情報漏洩が相次ぐ今、企業に必要なシステム部門の対応と、社員の不安と顧客対応をぶれさせないインナーマーケティング

---

So-netで258万件を超える会員情報が漏洩し、ジョーシンを運営するJoshinでも最大約623万件の漏洩の可能性が公表されました。コミックシーモア、タイムズカー、ローソン、ヤマト運輸、カーセンサー、大和証券の委託先と、2026年の秋は情報漏洩の発表が途切れることがありません。政府も10月9日、大量の個人情報を扱う事業者に向けて対策の点検と強化を求める注意喚起を出しました。

こうしたニュースが続くと、社内ではまず二つのことが起こります。一つは社員の不安です。「うちの会社は大丈夫なのか」「自分が使っているサービスの情報は漏れていないか」という声が、正式な説明より先に広がっていきます。もう一つは顧客からの問い合わせです。店舗、コールセンター、営業の担当者が「御社は大丈夫ですか」と聞かれたとき、人によって答えがばらばらだと、それだけで顧客の不安は大きくなります。

不正アクセスそのものを防ぐのはシステムの仕事です。しかし、ニュースに惑わされずに社員が落ち着いて働き、社員から顧客への説明が一貫している状態をつくるのは、社内のコミュニケーション、つまりインナーマーケティングの仕事です。この記事では、システム部門がとるべき対応を整理したうえで、社員の不安への対応と顧客対応の一貫性を、インシデント対応の一つとして組み込む方法を解説します。

---

直近の事案から見える「見直すべき論点」

2026年秋の事案を並べると、公開システムの守り、委託先の管理、持ちすぎたデータ、認証情報の扱い、気づくまでの速さの5つが、多くの企業に共通する論点として浮かび上がります。

論点	関連する事案（公表内容）	自社への問い
公開システムの守り	So-netの会員データベース、タイムズカーのWebシステム、コミックシーモアのサーバーなどが外部から侵入された	インターネットに公開しているシステムをすべて把握し、更新できているか
委託先の管理	大和証券は自社システムではなく、問い合わせ管理の委託先のサーバーから顧客情報が取得された	誰に、どの情報を、いつまで預けているか一覧にできるか
持ちすぎたデータ	So-netは2026年3月以降の退会者、タイムズカーは退会後7年以内の人も対象。コミックシーモアはログファイル上の情報が流出	使い終わった個人情報や、ログに残った情報を消せているか
認証情報の扱い	さくらインターネットでは一部サーバーで初期パスワードが平文で保存されていた。Joshinのサブスクでは初期パスワードも漏洩の可能性	パスワードの保存方法と、初期パスワードの運用は適切か
気づくまでの速さ	So-netは不正アクセスから4日後に確認。さくらでは1年以上前とみられる不審な痕跡も見つかった	異常に気づくためのログが残り、誰かが見ているか

事案ごとの詳しい内容と、業界・上場区分・侵入経路・漏れた情報の種類で整理した分析は、別の記事でまとめています。

システム部門の対応①　統治と把握：まず全体を見えるようにする

対策の出発点は、責任の所在を決めることと、守るべきシステム・データ・委託先を一覧にすることです。見えていないものは守れません。

全体の進め方は、米国NISTのサイバーセキュリティフレームワーク（CSF）2.0が示す6つの機能（統治、識別、防御、検知、対応、復旧）に沿って考えると、抜け漏れなく整理できます。この記事では、統治と識別をまとめて「統治・把握」、検知と対応・復旧をまとめて扱います。

統治：誰が決め、誰が責任を持つか

• 情報セキュリティの責任者と、経営への報告の流れを決める
• グループ会社や事業ごとの運営会社も含めて、同じ水準で点検する仕組みをつくる
• 対策の予算と優先順位を、経営の判断として決める

把握：公開システム、個人情報、委託先の3つの一覧

会員サイト、アプリのAPI、キャンペーン用に一時的に立てたサイト、テスト環境など、外部から接続できるものをすべて洗い出します。個人情報は会員データベースだけでなく、ログファイル、バックアップ、分析用に複製したデータも対象です。コミックシーモアの事案では、会員データベースより桁違いに多い情報がログファイルから流出しました。あわせて、顧客や社員の情報を預けている委託先と、預けている項目・保存期間を整理します。委託先の契約は事業部門が結んでいることが多いため、システム部門だけでは一覧をつくれません。

システム部門の対応②　防御：入口・認証・データを固める

防御の中心は、公開システムの弱点をふさぐこと、なりすましを防ぐ認証、そして持つデータを減らして守ることの3つです。

分野	具体的な取り組み
公開システム	OSやCMSへのセキュリティパッチを速やかに適用する。サポートが終了した製品を使い続けない。不要になったサイトやテスト環境を閉じる
認証	管理画面や社内システムに多要素認証を導入する。初期パスワードを利用者に変更してもらう運用にする。パスワードを平文で保存しない
アプリ・API	本人の情報を返す仕組みで、要求してきた利用者が本当に本人かをサーバー側で確認する。ローソンの事案では、本人に情報を表示するための仕組みが不正に利用された
データ	退会者の情報に削除の期限を設ける。ログに個人情報をそのまま書き出さない。保存データと通信を暗号化する
委託先	対策状況を契約時だけでなく継続的に確認する。漏洩時の報告義務を契約に入れる。業務終了後にデータを確実に削除させる

この表は、国家サイバー統括室が10月9日に示した3分野（Webシステム等の管理、サプライチェーンを通じた侵害への対策、データの適切な管理）を具体的な取り組みに落としたものです。なお、JoshinとSo-netはクレジットカード情報は漏洩の対象外と説明しており、Joshinは決済情報を自社で保持しない仕組みに対応していました。持っていない情報は漏れません。新しい仕組みを足す前に、持たなくてよい情報を減らすことが、最も費用のかからない対策になります。

システム部門の対応③　検知・対応・復旧：気づく速さと止める判断

侵入を完全に防ぐことは難しいという前提に立ち、早く気づき、被害を広げずに止め、安全に再開するまでの手順を事前に決めておきます。

段階	やること	事前に決めておくこと
検知	ログを一定期間残し、不審なアクセスや大量のデータ取得を監視する	どのログを、何日分、誰が見るか
初動	不正な通信の遮断、該当サーバーやサービスの停止、証拠の保全	サービスを止める判断を誰が下すか
報告・通知	個人情報保護委員会への報告、対象者への通知、警察への相談	報告の窓口と、公表文のひな形
社内外への説明	顧客向けの公表と問い合わせ窓口、社員向けの説明、自社を装った詐欺への注意喚起	社内に伝える順番と、顧客対応で使う想定問答
復旧	安全を確認した機能から段階的に再開し、全利用者のパスワード再設定などを行う	再開の優先順位

個人情報保護法では、不正アクセスなど不正の目的によるおそれがある漏洩は、件数にかかわらず個人情報保護委員会への報告と本人への通知が必要です。報告は速報と確報の二段階で、確報には期限が設けられています。手順書に期限と担当を書き込んでおきましょう。なお、2026年10月1日には国が攻撃元のサーバーに対処できる能動的サイバー防御の一部が施行されましたが、自社の初動の代わりになるものではありません。

表の4行目の「社内外への説明」は、システム部門だけでは担えない段階です。ここから先は、この段階を社内の視点で掘り下げます。

インシデント対応に「社内」の視点が欠かせない理由

情報漏洩のニュースは、顧客より先に社員を揺らします。社員が不安を抱えたまま顧客の前に立つと、説明がばらつき、それ自体が顧客の不信を招きます。社内への働きかけは、インシデント対応の一部として計画しておく必要があります。

社員自身も「利用者」である

So-net、ローソン、ヤマト運輸の後払い、コミックシーモアなど、今回の事案の多くは一般の消費者向けサービスです。社員の多くも、そのどれかの利用者です。自分の情報が漏れたかもしれないという不安を抱えたまま、「うちの会社は大丈夫か」と同僚と話し、真偽のわからない情報がチャットやSNSで広がっていく。これは自社で事故が起きていなくても、他社のニュースだけで起こり得る状況です。

顧客の最初の質問を受けるのは、現場の社員

顧客は、公式の発表文より先に、店舗のスタッフ、コールセンター、担当の営業に問い合わせることがあります。ある社員は「うちは大丈夫です」と言い、別の社員は「わかりません」と答え、さらに別の社員は個人的な推測を話してしまう。こうしたばらつきは、事故の有無以上に「この会社は状況を把握していないのではないか」という印象を与えます。

詐欺は「会社を装う」

今回、多くの企業が自社を装った不審なメール、SMS、電話への注意を呼びかけています。大和証券は、氏名や問い合わせ内容を悪用して同社や関係者を装う詐欺のおそれを挙げました。顧客に「当社からそのような連絡はしません」と自信を持って言えるのは、自社の連絡ルールを知っている社員だけです。社員が自社のルールを正しく理解していることが、顧客を二次被害から守ることに直結します。

3つの局面で考える

局面	社員の状態	インナーマーケティングの役割
他社で事故が起きたとき（平時）	ニュースを見て不安になる。顧客から自社について聞かれる	自社の状況を事実で伝え、顧客への答え方をそろえる
自社で事故が起きたとき（有事）	報道で初めて知る、何を言ってよいかわからない	公表と同時に社内へ説明し、想定問答と相談先を渡す
収束した後（回復期）	疲弊や、担当部署への不満が残る	対応を振り返り、再発防止の取り組みを社員と共有する

ニュースに揺れる社員の不安に応える社内コミュニケーション

社員の不安には、「分かっていること」「調査中のこと」「社員にお願いしたいこと」を分けて、早く、短く、繰り返し伝えることで応えます。黙っている時間が長いほど、憶測が広がります。

他社のニュースが続いているとき

• 自社の状況を事実ベースで短く共有する（例：同様の不正アクセスは現時点で確認されていない、点検を進めている）。言い切れないことは言い切らない
• 社員自身が利用者として取るべき行動を案内する。届いたメールのリンクを開かず公式サイトから確認する、同じパスワードを使い回しているサービスは変更する、など
• 顧客から聞かれたときの答え方と、答えに困ったときの相談先を示す

自社で事故が起きたとき

• 社員が報道や顧客からの問い合わせで初めて知る状態を避ける。社外への公表と同時か、その直前に社内へ説明する
• 経営層から、顧客を守ることを最優先にすること、対応にあたる社員を支えることを自分の言葉で伝える
• 続報は、新しい事実がなくても決まった間隔で出す。「次はいつ知らせるか」がわかるだけで不安は和らぐ
• 原因の追及や責任の話は後に回し、まずは対応に集中できる雰囲気をつくる

伝えること	伝え方の工夫	避けたいこと
確認できた事実	日時を入れて、短い文で伝える	未確定の件数や原因を推測で伝える
調査中であること	「何を」「いつまでに」調べているかを添える	「問題ありません」と根拠なく言い切る
社員へのお願い	顧客対応、社外発信、自分のアカウントの対処を具体的に	禁止事項だけを並べる
相談先	部署名と連絡手段を明記する	「上司に聞いて」で終わらせる

顧客対応をぶれさせないためのインナーマーケティングの設計

顧客対応のぶれを防ぐには、社内に「一つの答え」を用意し、立場ごとに言ってよいことを決め、平時から使い慣れておくことが必要です。

「一つの答え」を社内でつくる

顧客向けの公表文と、社員が使う想定問答の内容がずれていると、現場はどちらに合わせればよいか迷います。広報、法務、システム部門、顧客対応部門が同じ情報をもとに、顧客向けの文面と社内向けの想定問答を同時につくり、更新日を明記して一か所で管理します。So-netのパスワード初期化や、コミックシーモアの停止中に期限を迎えたポイントの扱いのように、顧客の生活に関わる案内は特に問い合わせが集中するため、想定問答に必ず含めます。なお、公表の範囲や表現は個人情報保護委員会への報告や法的な責任にも関わるため、最終的な判断は法務・広報が行います。社内向けの想定問答は、その判断に合わせて更新する位置づけにしておきましょう。

立場ごとに「言ってよいこと」を決める

対象	求める行動	用意するもの
経営層	社内外に向けて同じ方針を語る。止める判断を下す	社内向けメッセージのひな形、判断の基準
広報・法務	公表文と社内向け説明の内容をそろえる	公表文と想定問答の同時更新の手順
コールセンター・顧客窓口	想定問答に沿って答え、判断に迷う質問は引き継ぐ	想定問答、引き継ぎ先の一覧
店舗・営業	確認済みの事実と窓口の案内にとどめる	短い説明カード、窓口の連絡先
システム部門	確認できた事実を、わかる言葉で社内に提供する	事実を共有する担当と頻度の取り決め
委託先・アルバイト	自社の案内と同じ内容で対応する	業務開始時の説明、同じ想定問答

言ってよいこと	言わないこと
公表済みの事実と、その発表日時	未公表の件数、原因、調査の途中経過
調査中であることと、案内の窓口	「大丈夫です」「漏れていません」という根拠のない言い切り
自社が普段どのように連絡するか（例：メールでパスワードを聞くことはない）	個人的な推測や、他社の事案への評価

平時から「使い慣れて」おく

想定問答は、事故が起きてから初めて読んでも使いこなせません。他社のニュースが出たタイミングを使って、顧客から聞かれたらどう答えるかを部署ごとに話し合う、ロールプレイを訓練に組み込むなど、平時から練習しておきます。理念やビジョンの浸透と同じように、認知、理解、共感、行動の段階で考えると、どこでつまずいているかが見えやすくなります。その考え方はインナーブランディングで理念を浸透させるには？4つの段階と社内コミュニケーション戦略で詳しく紹介しています。

「報告した人を責めない」を明確にする

不審なメールを開いてしまった、顧客に誤った説明をしてしまったという場面で、報告をためらわせる一番の理由は責められることへの不安です。報告が早ければ、被害も誤った説明の広がりも小さくできます。経営層や管理職から、早く報告してくれたことへの感謝を繰り返し伝えることが、社内の落ち着きと顧客対応の質の両方を支えます。

社内施策の進め方と効果測定

現状を測り、目標を決め、施策を実行し、指標で確かめて見直すという流れを、システム部門、広報、人事、顧客対応部門が一緒に回すことが大切です。

• 現状を把握する：社員アンケート、想定問答の有無、過去の問い合わせ対応の記録などから、どこで不安やぶれが生まれやすいかを確かめる
• 目標を決める：「他社の事案の公表から社内への説明までの時間を短くする」など、求める状態を目標にする
• 施策を組み立てる：3つの局面と立場ごとの表をもとに、最初の数か月で行う施策を絞り込む
• 実行して測る：施策ごとに指標を決め、結果を記録する
• 見直す：結果を経営層と共有し、想定問答や手順に反映する

見たいこと	指標の例
社員の不安に応えられているか	短いアンケートでの不安度、社内説明の閲覧状況、社内からの質問件数
顧客対応がそろっているか	想定問答の整備・更新状況、窓口への引き継ぎ件数、顧客からの説明の食い違いの指摘
初動が早いか	公表や報道から社内への説明までの時間、想定問答の更新までの時間
行動が定着しているか	多要素認証の設定率、不審メールの報告件数と報告までの時間、訓練メールの報告率

訓練メールでは、開封した人の割合を下げることだけを目標にすると、開いた人を探して責める雰囲気が生まれがちです。開いてしまってもすぐに報告できた人が増えているかを重視しましょう。研修の組み立て方はインナーブランディング研修プログラムの作り方：対象者別の設計から効果測定までも参考にしてください。

まとめ

• 情報漏洩を防ぐのはシステムの仕事で、システム部門は統治・把握、防御、検知・対応・復旧の流れで公開システム、認証、持ちすぎたデータ、委託先を見直す
• ニュースは顧客より先に社員を揺らし、社員の不安や説明のばらつきが顧客の不信につながるため、社内への働きかけもインシデント対応の一部になる
• 社員には「分かっていること」「調査中のこと」「お願いしたいこと」を分けて、早く短く繰り返し伝える
• 社内に「一つの答え」を用意し、立場ごとに言ってよいことを決め、平時から使い慣れておくことで顧客対応のぶれを防ぐ

よくある質問

関連記事

• インナーブランディングで理念を浸透させるには？4つの段階と社内コミュニケーション戦略
• インナーブランディング研修プログラムの作り方：対象者別の設計から効果測定まで
• インナーブランディングの進め方ロードマップ：企画、設計、実行、評価の7ステップ

参考情報

• 内閣官房国家サイバー統括室が求める「不正アクセスによる漏えい等の事案を踏まえた対応」とは（ネットショップ担当者フォーラム）
• 国家サイバー統括室、相次ぐ不正アクセスによる情報漏えいを受け対策強化を要請（ケータイ Watch）
• So-net会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ（ソニーネットワークコミュニケーションズ）
• ジョーシンへの不正アクセス、最大623万件漏えいか（ITmedia NEWS）
• Ｊｏｓｈｉｎ、不正アクセスで最大約600万件の会員情報などが漏えいの可能性（INTERNET Watch）
• コミックシーモアの情報漏洩、流出した項目と再開の見通し（SmartScope）
• 「自社システムは無事」でも顧客情報は漏れる 大和証券約11万人の情報に不正アクセス（@IT）
• さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存（@IT）
• ローソンID 215万件超が漏えい（@IT）
• 能動的サイバー防御の基本と10月1日からの施行状況（SmartScope）