情報漏えいが起きたとき、最初の一日でいちばん時間を食うのは、調査でも復旧でもありません。
「これ、誰が決めるんですか」という確認です。
システムを止めていいのか。お客様に知らせるのは今日なのか、範囲が分かってからなのか。委託先にはどこまで話していいのか。こうした判断が、決める人のいないまま会議室を行き来します。その間にも、時間は進みます。
「うちには情報セキュリティの規程があるから大丈夫」と思うかもしれません。ところが、規程に書いてあるのは多くの場合「速やかに報告する」「適切に対応する」までです。その「適切」を、具体的に誰が決めるのかまでは書かれていないことが多いんです。
この記事では、起きる前に名前を入れておくべき5つの役割を整理します。手順書を厚くする話ではありません。決める人を先に決めておく話です。
※本記事は2026年10月時点の情報にもとづいています。筆者はセキュリティ事故対応の専門家ではなく、公表された事例の流れと、自社でAIツールを運用している立場から「社内の決め方」として整理しています。技術的な調査や法的な判断は、専門家に相談してください。
2026年9月末から、大手企業による情報漏えいの公表が続きました（経緯は相次ぐ情報漏えいから、AIを入れる会社が持ち帰ることにまとめています）。
公表された時系列を読むと、ほぼ共通した流れが見えます。
この一つひとつが、数日単位で進んでいきます。外から見ると「調査に時間がかかっている」ように見えます。
ただ、社内で実際に詰まりやすいのは、技術的な調査そのものよりも、その間に挟まる判断のほうではないでしょうか。
たとえば「止める」です。顧客管理のシステムを止めれば、営業も問い合わせ対応も止まります。止めるべきだと分かっている情報システムの担当者がいても、売上が止まる判断を一人で下せる立場にいるとは限りません。上に上げる。上の人は状況が分からないので、説明を求める。説明しているうちに、半日が過ぎます。
つまり、初動が遅れる原因は「知識がない」ことより、**「決める権限と、決めるための情報が、別の人のところにある」**ことにあるんです。
役割は5つです。一人が複数を兼ねてもかまいません。小さな会社なら、そのほうが自然です。大事なのは、それぞれの欄に名前と、その人が不在のときの代わりの名前が入っていることです。
つながっているシステムやツールを切る判断をする人です。
ここで決めておくのは「誰が」だけではありません。**「何が起きたら、上の承認を待たずに止めてよいか」**です。不審なログイン、見覚えのない大量の書き出し、委託先からの「こちらで不正アクセスがあった」という連絡。こうした条件を先に書いておけば、その場で迷う時間が減ります。
止めた結果、業務が止まる。その責任を誰が持つのかも、ここで決めておきます。止めた人が後で責められる会社では、次から誰も止めなくなります。
何が、どこから、どこまで漏れたのかを確かめる人です。
ここは技術的な調査を自分でやる人という意味ではありません。社内の情報システム担当、ツールの提供元、外部の調査会社。誰に何を聞けば範囲が分かるのかを知っていて、その答えを集める人です。
範囲が確かめられないと、次の「知らせる」が書けません。逆に言えば、この役割が動かないと全体が止まります。
本人への通知、ホームページでの公表、問い合わせ窓口の案内。外に出る文面の最終判断をする人です。
範囲が完全に分かるまで待つのか、分かっている範囲で先に一報を出すのか。この判断は、事が起きてからだと必ず割れます。「まず一報を出し、分かった時点で続報を出す」のか「確定してから一度に出す」のか、方針だけでも先に決めておくと、当日の議論が短くなります。
個人情報保護委員会への報告や本人への通知は、法律上の義務の対象になりうるものです。どの場合に、いつまでに、何を報告する必要があるのかは、ここでは断定しません。法務担当や弁護士に確認する段取りを、この役割の中に入れておいてください。
自社のシステムからではなく、委託先や使っているクラウドサービスから漏れることもあります。
「そのときは向こうから連絡が来るはず」と思うかもしれません。実際は、連絡が来るとは限りませんし、来ても遅いことがあります。ニュースで先に知る、ということも起こります。
だからこの役割には、こちらから問い合わせる先の一覧が要ります。契約しているサービスごとに、事故のときに連絡する窓口はどこか。営業担当ではなく、セキュリティやサポートの窓口です。契約書や管理画面のどこに書いてあるかを、平時に一度確かめておくだけで違います。
自社が誰かの委託先である場合は、逆向きの連絡も要ります。取引先に、いつ、誰が、何を伝えるのか。
いつ、誰が、何を判断し、何をしたか。時刻つきで書き残す人です。
地味に見えますが、後で一番効いてくる役割です。報告書を書くとき、公表文の続報を出すとき、再発防止を考えるとき。記録がないと、当日の判断が正しかったのかを誰も説明できません。
他の役割と兼ねると、忙しくて書けなくなります。できれば、判断に関わらない人に任せてください。
ここまでの5つは、AIを使っていない会社にも当てはまります。それでも、AIツールを業務につないでいる会社には、特に気をつけてほしい点があります。
「止める人」は、何がつながっているかを知らなければ止められません。
AIツールは、メール、予定表、顧客管理、共有ドライブにつなぐほど便利になります。そして部署ごとに、担当者が自分のアカウントでつないでいることがよくあります。情報システムの担当者が把握していない連携が、あちこちにある状態です。
この状態で漏えいが起きると、「どこを切ればいいのか」の一覧がない。一覧を作るところから始めることになります。
なので、AIツールを入れている会社で最初にやることは、手順書づくりではなく連携の一覧づくりです。
これが一枚あれば、「止める人」は迷わずに済みます。連携の棚卸しの進め方は部署ごとにAIツールが増えすぎたら、片づける順番は「顧客情報の通り道」で決めます、つなぐときの権限の考え方はAIツールに渡すアカウントと権限は、人と同じにしないで整理しています。
当社も、自社のマーケティングをAIエージェントで運用しています（体制はAIエージェントの運用体制で公開しています）。AIに任せるか人が持つかは「間違えたときに取り返しがつくか」で分けていて、外に出る直前には必ず人の承認を挟んでいます。事故のときに何を止めるかも、この「取り返しがつくか」の線と同じ考え方で決められます。外に出ていくものから順に止める、ということです。
大がかりな訓練は要りません。まずは一枚の紙で十分です。
ここまでやっても、事故が起きない保証にはなりません。分からないことも、当日には必ず出てきます。
それでも、「誰が決めるのか」で半日を失うことは避けられます。最初の一日の判断が早ければ、範囲を狭く抑えられる可能性は上がります。少なくとも、決める人がいないせいで広がることはなくなります。
AIツールの導入と、こうした社内の決め方をあわせて整理したい場合は、お問い合わせからご相談ください。