クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップ（AI作成）

第１　本記事の対象と結論

１　対象

令和８年１０月７日，クラウドサービス「IDCFクラウド」の一部がランサムウェア攻撃を受け，契約する４９５の企業や自治体に影響が出たことが公表された。
自社のサーバーではなく，利用しているクラウド事業者が攻撃を受けた場合に，利用者である企業，自治体，法律事務所及び税理士事務所が個人情報保護委員会への報告と本人への通知をしなければならないかが問題になる。

本記事は，この問題を，個人情報保護法２６条，同法施行規則７条から１０条まで，個人情報保護委員会の通則編ガイドライン及びQ&Aに沿って整理する。
クラウド事業者の公表資料は，事案の説明のための素材として用いる。
特定の利用者に報告義務があるかどうかを判断するものではない。

２　結論

① クラウド事業者が利用者の個人データを取り扱わないこととなっている場合でも，報告義務を負うのは利用者である（Q&A６－２２）。
クラウド事業者は法２６条１項の報告義務を負わないが，契約等に基づいて利用者に通知する等の対応を求められる。
② クラウド事業者が個人データを取り扱う場合（委託）は，委託元と委託先の双方が原則として報告義務を負う。
③ 施行規則７条３号の「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為」には，利用者が使っているサービスの提供者に対する行為も含まれる（ガイドライン３－５－３－１）。
クラウド事業者へのランサムウェア攻撃は，この類型に当たり得る。
④ ３号の事態には人数の要件がない。
本人が１人でも，個人データの漏えい，滅失又は毀損が発生し，又は発生したおそれがあれば，報告対象となる。
⑤ ランサムウェアで暗号化され復元できなくなった個人データは「毀損」に当たる。
ただし，同じデータが他に保管されている場合は毀損に当たらない（ガイドライン３－５－１－４）。
利用者が自ら持つバックアップの有無が，報告対象事態に当たるかどうかを左右する。
⑥ 確報の期限は，３号の事態では，知った日を１日目として６０日以内である。
速報の目安は，知った時点から概ね３～５日以内である。

３　基準日と資料

本記事は，令和８年１０月１０日時点で，e-Gov法令検索で取得した個人情報保護法及び同法施行規則の現行条文，個人情報保護委員会の通則編ガイドライン（令和８年６月一部改正版）並びにQ&A（令和７年７月１日更新版）に基づく。
IDCフロンティアの事案は，同社が令和８年１０月７日から９日までに公表した第１報から第４報までの内容による。
侵入経路，データの窃取の有無，影響を受けた利用者の内訳等は，同日時点では公表されていない。

第２　IDCフロンティアの公表から分かること

１　公表の経過

第３報は，IDCFクラウドの別の型のサービス（TypeS）とプライベートクラウドは対象外であるとしている。

２　利用者側の公表の例

利用者の一つである日水物流株式会社は，親会社と連名で，令和８年１０月７日に，委託先のデータセンターへの第三者による不正アクセスとみられるシステム障害で商品の入出荷ができないと公表した。
同日の第１報は，個人情報や顧客データの外部への流出は確認中としていた。
同月９日の第２報は，委託先がIDCフロンティアであることを明らかにし，一部の入出荷業務を再開したうえで，被害を受けたサーバーに同グループが管理する個人情報や顧客情報は含まれないことを確認したとしている。

この例は，利用者が最初に確かめるべきことが，被害を受けた環境に個人データがあったかどうかであることを示している。
個人データが含まれていなければ，個人データの漏えい等は生じておらず，法２６条１項の報告の問題にはならない。

３　公表資料だけでは分からないこと

公表資料からは，個人データが外部に持ち出されたかどうか，侵入経路及び同社が利用者の個人データを取り扱う立場にあったかどうかは分からない。
次の第３以下の場合分けは，こうした事実が利用者ごとに異なることを前提にしている。

第３　クラウド事業者が個人データを取り扱うかで分かれる

１　「取り扱わないこととなっている」場合

個人情報保護委員会のQ&A７－５３は，クラウドサービスの利用が第三者提供又は委託に当たるかどうかについて，「保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準」になるとしている。
そして，クラウド事業者が個人データを取り扱わないこととなっている場合とは，「契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等」が考えられるとしている。

この場合，利用者は個人データを提供したことにならず，法２５条の委託先の監督義務も課されない。
もっとも，Q&A７－５４は，利用者が「自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要」があるとしている。
仮想サーバーを借りて利用者自身がシステムを動かす型のサービスは，この類型に当たることが多いと考えられるが，最終的には契約条項とアクセス制御の実態で決まる。

２　取り扱わない場合でも報告義務は利用者にある

Q&A６－２２は，クラウド事業者が個人データを取り扱わないこととなっている場合に報告対象となる漏えい等が発生したときは，「クラウドサービスを利用する事業者が報告義務を負います」と回答している。
同じ回答は，利用者が自らの報告をクラウド事業者に代行させることができるとしたうえで，クラウド事業者は法２６条１項の報告義務を負わないが，「契約等に基づいてクラウドサービスを利用する事業者に対して通知する等、適切な対応を行うことが求められます」としている。

したがって，「事故はクラウド事業者のシステムで起きたのだから，報告はクラウド事業者がする」という理解は正しくない。
利用者は，クラウド事業者からの個別連絡を待つだけでなく，自らの報告義務の有無を判断する必要がある。

３　取り扱う場合（委託）

クラウド事業者が個人データを取り扱うこととなっている場合は，個人データの取扱いの委託に当たる。
通則編ガイドライン３－５－３－２は，委託元と委託先の双方が報告対象事態に該当する場合には，原則として双方が報告義務を負い，連名で報告することができるとしている。
また，法２６条１項ただし書により，委託先が施行規則９条に従って委託元に通知したときは，委託先は報告義務を免れる。
この場合も，委託元である利用者の報告義務は残る。

令和８年１０月にWebサイト作成サービス「Studio」への不正アクセスが公表された事案では，運営会社（以下「Studio社」という。）は，各サイトのフォームの送信内容を「運営者からの委託を受けて」保管していると説明した。
同社は，個人情報保護委員会と協議した結果として，サイト運営者が個別に報告するか，同社が取りまとめて連名で報告するかを選べると案内し，連名報告には本人への通知が含まれないとしている。
委託元である運営者は，報告の方法とは別に，本人への通知の要否と方法を判断する必要がある。

第４　報告対象事態に当たるか

１　施行規則７条３号と「第三者の提供するサービス」

施行規則７条３号は，報告対象事態として，「不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データ…の漏えい等が発生し、又は発生したおそれがある事態」を定めている。

通則編ガイドライン３－５－３－１は，この「当該個人情報取扱事業者」に，委託先だけでなく，「当該個人情報取扱事業者が個人データを取り扱うに当たって第三者の提供するサービスを利用している場合における当該第三者」も含まれるとしている。
そのため，攻撃を受けたのが利用者ではなくクラウド事業者であっても，その攻撃によって利用者の個人データに漏えい等が生じ，又はそのおそれがあれば，３号の事態に当たり得る。
同じガイドラインは，３号の報告事例として「ランサムウェア等により個人データが暗号化され、復元できなくなった場合」を挙げている。

２　漏えい，滅失及び毀損を分けて考える

ランサムウェアの被害では，次の３つを分けて考える必要がある。

ガイドライン３－５－１－４は，ランサムウェアの事例について，個人データが同時に窃取された場合には漏えいにも該当するとしている。
バックアップから復元できたことで毀損に当たらないとしても，窃取の有無が分からない段階では，漏えいの「おそれ」の検討が残る。

IDCFクラウドの第３報は，一部のゾーンのデータの取り出しや復元が困難な見通しであり，復元は利用者自身のバックアップからのみ可能としている。
このような状況では，利用者が同じデータを他に保管していなければ，そのゾーンに置いていた個人データは毀損（又は滅失）に当たる可能性が高い。
反対に，利用者が別の場所に同じデータを保管していれば，毀損及び滅失には当たらず，漏えい又はそのおそれの有無が残る問題となる。

「同じデータが他に保管されているか」は，バックアップの名前や有無だけでなく，最終取得日時，対象ファイル・データベース，復元できる版及びその後の追加・更新分ごとに確認する必要がある。
例えば，前日のバックアップが戻っても，その後に登録した依頼者情報や更新した事件記録が戻らなければ，その差分まで同じ内容が別に保管されていたことにはならない。
実際に復元した範囲と未復元の範囲を分け，業務再開の確認と漏えい等の判定を別に記録する。

なお，ガイドライン３－５－１－４の別保管に関する説明は，暗号化された個人データの復元キーを喪失した例と，ランサムウェア等で暗号化された例に付されたものである。
内容が意図せず改変された場合まで，バックアップがあるという理由だけで一律に毀損から除外するものではない。
復旧処理による巻戻しと，攻撃者による上書き・窃取も区別して確認する。

３　人数の要件

施行規則７条４号は「個人データに係る本人の数が千人を超える」事態を定めている。
これに対して３号には人数の要件がない。
クラウド事業者への攻撃による漏えい等は，本人の数が少なくても３号の事態として報告対象になり得る。

地方公共団体等の行政機関等は，法６８条１項と施行規則４３条によって報告義務を負う。
同条４号の人数の基準は「百人を超える」であり，民間事業者の千人と異なる。
同条３号にも，行政機関等に対する不正の目的によるおそれがある行為の類型がある。

４　報告対象とならない場合

被害を受けた環境に個人データがなかった場合は，報告対象事態に当たらない。
日水物流の第２報はこの例である。
また，施行規則７条１号は「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたもの」を除いており，この除外は同条の各号に及ぶ。
利用者側で適切に暗号化していたデータかどうかも，判断の要素となる。

第５　期限，報告の方法及び本人への通知

１　速報

施行規則８条１項は，報告対象事態を知った後「速やかに」報告することを求めている。
通則編ガイドライン３－５－３－３は，法人では「いずれかの部署が当該事態を知った時点」を基準とし，「速やか」の目安を，知った時点から「概ね3～5日以内」としている。
速報は，報告をしようとする時点で把握している事項を報告すれば足りる。

クラウド事業者から被害の個別連絡を受けた時点は，利用者がその事態を知った時点と判断される可能性がある。
個人データの有無と復元の可否を確かめるまで速報を待つのではなく，確認中の事項を分けて速報し，確報で補うことを検討すべきである。

２　確報

施行規則８条２項は，確報の期限を，知った日から３０日以内とし，３号の事態では６０日以内としている。
ガイドライン３－５－３－４は，３号の事態に加え１号，２号又は４号にも当たる場合も６０日以内とし，知った時点を「1日目」として土日・祝日も含めて数え，末日が土日，祝日又は年末年始の閉庁日なら翌日を期限とする。

３　本人への通知

法２６条２項と施行規則１０条により，利用者は，報告対象事態を知った後，当該事態の状況に応じて速やかに，本人の権利利益を保護するために必要な範囲で，概要，個人データの項目，原因，二次被害又はそのおそれの有無及び内容並びにその他参考となる事項を本人に通知する。
本人への通知が困難な場合は，本人の権利利益を保護するために必要な代わりの措置をとることで足りる（法２６条２項ただし書）。

通則編ガイドライン３－５－４－５が挙げる「困難」の例は，本人の連絡先が含まれていない場合と，連絡先が古いために連絡できない場合であり，本人の連絡先を複数保有していれば，１つの手段で連絡できなかったからといって直ちに困難に当たるわけではない（Q&A６－３０）。
通知の相手方を送信の目的や内容で限定する定めはないので，殺害予告の送り主など危険な相手が本人に含まれる場合も，まず通知の時期と方法を調整して対応することになる。
この点は，漏えい等の本人通知は殺害予告や営業メールの送り主にも必要か―個人情報保護法２６条２項ただし書の「通知が困難な場合」とStudio事案で扱っている。

４　クラウド事業者に求める情報

利用者が報告と通知の内容を固めるには，クラウド事業者から，自社環境への影響，データの取出し・復元，持出しの痕跡と調査範囲，侵入経路と必要な措置，監督官庁等への報告及び引用できる資料を得る必要がある。
回答は提供者全体の公表と利用者個別の通知を分け，次の照会票に根拠と更新時点を対応付けるとよい。

公表されたアカウント数，漏えいを確認した人数及び可能性のある人数は，同じ単位・範囲であるとは限らない。
提供者全体の件数を自社顧客の漏えい確定件数に置き換えず，対象となる自然人と自社データを照合する。
ログの保存期限が迫る場合は調査完了を待たず，必要な記録の保全を依頼する。

持出しの痕跡が確認できないとの回答を評価するときは，その回答が調査した期間・記録の範囲内の説明であることを確認する。
調査対象外や重要なログの欠落がある場合には，漏えい等のおそれと報告要件を別に検討する。
報告書の点検項目は，情報漏えいのフォレンジック報告書をどう読むかを参照されたい。

利用者が経済安全保障推進法の特定社会基盤事業者であり，特定重要設備に関係する用途でクラウドサービスを使っている場合は，個人情報保護法の報告とは別に，重要電子計算機に対する不正な行為による被害の防止に関する法律５条による所管大臣と内閣総理大臣への報告が必要になることがある。
政府の解説資料（令和８年１０月１日）は，クラウドサービスも特定重要電子計算機に当たり得るとし，クラウドサービス事業者等からインシデント通知を受けたことを認知の例に挙げている。
同条の報告は，認知した後速やかな第一報と，認知した日から３０日以内の報告の２段階で行う。
届出・報告の対象と期限は，重要電子計算機防護法とはで説明している。

第６　法律事務所と税理士事務所が利用者であるとき

１　法律事務所

弁護士も，個人情報保護法の個人情報取扱事業者として法２６条の適用を受ける。
これとは別に，弁護士情報セキュリティ規程（令和４年会規第１１７号，令和６年６月１日施行）７条は，「弁護士等は、取扱情報の漏えい、滅失、毀損等の事故が発生した場合には、その影響範囲の把握に努め、必要に応じ、被害の拡大防止、原因調査、再発防止策の検討その他の措置を講じなければならない」と定めている。
同規程の「取扱情報」は個人データに限られないから，依頼者の法人情報や事件記録の滅失・毀損も対象になる。

弁護士職務基本規程１８条は，事件記録を保管し又は廃棄するに際して秘密及びプライバシーに関する情報が漏れないように注意すべきことを定めている。
クラウド上の事件記録が復元できなくなった場合は，裁判上の期限への影響と依頼者への説明も含めて対応を記録しておく必要がある。

２　税理士事務所

税理士法３８条は，税理士が正当な理由なく税理士業務に関して知り得た秘密を漏らし又は窃用することを禁じている。
同法４１条１項・２項は，税理士業務に関する帳簿を作成し，閉鎖後５年間保存することを求め，同条３項は帳簿を電磁的記録で作成することを認めている。

会計ソフトや業務管理システムをクラウドで使い，事務所の帳簿や顧客の申告データをそこに置いている場合，事業者の被害でデータが失われると，個人情報保護法の報告の問題と，帳簿の保存の問題が同時に生じる。
顧客の会計データについては，事務所がクラウドを「利用者」として使っているのか，顧客が契約したクラウドに事務所がアクセスしているだけなのかで，報告義務を負う者が変わる。
平時に，データごとの契約者と保存場所を一覧にしておくことが有用である。

事業者への照会では，顧客ごとに，原資料，会計データ，給与資料，申告データ及び受付結果を，契約者・保存環境・取扱者と対応付けるとよい。
顧客が契約したサービスに事務所がアクセスする場合も，契約名義だけで結論を出さず，事務所が取り扱うデータ，顧客から受託した業務及び事故の対象範囲を確認する。
法人顧客への連絡と，給与資料等に含まれる個人の本人通知も同じものではないため，通知の主体と対象を分けて記録する。

税理士事務所で復元試験を行うときは，税理士業務処理簿，顧客から受け取った原資料，会計データ，送信した申告データ及び受付結果を分け，それぞれの保存先，版及び取出しに必要な権限を確認する運用が考えられる。
データを開けることに加え，どの申告が送信済みで，どの受付結果が未確認なのかを照合できるようにする。

e-Taxソフト操作マニュアル第１１章は，送信したデータのダウンロード（２０９頁）と受付結果の保存（２１１頁）を別々の操作として案内している。
また，国税庁の受信通知の保存期間に関する案内では，通知の種類に応じた保存期間が示されている。
必要な受付結果は，サービス上でいつでも参照できるという前提を置かず，正規の保存機能で保全し，事務所が定めた閲覧権限と安全な保管方法で取り出せるかを確かめる。
ここでいう受信通知のシステム上の保存期間と，税理士業務処理簿の閉鎖後５年間の保存義務は，根拠も対象も異なる。

第７　クラウド契約と事業者の責任

１　免責・責任制限条項

クラウドサービスの約款には，データの消失やサービス停止について事業者の責任を制限する条項が置かれていることが多い。
クラウド約款そのものについての判断ではないが，システム開発・構築の委託契約では，契約金額を上限とする責任制限条項について，受託者に故意又は重過失がある場合には適用されないとした裁判例がある。

東京地裁平成２６年１月２３日判決（平成２３年（ワ）第３２０６０号）は，ECサイトの受注システムにSQLインジェクション対策を施さなかった受託者に重過失を認め，損害賠償額を個別契約の代金の範囲内に制限する条項を適用しなかった。
前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）は，市の情報教育ネットワークのデータセンターの移管設計・構築を受託した事業者が，外部と内部のファイアウォールを全ての通信を許可する設定のまま引き渡した事案で，同じ考え方を示し，同判決を参照して「少なくとも重過失がある」として責任限定の条項を適用せず，１億４２９８万円余の支払を命じた。
同判決は，損害として，デジタルフォレンジックの委託料等を認めている。

クラウド事業者の責任を検討する場合も，約款の文言だけでなく，事故の原因と，事業者が約束していた対策の内容を確かめる必要がある。

２　契約で確かめておく事項

バックアップと取出し支援は，保存の有無に加え，どの認証・回線・端末で利用できるか，復元鍵を誰が管理するか，障害中にも使える窓口があるかを確認する。
障害の通知，調査資料の提供及び復元支援を行う担当と，追加費用・利用者側の作業も契約と実際の運用に照らして整理する。
別の事業者へ保存していても，同じ認証サービス又は一つの管理端末に依存していれば，共通障害に対する代替になるとは限らない。

第８　平時に準備しておくこと

① 利用しているクラウドサービスごとに，置いている個人データの種類，本人の数及び要配慮個人情報の有無を一覧にする。
② クラウド上のデータと同じデータを，別の事業者又は通常の端末・ネットワークから切り離した場所に保管する。
同じ内容のデータが他に保管されている場合の通則編の扱いと，そのデータを期限内に取り出して業務を再開できるかは，分けて確認する。
③ バックアップが実際に復元できるかを定期的に確かめる。
④ 事業者から障害の連絡を受けたときの担当者，個人情報保護委員会への報告の判断者及び本人通知の文案を決めておく。
⑤ 契約の更新時に，第７の２の項目を確かめる。

バックアップがあること，個人情報保護法上の漏えい等の判断及び期限内に業務を再開できることは，別々に確認する。
通則編３－５－１－４は，復元キーの喪失又はランサムウェアによる暗号化の例について，内容と同じデータが他に保管されている場合の扱いを示す一方，窃取があれば漏えいも問題となる。
古いバックアップしかない場合は，欠落した変更の内容も確認する。
単にサービスが停止したことだけで，報告義務の有無を一律に判断しない。

平時の点検では，バックアップ本体，復元鍵，手順書，管理者認証，障害連絡先及び期限台帳を並べ，どのサービスが止まると同時に使えなくなるかを記録する。
事業者名の違いだけで独立性を判断せず，認証，ネットワーク，端末及び担当者の不在も確認する。
必要な資料を安全に開けるまでの時間と，最後の保存後に発生した変更を補えるかを分けて試す。
取出した資料の版・時刻・確認者，失敗した手順及び改善期限を記録する運用が考えられる。

２０２１年１０月４日のFacebook障害について，Metaの公式説明は，ネットワークとDNSの障害が通常のアクセスと内部の調査・復旧ツールを妨げ，現地の安全なアクセスを有効化するにも時間がかかったと述べる。
この事例はランサムウェア事故の説明ではなく，復旧用の道具まで同じ基盤に依存する問題を示す例である。
ここから大手クラウドの同時停止確率や，社員証認証の具体的な故障原因を推定しない。

訓練は，通常のクラウド認証を使えないという想定と模擬資料から始める。
本番の認証・暗号化を不用意に解除せず，権限者だけが代替手段を使えるかを確認する。
依頼者の秘密を含む非常用の複製は，必要最小限の情報，閲覧権限，暗号化，更新・持出し・廃棄の管理を定める。
復旧後は，障害中の提出・連絡の成否と資料の差分を照合し，二重送信や古い版の上書きを避ける。
事故当日の対応は法律事務所のサイバー事故初動チェックリストを参照されたい。

定期的な復元試験では，ファイルが開くことだけでなく，対象データの件数・版・整合性，最終取得後に失われ得る差分及び業務を再開するまでの時間を確かめる。
復元対象から外れるログ，メッセージ，添付資料又は新規登録がないかも確認し，追加保管や再入力の担当を決める。
これらは，ガイドラインの「同じデータ」の確認と，事業継続のための実務上の点検を具体化したものである。

別保管のデータがあることと，障害中に必要な業務を再開できることは別に確認する。
同じクラウドの管理画面や共通認証が使えない状態でも，権限者が期限情報，連絡先及び必要な原資料を取り出して読めるかを試す。
バックアップについても，復元できたデータの範囲・時点と所要時間を記録し，通常の認証，暗号鍵又は閲覧ソフトへの依存を確認する。
これらは業務継続の点検であり，個人情報保護法上の漏えい等報告の該当性は，実際の事象と報告対象の要件によって別に判断する。

IPA「中小企業のためのクラウドサービス安全利用の手引き」は，責任分担，利用者によるバックアップ，更新及び支援の確認を整理している。
次の表を，契約しているサービスと事務所・企業の実際の権限に合わせて点検する。
秘密情報の複製は必要最小限とし，閲覧権限，暗号化，更新及び廃棄の担当を定める。

期限，依頼者連絡及び預り金を含む業務継続計画の立て方は，法律事務所のクラウド・決済障害に備えるBCPで整理している。

第９　関連記事

クラウド事業者側の事故を含め，利用企業が平時に準備する契約・連絡体制，発覚後の証拠保全，行政報告，本人通知及び対外公表の順序は，情報漏洩が相次ぐ今，企業の信頼を守る法務の備えで整理している。

個人情報保護委員会が示した不正アクセスの類型と対策は，個人情報保護委員会が示した不正アクセス９類型―API，クラウド，グループ会社，個人領域及びログ管理で扱っている。
委託先で漏えいが起きた場合の委託元の対応は，外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督を参照されたい。
法律事務所の初動は，法律事務所のサイバー事故初動チェックリスト―発覚後10分・当日中・後日に行うこと及び弁護士情報セキュリティ規程とは―全７条の内容，基本的な取扱方法及び漏えい等事故の対応で扱っている。
緊急時の判断の記録は，弁護士・税理士が緊急時に残す意思決定記録―爆破予告，サイバー事故及び電子申告障害を参照されたい。
ECサイトのカード情報の漏えいと開発委託先の責任は，ECサイトのカード情報漏えいと加盟店の義務―割賦販売法３５条の１６，クレジットカード・セキュリティガイドライン６．１版及び開発委託先の責任で扱っている。

第１０　出典

１　法令・会規

e-Gov法令検索で令和８年１０月１０日に確認した。
個人情報の保護に関する法律２３条，２５条，２６条，６８条
個人情報の保護に関する法律施行規則７条，８条，９条，１０条，４３条
税理士法３８条，４１条
日本弁護士連合会「弁護士情報セキュリティ規程」（令和４年会規第１１７号）７条
日本弁護士連合会「弁護士職務基本規程」１８条

２　個人情報保護委員会の資料

個人情報の保護に関する法律についてのガイドライン（通則編）３－５－１－２から３－５－１－４まで，３－５－３－１から３－５－３－４まで，３－５－４－５
「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（令和７年７月１日更新）Q６－２２，Q６－３０，Q７－５３，Q７－５４

個人情報保護委員会「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」（令和８年１月１６日）３１～３８頁。
調査対象・対象外，ログの欠落及び漏えいの可能性を評価するための着眼点が示されている。
https://www.ppc.go.jp/files/pdf/260116_forensics_keypoints.pdf

３　事業者の公表資料

株式会社IDCフロンティア「当社サービスの一部システムに対する不正アクセスについて」（第１報，令和８年１０月７日）
株式会社IDCフロンティア「【第2報】当社サービスの一部システムに対する不正アクセスについて」（令和８年１０月７日）
株式会社IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」（令和８年１０月８日）
株式会社IDCフロンティア「【第4報】不正アクセスによる障害への対応体制について」（令和８年１０月９日）
株式会社ニッスイ・日水物流株式会社「日水物流株式会社におけるシステム障害について（第1報）」（令和８年１０月７日）
株式会社ニッスイ・日水物流株式会社「日水物流株式会社におけるシステム障害について（第2報）」（令和８年１０月９日）
Studio Inc.「Studioにおける不正アクセスに関するご案内」（令和８年１０月２０日１２時３０分最終更新，同月２５日確認）

４　裁判例（裁判所HP掲載）

前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）

５　裁判例（判例秘書で確認）

東京地裁平成２６年１月２３日判決（平成２３年（ワ）第３２０６０号，判例秘書の判例番号　Ｌ０６９３０１８７）