情報漏えい・ランサムウェアの被害にあったら

IPAの「情報セキュリティ10大脅威 2026」では、組織にとっての脅威の1位が「ランサム攻撃による被害」でした。警察庁によると、令和7年のランサムウェアの被害報告件数は226件で、組織の規模別では中小企業が約6割を占めています。

被害にあうと、業務が止まるだけでなく、個人データが漏えいしたおそれがある場合には、個人情報保護委員会への報告や本人への通知が必要になります。このページでは、情報漏えいやランサムウェアの被害にあったときに会社に何が起きるのか、法律上どのような対応が必要か、そして日頃からできる対策を、公的な資料をもとに整理しました。

被害にあったとき、会社に起きること

業務を止めないための対応と、法律で決められた報告の手続きを、並行して進めることになります。

ランサムウェアで業務が止まったとき

データの暗号化・システムの停止

1. 感染した機器をネットワークから隔離する
   警察庁は、感染が疑われる機器をネットワークから隔離するよう求めています。調査に必要なログなどが消える場合があるため、パソコンやネットワーク機器の電源は落とさないこととされています。
2. 警察へ通報・相談する
   最寄りの警察署やサイバー犯罪相談窓口に通報・相談します。被害拡大を防ぐための初動対応の支援や、復号ツールの案内を受けられる場合があります。警察から公表を求められることはありません。
3. 身代金の要求への対応
   警察庁は、身代金の支払いは犯罪グループなどの活動資金となることが懸念され、支払っても暗号化されたデータの復号が保証されるわけではない、と説明しています。
4. 復旧と原因の調査
   復旧を妨害するため、バックアップも一緒に暗号化される場合が多いとされています。侵入経路（VPN機器などが6割以上）を調べ、再発防止の対策を行います。

個人データが漏えいしたおそれがあるとき

顧客名簿・従業員情報などの流出

1. 個人情報保護委員会への報告
   個人の権利利益を害するおそれが大きいものとして定められた事態が生じたときは、個人情報保護委員会に報告しなければなりません（個人情報保護法第26条）。
2. 報告が必要になる4つの類型
   ①要配慮個人情報が含まれる、②不正に利用されると財産的被害が生じるおそれがある、③不正の目的をもって行われたおそれがある、④本人の数が1,000人を超える、のいずれかです。ランサムウェアによる暗号化は③に当たるため、人数が少なくても報告が必要になります。
3. 速報と確報
   速報は「速やかに」（ガイドラインの目安はおおむね3〜5日以内）、確報はその事態を知った日から30日以内（③の場合は60日以内）に行います。
4. 本人への通知
   漏えいなどが生じた本人にも、その事態を通知しなければなりません。
5. 報告や命令に従わない場合
   個人情報保護委員会は勧告や命令をすることができ、命令に違反したときはその旨を公表することがあります。命令違反には罰則があり、法人には1億円以下の罰金が科されることがあります。

対策を徹底しても、事故をゼロにはできません

対策を重ねても、取引先やシステムの提供者を経由した侵入など、自社だけでは防ぎきれない攻撃もあります。調査や復旧にかかる費用、漏えいした方への対応に備える方法のひとつが保険です。

参考資料

• IPA「情報セキュリティ10大脅威 2026」
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について（PDF）」・「ランサムウェア被害防止対策」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」・「個人情報の保護に関する法律についてのガイドライン（通則編）（PDF）」・「令和7年度 年次報告」
• IPA「中小企業の情報セキュリティ対策ガイドライン」・「SECURITY ACTION」
• e-Gov法令検索：個人情報の保護に関する法律／同施行規則

このページの内容は2026年9月時点の情報をもとに、株式会社保険企画が作成しています。