2026.08.15

IPAインシデント報告は必要？届出先と実務対応

経営リスクナビ編集部

IPA報告は、ウイルス感染や不正アクセスが発生・疑われる場面で「どこに何をどの順で連絡するか」を短時間で決めるための実務論点です。判断を先送りすると、個人データの漏えい等が絡むケースで個情委への速報（3〜5日以内が目安）・確報（30日以内等）の期限管理や、取引先への説明が後追いになり、対外説明のブレや対応遅延につながります。現場で迷いがちな「相談」と「届出（報告）」の使い分け、IPA・個情委・警察の先行連絡の切り分け、グループ会社・委託先事案の線引きを、実務で回る形に落とす必要があります。以下では、IPAへの届出・相談を判断する材料として、窓口の違いと優先順位、必要情報の整理軸を示します。

IPA報告の全体像
IPAに報告する事故類型
脆弱性対策とIPA届出
初動対応と報告タイミング
インシデント対応の記録実務
- 報告書に残す事実と影響
- 電源断・初期化・ログ上書きで証跡を失う失敗パターンと避ける順番
中小企業の相談窓口と準備
よくある質問
まとめ：IPA報告への対応で次にすべきこと

IPA報告の全体像

相談窓口と届出の違い

自組織のシステムで不審な挙動があったとき、独立行政法人情報処理推進機構（IPA）に対して「相談」をするのか、「届出（報告）」をするのかは、目的で切り分けます。前者は技術的な助言・初動支援を得るため、後者は被害事実や兆候を共有し、再発防止に資するデータを提供するためです。

区分	主目的	向いている場面	主なアウトプット
相談（窓口利用）	状況判断・応急処置の助言、関係機関の案内	侵害の疑いはあるが、社内で切り分け・優先順位付けが難しい	ヒアリングに基づく助言、次に取るべき行動の整理
届出（報告）	ウイルス被害・不正アクセス被害等の実態共有	感染・侵入・改ざん等の事実や客観的な痕跡が一定程度そろった	所定様式での情報提供（被害状況、経緯、対処等）

窓口（相談）と届出（報告）の実務上の違い

窓口の性格として、セキュリティインシデントの相談／報告の窓口を提供している機関にはIPAとJPCERT/CCがあります。技術支援が必要な局面では、まずはこうした窓口に相談し、状況が固まり次第、必要に応じて届出（報告）へ移行する、と段階的に運用すると判断が速くなります。

法的義務と告示の位置づけ

IPAへのコンピュータウイルスや不正アクセスの届出は、実務上重要ではあるものの、一般に罰則を伴う法的義務として一律に課される性質のものではなく、告示等の枠組みに基づく協力として整理されます（個別の業法・契約・社内規程で別途義務化されている場合は別です）。

一方で、インシデントが個人データの漏えい等（漏えい、滅失、毀損）に該当する場合は、個人情報保護法に基づき個人情報保護委員会（個情委）への報告および本人通知が問題になります。個情委への報告は速報と確報の2段階で求められます。

個情委報告（速報・確報）の期限感と注意点

速報は、報告対象事態を知った後、速やかに（3〜5日以内が目安）可能な範囲で報告します（個人情報保護法第26条）。
確報は、報告対象事態を知った日から30日以内に報告します（漏えい等が不正の目的で行われたおそれがある場合などは60日以内の整理が必要になります）。
確報では所定の事項を全て報告するのが原則ですが、合理的努力を尽くしても未判明の事項は、判明次第の追完が想定されています。
期限の起算点は「経営層が知った時点」ではなく、法人内のいずれかの部署が報告対象事態を知った時点を基準に整理します。

このように、IPAへの届出が任意であっても、個情委報告（個人情報保護法第26条）や取引先契約の通知条項、上場会社の開示実務等が重なると、外部説明責任の水準が一気に上がります。したがって「法的義務の有無」だけでなく、期限管理・対外説明・再発防止の観点で届出の要否を実務的に判断します。

IPA・個人情報保護委員会・警察のどこに先行連絡するかを分ける判断基準

最初の連絡先は、次の3軸で切り分けると迷いにくくなります。

先行連絡先を分ける3つの判断軸

個人データの漏えい等に該当するか（法令報告の要否と期限が最優先で動きます）。
犯罪性が高いか（恐喝、侵入、情報窃取などで捜査対応・証拠保全が重要になります）。
技術的支援が緊急に必要か（封じ込め、影響範囲特定、再侵入防止など）。

個人データの漏えい等が疑われる場合は、個情委への報告が実務の最優先事項になります。前述のとおり、速報は3〜5日以内目安、確報は30日以内（場合により60日以内）の管理が必要です（個人情報保護法第26条）。

犯罪性が強い場合（例：管理者パスワード推測による不正ログイン等）は、警察への相談も並行して検討します。不正アクセス行為の典型は、アクセス制御機能があるシステムに対して他人の識別符号（パスワード等）を用いて制限機能を利用可能な状態にする行為であり、不正アクセス禁止法の枠組みで整理されます（不正アクセス禁止法3条、同2条）。

技術的な初動支援が必要な場合は、IPAやJPCERT/CCの窓口の利用が有効です。特にIPAには、標的型サイバー攻撃を受けている組織の対応支援を目的としたサイバーレスキュー隊（J-CRAT）や、標的型攻撃メールに関する「標的型サイバー攻撃の特別相談窓口」といった枠組みも整備されています。

IPAに報告する事故類型

ウイルス被害の届出対象

IPAへのウイルス被害の届出は、ランサムウェアのような重大事案だけでなく、セキュリティ製品が検知・隔離した事案も含めて、組織側で把握した範囲の情報提供が前提になります。

実務では「何をどの粒度で出すか」を統一しないと、現場は過剰反応（全件即時報告）か、逆に報告漏れ（重大事案だけ後追い）に振れがちです。そこで、日常検知と重大事案を分けて運用します。

ウイルス届出の整理（運用の分け方）

日常的な検知（自動隔離・自動駆除等）は、検知したウイルス名称や件数を期間集計して整理します。
ランサムウェア等で業務停止や暗号化等の実害がある場合は、経緯・封じ込め・復旧・再発防止を含めて詳細に整理します。

また、標的型ランサムウェア攻撃では、暗号化による業務支障だけでなく、暗号化前の段階で組織内に侵入して各種活動（横展開、権限奪取、情報探索等）が行われうる点を前提に、端末単体ではなく組織内活動の痕跡として把握することが重要です。

不正アクセス被害の判断軸

IPAへの不正アクセスの届出では、第三者による侵入が「既遂」か「未遂」かだけではなく、侵入・侵入の試みを裏付ける客観的な痕跡（ログ等）があるかが判断の軸になります。

不正アクセス届出の対象になりやすい痕跡例

Web改ざん、管理者アカウントでの不審なログイン、権限の不自然な昇格といった侵入の兆候がある。
侵入が失敗して実害がなくても、侵入の試行を示すアクセスログ等が残っている。
パスワード等の識別符号を用いた不正ログインが疑われ、犯罪性（不正アクセス禁止法上の整理）が問題になる。

警察対応を視野に入れる場合は、被害特定に至った状況、被害内容、ログイン履歴やアクセスログ、解析結果報告書等、後日の説明に耐える資料化が重要になります（被疑者不詳の可能性も前提にします）。

グループ会社・委託先・海外拠点で起きた事案を自社のIPA報告対象に含める線引き

グループ会社・委託先・海外拠点の事案を自社のIPA報告対象に含めるかは、形式的な法人格ではなく、次の観点で線引きします。

自社の届出対象に含めるかの線引き基準

自社が当該データ・システムの管理主体（実質的な管理権限や運用統制）か。
自社ネットワークが踏み台となった、または自社環境へ波及する接続関係があるか。
委託元として、個人データの取扱いに関する責任（個情委報告・本人通知を含む）を負う立場か（個人情報保護法第26条）。
連結・グループガバナンス上、関係会社からの報告資料を閲覧し、経営判断や対外説明に用いる必要があるか（会社の説明責任の観点）。

特に委託先での漏えい等事案は、委託元としての整理が実務上不可欠です。委託先からの第一報を受けた時点で、個情委報告の期限管理（速報3〜5日目安、確報30日以内等）を自社側で走らせる体制にしておかないと、期限徒過リスクが高まります。

脆弱性対策とIPA届出

脆弱性関連情報の届出枠組み

脆弱性（セキュリティ上の欠陥）の情報は、公開のされ方次第で社会的影響が極めて大きくなります。そのため国内では、経済産業省の指定を受けた受付機関としてIPAが機能し、関係機関と連携して調整する枠組みが運用されています。

この枠組みは、脆弱性関連情報の適切な流通と対策促進により、インターネット利用者の被害予防を図ることを目的とし、IPAが一次窓口として受け付け、JPCERT/CCが製品開発者等との調整（パッチ・回避策作成依頼、公表日の調整、海外機関連携を含む）を担う建付けで整理されます。

脆弱性届出の関係機関の役割（要点）

IPAは一次窓口として受理し、再現性確認や影響度分析等を行います。
JPCERT/CCは製品開発者等に連絡し、パッチや回避策作成を依頼し、一般公表日の調整も行います。
公表は、関係者の調整を踏まえ、全世界で同時に公表する運用が取られます。

製品脆弱性の報告手順と項目

製品脆弱性の報告は、後続の再現検証と対策作成が遅れないよう、情報の粒度をそろえて提出する必要があります。特に「再現できるか」「影響範囲が特定できるか」が、調整プロセス全体の速度を左右します。

報告に含めるべき主要項目（実務で抜けやすい点）

対象製品の名称と、影響が確認されたバージョン情報。
脆弱性の種類（例：認可不備、入力検証不備等）と、具体的な再現手順。
検証方法（再現環境、前提条件、必要な権限等）。
悪用された場合の影響範囲（機密性・完全性・可用性への影響など）。
既に他のセキュリティ機関へ連絡しているか等のステータス情報。

また、脆弱性情報の取り扱いは「早く公表する」よりも、対策（パッチ・回避策）と公表の整合を崩さないことが重要です。調整中に情報が不用意に拡散すると、攻撃を誘発するリスクが高まります。

脆弱性届出ではなく保守ベンダー連絡を先にすべきケースの見分け方

脆弱性に見える事象でも、対象が「広く流通する製品」ではなく、自社固有の環境・設定・実装に閉じる場合は、公的な届出よりも保守ベンダーへの連絡を先行させた方が合理的なことがあります。

判断を誤ると、調整プロセスを待つ間に侵害が継続し、被害拡大を招きます。特にWebサイトなどで主に公衆に向けて提供するサイト固有のサービスを構成するシステムの脆弱性（ウェブアプリケーション脆弱性関連情報）は、影響が「当該サイト運営者の利用者」に直結しやすいため、まずは稼働環境を安全側に倒す対応が優先になる局面があります。

先に保守ベンダー連絡を検討しやすいケース

自社のみが利用する業務システムの設定不備・実装不具合で、影響が自社環境に閉じている。
認可不備等により「他者のデータが閲覧できる」など、今まさに被害が進行しうる。
公表調整よりも、即時の設定変更・アクセス制限・パッチ適用が必要である。

初動対応と報告タイミング

検知から封じ込めまでの流れ

検知直後は、封じ込めと証拠保全を両立させる必要があります。とくに「操作すればするほど痕跡が消える」ことを前提に、作業順序を決めます。

検知から封じ込めまでの基本手順（証跡保全を優先）

まずネットワーク通信を制限し、感染疑い端末・サーバの外部通信と横展開を止めます（LAN抜線、無線遮断、セグメント遮断等）。
その時点の状況を記録し、OS監査ログ、EDRログ、ネットワーク機器ログ、クラウドサービスログなど、ローテートで消える前に別途保全します。
優先度を付け、重要サーバや関連度の高い端末はディープフォレンジック調査が可能な形で優先保全します。
不用意なウイルススキャン、USBメモリー挿入、追加ツール実行など、上書きを生む行為は目的と手順を明確化し、必要最小限に絞ります。

ログは一定期間・一定容量で古いものが削除されるローテート運用が一般的であり、保全の遅れがそのまま原因特定の失敗につながります。また、コンピュータに電源が入っている限り、OSやアプリケーションの動作によりディスク未使用領域やメモリ等に上書きが発生し、痕跡が薄れていきます。封じ込めは重要ですが、同時に「何をいつ保全するか」を初動手順に落としておくことが実務上の要点です。

顧客・取引先への連絡整理

社外連絡は、事実の確度と期限（契約・法令）を同時に管理します。特に個人データの漏えい等が疑われる場合、個情委への報告（速報・確報）と整合する説明が求められます（個人情報保護法第26条）。

第一報で最低限そろえるべき連絡要素

何が起きたか（現時点で確認できた事実のみ）と、いつ把握したか（部署で把握した時点を含む）。
影響が及ぶ可能性がある情報の種類（個人データ・機密情報・システム停止等）と、影響範囲は調査中である旨。
直近のリスク低減策（例：パスワード変更依頼、注意喚起、代替手段）を提示できる範囲で記載します。
問い合わせ窓口と、次回更新の目安（「判明次第追って連絡」ではなく運用可能な更新方針）。

また、謝罪文言は感情的な表現だけでなく、調査中であることを明確にし、憶測と事実が混ざらないようにします。例えば「現在、すみやかに原因究明を行っており、調査結果は確定次第お知らせします」といった表現は、現時点で断定できない事項を適切に留保する目的で有用です。

発覚後24時間で誰が何を集めるか――経営者・情シス・法務・広報の役割分担

発覚後24時間は、技術・法務・対外説明を同時並行で進める局面です。ここで重要なのは、期限の起算点が「経営者が知った時点」ではなく、法人内のいずれかの部署が報告対象事態を知った時点で走り始める点です（個情委報告の期限管理で特に問題になります）。

24時間以内に収集・整理する情報（部門別）

経営者は、事業継続判断に直結する通信遮断や対外連携などの意思決定を行うための論点（停止範囲、代替策、外部専門家起用）を集約します。
情シスは、OS監査ログ、EDRログ、ネットワーク機器ログ、VPN等の認証記録、クラウドサービスログを保全し、侵害端末・重要サーバの優先順位を付けます。
法務は、個人データ該当性の一次判断、個情委への速報（3〜5日以内目安）と確報（30日以内等）の期限管理、委託先・取引先契約の通知条項の確認を行います（個人情報保護法第26条）。
広報は、憶測を抑えるためのQ&A案と第一報の文面を整備し、発信窓口を一元化します。

この分担を機能させるには、インシデント記録の一元化が不可欠です。部門ごとに独自のメモが散在すると、監督官庁への報告や対外発表時に「いつ何をしたか」を説明できず、二次被害（説明のブレ、訂正、信用低下）につながります。

インシデント対応の記録実務

報告書に残す事実と影響

インシデントの記録は、再発防止だけでなく、監督官庁への報告や対外説明に耐えるための基礎資料になります。とくに個人データの漏えい等では、速報段階では把握できていない事項が残ることを前提にしつつ、確報段階で必要事項をそろえ、未判明点は追完する運用が求められます（個情委報告の考え方）。

報告書に残すべき「客観事実」と「影響」の最小セット

検知日時、認知経路、最初に検知した機器・システム、アラート内容などの一次情報。
実施した対応のタイムライン（誰が、いつ、何をしたか）と、その根拠。
保全したログの種類（OS監査ログ、EDRログ、ネットワーク機器ログ、クラウドログ等）と保全方法。
影響評価（漏えい等のおそれがある情報種別、停止・遅延の業務影響、対外影響）と、現時点の確度。

ログはローテートで消失する前に保存しないと、原因特定と影響調査に大きな支障が出ます。したがって、報告書には「何のログが、いつまで保持され、いつ保全したか」も実務上の重要な事実として残します。

電源断・初期化・ログ上書きで証跡を失う失敗パターンと避ける順番

証跡（デジタルフォレンジック上の痕跡）を失う典型は、善意の初動が結果的に上書きを招くパターンです。特に、ログはローテートで古いものが削除される上、電源投入中はOSやアプリがバックグラウンドで動作してディスクやメモリに上書きが進みます。さらに、対応行為そのもの（USB挿入、スキャン、ツール実行）でも上書きが発生します。

証跡消失を避けるための優先順（現場で迷わないため）

まず通信遮断（ネットワーク分離）を行い、拡大を止めます。
次に、ローテートで消えるログ（OS監査ログ、EDRログ、ネットワーク機器ログ、クラウドログ）を優先して別媒体等へ保全します。
その後、必要性が明確な作業だけを実施し、ウイルススキャンや追加ツールの実行は「目的・手順・記録」をセットで管理します。
初期化・リセットは、原因究明や対外説明（捜査協力を含む）の観点で不利益が大きいため、実施要否を対策本部で統制します。

この順番を守ることで、侵害原因の特定や影響範囲の確定に必要なデータを残しながら、封じ込めを進めやすくなります。

中小企業の相談窓口と準備

IPA相談窓口の使い方

中小企業では専任のセキュリティ人材が不足しやすく、初動の切り分けに時間をかけるほど被害が拡大するおそれがあります。そうした場面で、IPAの相談窓口は「何が起きているか分からない」状態から、次に取るべき行動を整理するために有効です。

また、セキュリティインシデントの相談／報告の窓口を提供している機関として、IPAとJPCERT/CCが整理されています。技術支援の必要性が高い場合は、相談窓口を先に使い、状況が固まったら届出（報告）へ進めると、現場の混乱を抑えられます。

相談時に最低限そろえる情報（分かる範囲で可）

いつから、何が起きているか（アラート、画面表示、暗号化、改ざん等）。
影響がある機器・アカウント・クラウドサービスの範囲。
既に行った操作（LAN抜線、アカウント停止、遮断設定等）と、これからやろうとしている操作。
ログ保全の状況（OS監査ログ、EDRログ、ネットワーク機器ログ、クラウドログの有無）。

中小企業向け手引と支援ツール

中小企業が平時から準備する際は、ガイド・ひな形・自己診断・外部支援を組み合わせ、実装可能なレベルに落とすことが重要です。

公的な手引・枠組みの活用ポイント

IPAが提供する「中小企業の情報セキュリティ対策ガイドライン」には、規程がない場合に使える規程ひな形が含まれ、ルール整備の起点にできます。
脆弱性の報告先はIPAが窓口となる枠組みがあり、外部への情報共有が必要な局面の動線を事前に整理できます。
フィッシングサイトに関する相談先として、フィッシング対策協議会やJPCERT/CCが整理されており、インシデントの内容別に窓口を使い分けられます。

経営者が関与する訓練整備

訓練を実効化するには、経営者が「最終決裁者」として判断訓練に参加し、通常の意思決定権限者が不在の場面も含めて回せるようにしておく必要があります。災害対応と同様に、セキュリティ有事でも、普段の業務とは異なる判断（通信遮断、外部公表、捜査対応など）が短時間で求められます。

訓練で点検すべき実務ポイント

意思決定権限の優先順位を第三位まで具体化し、代替者が「何をどう判断するか」をシナリオで訓練します。
対外連絡の順序（個情委の速報3〜5日目安、確報30日以内等の期限管理を含む）を、経営判断のチェックポイントに組み込みます（個人情報保護法第26条）。
相談窓口（IPA、JPCERT/CC）と捜査機関相談を、同時並行で走らせる際の役割分担を確認します。

内部監査の観点でも、権限順位に含まれる人が有事判断を理解していないと、訓練が形骸化します。したがって、役職者だけでなく代替者も含め、意思決定訓練を職位別に行う設計が現実的です。

よくある質問

IPAへのインシデント報告に法的義務はありますか？

IPAへのインシデント報告（届出）は、一般に企業に対して一律に罰則付きで強制される法的義務というより、被害抑止・再発防止に資する情報共有のための枠組みとして整理されます。

ただし、個人データの漏えい等に該当する場合は、個人情報保護法に基づき個情委への報告および本人通知が義務になります（個人情報保護法第26条）。報告は速報と確報の2段階で、速報は3〜5日以内が目安、確報は30日以内（場合により60日以内）の期限管理が必要です。また、起算点は経営層の認識時点ではなく、法人内のいずれかの部署が知った時点である点に注意が必要です。

軽微なウイルスや不正アクセス疑いでも届出すべきですか？

実害が明確でない段階でも、侵入の試行を示すログ等の客観的な痕跡がある場合や、検知情報を集約できている場合は、届出（報告）により社会全体の防御力向上に資することがあります。

軽微に見えても情報価値が高い例

防御により未遂で終わったが、侵入の試行を示すアクセスログ等が残っている。
EDRログやネットワーク機器ログに不審な認証試行や通信が残っている。
日常的なウイルス検知を、ウイルス名称・件数として期間集計し、傾向把握に使える形で整理できている。

ただし、個人データの漏えい等が疑われる場合は、届出の前に個情委への報告期限（速報3〜5日目安、確報30日以内等）を優先して設計する必要があります（個人情報保護法第26条）。

中小企業でもIPAの相談窓口を使えますか？

中小企業でも、インシデントの相談窓口を提供する機関（IPA、JPCERT/CC）を利用し、初動の切り分けや対応助言を得る運用が可能です。社内に専門人材が不足する場合ほど、外部の中立的な助言で「やるべきこと／やってはいけないこと」を早期に整理することが重要です。

また、IPAには標的型サイバー攻撃への対応支援を目的としたJ-CRATや、標的型攻撃メールに関する特別相談窓口といった整理もあるため、攻撃類型に応じて相談動線を設計しておくと実務が速くなります。

IPAと取引先はどちらを先に連絡すべきですか？

取引先のシステムや取引先から預かるデータに影響が及んでいる、またはそのおそれがある場合は、取引先の防御対応の猶予を確保するため、契約条項（通知義務）も踏まえて取引先への第一報を優先する整理が基本になります。

一方で、技術的な封じ込め・影響範囲特定に迷いがある場合は、IPAやJPCERT/CCの相談窓口を並行利用し、初動の助言を得るのが合理的です。

また、個人データの漏えい等が関係する場合は、取引先連絡と並行して個情委への報告（速報3〜5日目安、確報30日以内等）を期限管理する必要があります（個人情報保護法第26条）。

まとめ：IPA報告への対応で次にすべきこと

IPAへの対応は、「相談」と「届出（報告）」を目的で切り分けつつ、個人データの漏えい等が疑われる場合は個情委報告（速報3〜5日以内目安、確報30日以内等）を最優先で期限管理する、という整理が実務の出発点になります。連絡先の優先順位は、個人データ該当性・犯罪性・技術支援の緊急性の3軸で分け、必要に応じてIPA・JPCERT/CCの相談と、警察相談を並行させます。次アクションとしては、検知直後の通信遮断とログ保全を先行させたうえで、社内の記録を一元化し、対外説明に耐えるタイムラインと客観的痕跡（ログ等）を整理することが重要です。グループ会社・委託先・海外拠点の事案についても、形式的な法人格ではなく実質的な管理主体や波及可能性、委託元としての責任の有無で報告対象を線引きします。個別案件では法令・契約・事実関係の組合せで結論が変わり得るため、判断に迷う場合は法務・情シス・広報を含む体制で早期に論点を揃え、必要に応じて専門家に相談する前提で進めます。