。
「共有範囲を誤った可能性があります。 共有は止めましたが、閲覧されたかは未確認です。今から確認をお願いできますか」
この第一報の後で、担当者が必要な情報を追加していきます。
止める操作と、隠すための操作を分ける
事前に決めた手順と本人の権限で、誤った共有を安全に止められるなら、停止と報告を速やかに進めます。「連絡文を整えるまで、公開したまま待つ」必要はありません。
一方、ファイルを片端から消す、送信履歴を削除する、端末を初期化するといった操作は、会社が何が起きたかを調べる記録まで失わせる可能性があります。
IPAの手引きも、被害拡大を防ぐ初動対応とともに、不用意な操作で記録を消さないことや、証拠の保全を示しています。[2]
特に、共有リンクを止めても、すでに保存されたコピーまで消せるとは限りません。
自分で「これで終わり」と判断せず、停止した時刻と操作内容も報告します。
不審なメールや端末の異常など、状況によって必要な操作は異なります。
共有ミスの手順を、感染が疑われる端末にも一律に使うのではなく、社内で定めた連絡先と初動手順へつなぎます。
不正のトライアングルは、最初のミスの判定に使わない
誤操作や勘違いを、そのまま故意の不正と呼ぶことはできません。
一方、冒頭の人物が事実を知った後、発覚を避けるために意図的に履歴を消したり、虚偽の説明をしたりする場面なら、背景を三要素で考えることはできます。[3]
動機・圧力：上司の期待を裏切りたくない。評価や担当を失いたくない。
機会：本人だけで設定を変えられ、他の人が確認する前に記録を消せる。
正当化：もう止めたから実害はない。今言う方が会社に迷惑をかける。
この整理で、本人の犯罪性を判定するわけではありません。
報告をためらったこと、故意の隠蔽、単なる記憶違いなどを一緒にせず、実際の経緯を確かめます。[3]
対策として考えたいのは、ミスが起きた後、隠す以外の選択肢を取りやすくすることです。
会社が先に決めたい三つ
1. 上司が不在でも、第一報を出せるようにする
上司の会議が終わるまで待つ、翌営業日まで誰も読まない窓口しかない。
その間も、情報へのアクセスが続くかもしれません。
通常の連絡先、連絡がつかない場合の代替先、対応できる時間帯を決めます。
勤務時間外の対応が必要な業務なら、会社として担当と連絡体制を用意します。
「何かあれば個人の善意で対応」にしないようにします。
2. 「とりあえず様子を見る」を、担当者だけで決めない
第一報を受けた人は、対象情報、共有先、現在も続く可能性、実施済みの操作を確認し、対応する責任者へつなぎます。
取引先への連絡、公的機関への報告等が必要かは、情報の種類や状況、契約・法令に応じて、会社の責任者が必要な専門家と判断します。
ミスに気づいた本人だけに、対外連絡の要否まで背負わせてはいけません。
3. 早く報告した人が、見せしめになる運用を変える
再発防止のために事例を共有する場合も、必要のない氏名や、個人を責める説明を広めないようにします。
どの画面で間違えやすかったか、確認がどこで止まったかを整理します。
「注意してください」で終わらせず、フォルダの分け方、共有範囲の初期設定、作業量、確認のタイミングを見直す。
本人に改善を全部任せず、会社で変える箇所を決めます。
訓練では「伝えられたか」も確かめる
標的型メール訓練なら、開いた人の数だけでなく、開いた後に報告できたかを見る。
共有ミスなら、実際のデータを使わない練習で、気づいてから連絡先を見つけるまでを試す方法があります。
報告が少ないときは、意識が低いと決める前に、理由を聞きます。
連絡先を知らなかった。
何を伝えればよいか分からなかった。
上司に先に言わなければいけないと思った。
以前の対応の噂が気になった。
原因が違えば、必要な改善も変わります。
開封率と報告率を分けて見るIPAの企業事例も、その参考になります。[1]
今週は、最初の一言を練習する
次の架空の場面を、担当者と上司で一度試してみてください。
「取引先へ送った共有リンクに、社内用の資料が含まれていたかもしれない。相手が見たかは分からない」
本人役は、分かっている四項目を伝える。
受ける側は、最初に何と言い、誰へつなぎ、何を確認するかを答える。
その場で動けなかった箇所を、連絡先や手順へ戻します。
報告しやすさは、「何かあれば言って」で完成しません。
実際に伝えた人が、どう受け止められたかで積み重なります。
気づいた人の口を止めず、被害を止める行動へつなぐ。
その最初の対応を、会社でそろえておきたいところです。
誤送信や誤共有に気づいたとき、誰へ何を伝えるかを整理したい方は、ITワークラボへご相談ください。初動の連絡手順、共有設定の見直し、身近な場面を使った訓練を、今の体制に合わせて一緒に考えます。初回相談は無料です。
参考情報
[1] IPA「悩み(9) インシデント対応の初動における社内での情報共有に不安がある」（プラクティス・ナビ）、2026年4月28日公開、5月14日更新。製造業i社の報告の遅れ、事実と異なる叱責の噂、開封率だけでなく報告率を見る取り組みと、報告を前向きに受け止める風土について。冒頭の共有ミスの架空例は、この事例の再現ではありません。 https://www.ipa.go.jp/security/economics/practices_navi/practice309.html
[2] IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版・付録8「中小企業のためのセキュリティインシデント対応の手引き」、冊子2〜3ページ。整理すべき事項、検知と連絡受付、初動、記録・証拠の保全について。四項目の第一報と会話例は、本稿の簡略化した運用提案です。 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf
[3] ACFE（公認不正検査士協会）／John Gill「The Fraud Triangle on trial」、2017年9月。三要素と、特定の人の行動を判定するものではないという限界について。 https://www.acfe.com/acfe-insights-blog/blog-detail?s=Fraud+Triangle
📖 あわせて読みたい
関連ページ
IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。
実際のご相談事例は、「導入事例」でもご紹介しています。
ITワークラボの考え方は、「ITワークラボについて」をご覧ください。
コメント