【インタビュー】サイバー攻撃の被害公表はいつ・何を出すべきか？ニュートン・コンサルティングに聞く危機管理広報の定石|セキュリティ対策Lab

投稿日時: 2026年07月29日更新日時: 2026年07月29日

サイバー攻撃の被害を受けた企業にとって、システムの復旧や原因究明と同じくらい重要になるのが、危機管理広報です。

第一報をいつ出すのか、どこまでの情報を開示するのか、続報をどのような頻度で発信するのか。これらの判断を誤ると、実被害以上にレピュテーションを毀損し、隠蔽を疑われるリスクさえあります。一方で、早期の公表には問い合わせの殺到や株価への影響といったリスクも伴い、経営者は難しい判断を迫られます。

今回は、官公庁や金融機関をはじめとした多様な業種のリスク管理・サイバーセキュリティ支援に携わり、危機管理広報の観点からもインシデント対応を数多く支援してきたニュートン・コンサルティングの内海氏に、サイバー攻撃発生時の情報開示の定石と、平時から準備すべき体制について伺いました。

インタビューに答えていただいた方のプロフィール

内海良様（ウチミリョウ）

ニュートン・コンサルティング株式会社専務執行役員／CISO 兼プリンシパルコンサルタント

常に第一線で各種コンサルティング支援を責任者としてこなし、その支援数は500組織を超える。
サイバーセキュリティ以外にも、デジタルリスクやBCPも専門とし、各分野で国内随一の実績を誇る。経営とサイバーセキュリティ、デジタル先端技術とBCPを同時に全体最適で語れる稀有なコンサルタントであり、お客様の本質を理解し、ゴールまで邁進するスタイルは多くのお客様から評価されている。

サイバー攻撃発生時の経営者・情報システム・セキュリティ・広報の役割分担

――サイバー攻撃が発生した際、情報システム部門、セキュリティ部門、広報、経営者の役割はどのように分担されていくのでしょうか。

内海氏：まずサイバー攻撃や自然災害などで危険度の高いビジネスリスクが発生した場合は対策本部を立てるという会社が多いです。対策本部を立てるということは、普段の体制での対応ではなく危機管理モードに切り替わるということなので、

その意思決定は社長、つまり経営トップが判断するケースが多いです。

社長の役割としては、まず全社対応として危機管理モードの対応に切り替えるかどうかの判断が重要になります。そしてもう一つは対外公表です。当然レピュテーションや株価にも影響してきますので、どのタイミングで公表するかという意思決定をします。あとは事業やサービスの再開の判断ですね。

また、経営陣は「二度目はない」ということを強く意識いただく必要があります。

別のサイバー攻撃手法で被害を受けても、対外的に結局セキュリティの弱い会社だと思われます。二度目はないという観点で、他のシステムも大丈夫なのかといった総点検を経営陣が指示し、再発防止策の費用をどれくらい出すのかという判断も出てくると思います。

情報システム部門は、システム復旧やデータを戻すといった対応になりますし、セキュリティ部門は原因究明、フォレンジックも含めて何が起きていたのかという事実を確認していくところが重要になってきます。

広報については、広報がいきなり初動で最初に動くというケースはあまりないのですが、情報システム部門などが動いて、ある程度これはサイバー攻撃の被害だと分かった早いタイミングで第一報を出しましょう、という動きになります。

第一報の文面を考え、社外に対してどういう文面でどの手段で出すか、どのタイミングで出すかを、経営陣とすり合わせしながら対応するということだと思います。

第一報はいつ・どこまで出すべきか

――初回の調査によって影響範囲は色々あると思いますが、情報開示の粒度はどういったところが基準になるのでしょうか。

内海氏：弊社でもどの会社がどのような情報を出したかは逐一確認しております、重要なポイントは情報の内容よりも、どのタイミングで出せるのかというところが重要だと思っています。

第一報として、プレスリリースなどで現状の状態を公表する事が一般的だと思いますが、その公表タイミングが、発覚した当日に近いか、翌日くらいには出す。

影響度にもよりますが、深刻なものであれば早いタイミングで出すことが求められるというのが、今のベストプラクティスです。

――公表のスピードを速くする理由はなぜでしょうか。

内海氏：世の中や自社のお客様に影響が発生する、もしくは影響がありそうだという時に、自社発信ではなく、外部メディアなど周辺からその情報が入るというのが一番良くありません。

例えばサイバー攻撃者がダークウェブのリークサイトに「この会社を攻撃した」と犯行声明を発表した後に、メディアが認識し問い合わせをし、メディアが先日報道してしまうと、取引先は「うちにも影響があるんじゃないか」となります。

そういう伝わり方がまず良くない。

自ら積極的に、取引先や顧客などに迷惑がかかる可能性があるのであれば、まず出すべきだというのがスタンスだと思います。

ただ、初日や翌日に出そうとすると、やはり分かっていることが少ない。

「このシステムが止まっています」

「システム障害が発生しています」、

もしくは初期のフォレンジックで「このフォルダにどうもアクセスされたようだ、ここには何万件の個人情報が入っていた」ということがあるのであれば、本当に大雑把に、出せる範囲でしか出せません。

「現在システム障害が発生しています。サイバー攻撃の可能性があります。最悪の場合、何万人の情報が漏洩した可能性があります。詳細は調査中ですので、判明し次第お知らせします」という、本当に大雑把なことくらいしか出せないと思います。

――早めに出すという考え方は、いつ頃から求められ始めたのでしょうか。

内海氏：サイバー攻撃が大きな問題になり始めた2007年頃には、当時から早めに出すべきだと言われていたと記憶しています。大きな流れとしてサイバーセキュリティに起因する危機対応の考え方がだんだん固まってきて、今では早く出すのが当たり前になってきたということだと思います。

公表しない企業をどう見るか-BtoBとBtoCの違い

――BtoBの場合、公開文書ではなく初報から一切公表せず影響顧客のみ内々で通知している事も確認しています。そういった対応は広報的には問題ないのでしょうか。

内海氏：外部機関への報告としては、個人情報の漏洩等であれば、個人情報保護法に則って、個人情報保護委員会への報告・通知の要件に達していなければ、法令上は問題ありません。それが取引先等の営業機密等の場合、当事者間の契約（NDA等）やガイドラインに沿って個別に通知・対応していれば、対外的にプレスリリースを出さないこと自体が直ちに法的違反になるわけではありません。

しかし、危機管理広報（レピュテーションリスク管理）の観点から言えば、その対応が評価されるかと言ったら、全くそんなことはありません。実効性としても非常にリスクが高い対応です。仮に攻撃者がリークサイト等で攻撃の事実を公表した場合、外部から噂や記事として広まってしまうのが、危機管理上最も危険なシナリオです。

続報のステップと頻度–アサヒとアスクルの対応比較

――第一報を早く出した後の開示のステップは、フォレンジック調査などに何かしらの進捗があったタイミングで都度出していく、という形になるのでしょうか。

内海氏：そうなります。ただ、そうは言っても、世の中やお客様への影響を考えると、フォレンジック調査が完了する約1ヶ月放置するというのはよろしくないので、期間をそこまで空けることなく出すべきだと思います。

アサヒグループホールディングスとアスクルはほぼ同時期に被害が発生したこともあり、ある大手メディア誌面では外部公表の実施頻度が比較されていました。

アスクルは被害発生から27日間で開示件数は8回、アサヒの情報開示は被害から47日間で4回にとどまる、という記事でした。企業規模や業種、被害内容が異なるため単純比較は難しいものの、ステークホルダーの「知りたい」という気持ちに適切に答えるためにも、頻度は多いくらいのほうが、誠実に対応している、必要な情報を必要なタイミングで出してくれるという認識につながるかなと思います。

――誠実に対応することで、長い目で見ると信頼の回復が早くなるということでしょうか。

内海氏：それは間違いないと思います。株価も一時的には落ちたりしますが、対応によってはリカバリーが早かったりもします。

アサヒさんの良い点は、社長が記者会見をして、社長自らが自分の言葉で「セキュリティに一生懸命取り組む」と語ったことで、レピュテーションも下がることなく、良い対応だったと認識されたのだと思います。

――第一報を出して1ヶ月以内に調査が進捗していない場合も、引き続き調査中ですといった続報を出していく必要があるのでしょうか。

内海氏：なかなか難しいところではありますが、やはりステークホルダーへの影響との兼ね合いだと思います。主だった会社の対応を見ていくと、発覚した当日か翌日に第一報を出し、新たな事実が発覚した時点で続報を出す形になると思います。続報が1ヶ月以内になるかどうかは、BtoBとBtoCの違いを踏まえた影響度合い、新たな事実が発覚したタイミングなどを考慮する必要はあるでしょう。

早期公表のリスクと、それでも隠蔽を疑われないために

――第一報を早めに出すことで、生じるリスクもあったりするのでしょうか。

内海氏：もちろんリスクはあります。そこは経営判断という話になってくるのかなと思いますが、リスクとしては、「最大何万件の情報漏洩です」ということを言うと当然レピュテーションに影響しますし、問い合わせが殺到して対応が追いつかなくなる可能性もありますし、株価が下落するなどの影響が無いとは当然言えません。

ただ、一番のリスクとして隠蔽を疑われるというところですね。

最近は一般の方でも様々な手段で情報を収集できます。

自社が発表しないタイミングで外部から「この組織がサイバー攻撃を受けているんだ」というのが分かると、「この組織は自ら公表せず隠蔽する気があるのではないか」とどうしても悪く取られてしまう。

そこは経営判断だと思います。

――経営者の中でも、確定した段階で出したいという意見はあるのでしょうか。

内海氏：それはすごくあります。弊社の危機管理の机上訓練サービスでよくお手伝いしていて、経営陣だけを集めて実施することもあります。

ある有名な大手企業で、社長、副社長、取締役が揃った場で「こういうサイバー攻撃が起きました。どんな対応をしましょうか。公表はどうしますか」という話をした時に、意見が2つに分かれました。

会長は「これは第一報として早く公表すべきだ。今は全然分かっていないけれども、サイバー攻撃の可能性、システム障害が発生している、ということを出すべきだ」という話をして、社長は「いや、こんな状況で出したら問い合わせが殺到する。もう少しちゃんと事実が分かってから出すべきだ」と。訓練の中でも侃々諤々の議論がなされました。

最終的には、対策本部長が社長であり責任者なので「責任者として決めてください」という形になり、その日は「早めに出そう」ということで訓練を終えました。

――確定情報を出した方がいいのではないか、という考えの経営者に対しては、どのように整理していくのでしょうか。

内海氏：確定した情報を出した方がいいのではないかと考える経営者は、いらっしゃいます。「では、いつ頃何が起きたか、どれくらいで分かるのか」「例えば何万件漏洩したと確定するのはいつ頃だ」という話になっていくと、フォレンジックはそんな数日で終わるものではないので「2〜3週間はかかります」という話になります。

すると「そんなにかかるのか。2〜3週間もずっと何も発表しないというのはあり得ないよね」という話になり、「じゃあ初動を早めに出そう」「できるもの、可能な範囲で出す」という形になることが多いですね。

第一報では、最大の影響や「サイバー攻撃によりシステム障害が発生しています。詳細は調査中です」といった、どのレベルで出すかは企業によると思いますが、やはり第一報は誠実な開示姿勢を示すためにも早めに出すというところが大原則になります。

危機管理広報の定石はダメージコントロール–スピードと透明性

――危機管理広報としての目標や方針は、どういうところになるのでしょうか。

内海氏：一番はダメージコントロールです。起きてしまったことは関係各所へ既に迷惑をかけているのですが、そのダメージを最大限に小さくするというところが、危機管理広報の鉄則・意義になっています。

そうなると、スピードと透明性が求められてくるので早いタイミングで、極力隠蔽する意図はないという形で、分かっていることの事実をうまく公表していくところだと思います。

――SNS上でデマが拡散された場合、都度否定していった方がいいのでしょうか。

内海氏：いや、実はそうとも限らないです。一つ一つ反応すると余計炎上してしまう可能性があるので、きちんと見極めて対応すべきだと思います。一つ一つのコメントに個別対応するというよりは、会社のWebサイトなどで、世間で騒がれているものが、よほど事実に反することであれば「事実に反します」と出すという形はあると思いますが、原則は、まずは静観し、状況を見極める姿勢が必要だと思います。

第一報から第二報、第三報といろいろ連絡するタイミングがありますので、そこで真実を公表していく。「こういうことがSNS等でとりあげられておりますおりが、こうした事実は確認できておりません」といったものを出していくのがいいと思います。

内海氏： SNSやメディア対応がシンボリックになったのはKADOKAWAさんの被害事例だと思います。KADOKAWAは当然業態的にBtoCなので影響も大きかったのですが、SNS上で事実でないことが騒がれた際に、どこかのタイミングで「訴訟も辞さない構えです」というコメントを出していたと思います。実際に訴訟をしたかどうかは分かりませんが、あまりにも事実と異なる内容が一人歩きしたため、そういうコメントを出したのだと思います。

情報システム部門が広報に共有すべき情報–ビジネスインパクトへの翻訳

――情報システム部門やセキュリティ担当から広報に情報を渡す際、どういう情報を優先して共有すべきなのでしょうか。影響範囲やビジネスインパクトが優先すべき情報になるのでしょうか。

内海氏：おっしゃる通りです。広報の人たちは、世の中の人たちがITやセキュリティの専門知識がない前提で文章を作らなければいけません。「このサーバが止まっている」「このシステムが止まっている」ではなくて、ビジネスやサービスの面で「こんな影響が出ています」というのを当然言わなければいけない。

情報システム部門の皆さんは、そこを適切に変換できるように伝えることが必要だと思います。「基幹システムが被害を受けている」ではなく、「基幹システムが被害を受けており受発注が停止している、製品が製造できない、出荷できない状態にある」といったことも広報の方と一緒に話しながら、影響をきちんと事実として伝わるようにするのが重要になっていくと思います。

――IIJのインシデントの際は、利用企業の担当者が情報システムやセキュリティ担当だったこともあり、技術的な情報が開示されていました。閲覧する対象によって内容の粒度や方針を変えていく必要があるのでしょうか。

内海氏：そうなると思います。IIJのメール侵害の場合は、影響する人がBtoBであり本当に各社の情報システム部門の人たちで、その人たちが確認する形になっていましたので、他のインシデントとは確かに性格が異なります。

ちなみに、KADOKAWAの件が起きて、その後の大きいインシデントがIIJだったと思うのですが、IIJはKADOKAWAの教訓を活かしたからなのか、メディア専用の問い合わせ窓口を作られていて、すごく先進的だなと思ったのを記憶しています。

――メディア専用の窓口というのは、一般的にはあまりなかったのでしょうか。

内海氏：今までは「本案件の問い合わせはこちらにお願いします」と、メディアだろうが被害者だろうが取引先だろうが、一つの問い合わせ窓口を作っていたと思います。IIJは、一般的な被害者の方の問い合わせ先と、メディア専用の問い合わせ先を分けて作られていて、今後はこうなっていくのだと思います。

――被害者向け、取引先向け、メディア向けと、属性によって問い合わせ先を分ける必要が出てくるのですね。

内海氏：これからはそうなってくるのだと思います。メディアやSNSの影響がすごく大きくなってきていて、セキュリティインシデントはメディアの皆さんも重大な被害が出ているのではないかという認識になってきているので、必ず取材が来る形が多いと思います。

インシデント対応をしている中で、社外向けの対応も忙しい中、メディアからの問い合わせが一定のボリュームで出てきた。だからあらかじめリソースを確保して対応できるようにしておかないといけない、ということです。

対策本部を立てて、広報や法務の方もそこに入って対応を考えていくと思いますが、自分たちから発信するだけではなく、当然外から問い合わせが来る、メディアから問い合わせが来るというのも想定して、一般的なコールセンターがお客様対応で受けるだけではなく、メディアからの問い合わせは広報が全面に立って対応するといったことを、必要な役割・タスクとして明確にしておく必要があると思います。メディアがハブになって違う内容を書かれると、結果としていろいろなところに波及します。そこを間違えると影響が大きいので。

――最近はシステム障害のリリースで「サイバー攻撃ではない」と明記する企業もありますが、これも必要な対応なのでしょうか。

内海氏：システム障害で「サイバー攻撃です」となると、皆さん、二重恐喝型ランサムウェアなどに遭って情報を取られたんじゃないか、自分が預けている情報は大丈夫か、という心配が及ぶので、サイバー攻撃ではない場合は「システム障害です」と言った方が、利用する皆さんが安心する。そういうことを書くようになっていると思います。書かないと、それに関する問い合わせもたくさん来ますので。

対外発信の作成プロセスと表現の使い分け

――対外発信への情報システム部門の関与範囲は、対策本部で一緒に作っていく形になるのでしょうか。

内海氏：はい、そうなります。もちろん広報部隊が中心になって、セキュリティ部門とは対策本部の会議の中でというよりは、事前にお互いすり合わせて「この文章にしましょう」と作り、対策本部で承認をもらって出す、ということが多いかなと思います。

――各社の表現で、窃取はされていないが閲覧されている場合に「閲覧の可能性」と書く企業と「情報漏洩の恐れ」と書く企業があります。この表現は各社の方針によって変わってくるのでしょうか。

内海氏：結構各社によって変えていますね。被害の深刻度としては、当然データが外に持ち出される「窃取」の方が「閲覧」よりも圧倒的に重いです。

しかし、広報・説明責任の観点から「閲覧された可能性」と言い切るには、また別の難しさがあります。技術調査（フォレンジック）において、「外部に送信・窃取されたか」だけでなく、「攻撃者が内部でそのファイルを開いて閲覧したか」までログから正確に証明することは極めて難易度が高いからです。

ですので、技術的な裏付けやログの確信がない段階で安易に「閲覧」と書くことは避け、最悪の可能性を想定して「情報漏えい（窃取）のおそれ」と表現して初動を打つ企業が多いのが実態です。「閲覧された」と表記する場合は、フォレンジック調査で持ち出しは否定できたがアクセス痕跡はある、という技術的確証が得られた段階で使い分けるのが一般的だと思います。

平時から準備すべき連携体制と訓練

――平時からどのような準備を行うべきでしょうか。

内海氏：まず、自前ですべて対応できるという組織は、大手でもなかなかいないのではないかと思います。技術的なフォレンジック会社もそうですし、大手でも危機管理広報の会社や、セキュリティに強い弁護士を押さえていたりします。いざとなったら協力してもらえるような会社とあらかじめ事前に契約をし、そういった外部協力先の洗い出しをしておくことが、まず重要になってくると思います。

あとは広報の観点ということであれば、先にも対外公表時のテンプレートですね。情報が漏洩した場合、ランサムウェアにかかってシステムが動かなくなった場合、Webの改ざんやDDoSといったパターンをいくつか分けて、第一報はこういう内容、というテンプレートを作っておく。社内にはこういう形で報告が上がってくる、外部向けにはこういう報告を出す、というテンプレートを作っておくのがあると思います。

あとは訓練ですね。机上訓練になると思いますが、机上訓練で「この場合に第一報を出すのか出さないのか」「出すとしたら誰が意思決定するのか」といったことをやっておくと、結構明確になります。