第１ 事故件数を評価する前に確かめること
１ 結論
「これまで情報漏えいはゼロである」という説明を受けても，その数字だけで安全管理が十分であるとは判断できない。
実際に事故がなかった場合と，検知できなかった場合，社内へ報告されなかった場合，集計から除外された場合を区別する必要がある。
一方，事故ゼロの企業が必ず最も危険であるとか，事故を公表した企業の方が安全であるという順位を，件数だけから付けることもできない。
本記事は，企業の法務担当者，顧問弁護士及び法律・税理士事務所が，事故件数やサイバー統計を用いて管理体制を点検する場面を扱う。
資料の基準日は令和８年１０月１３日であり，以下の質問票は公表資料を踏まえた運用上の提案である。
個別企業の安全性又は法的責任を認定するものではない。
２ 発生，検知，報告及び公表を分ける
事故が発生していても，担当者が気付かなければ検知件数には入らない。
検知されても社内報告がなければ経営者の把握件数に入らず，行政への報告又は一般への公表の件数とも一致しない。
統計を読むときは，どの段階を数えているかを最初に確認する。
| 数字の段階 | 確認する事項 |
|---|---|
| 発生 | 何を事故と定義し，どの期間・システム・データを対象にしたか。未検知の事案まで数えられる資料か。 |
| 検知・認知 | 誰がどの方法で発見したか。相談，外部通知，監視対象外の機器を含むか。 |
| 報告 | 社内報告，行政への法定報告，警察への被害報告のどれか。報告対象や経路が変わっていないか。 |
| 公表 | ウェブサイト等で公表された事案か。未公表の報告や対象外の事案を含むと誤解していないか。 |
第２ ゼロ件の説明には複数の可能性がある
１ 事故がない場合と見えていない場合
ここで問題にする暗数は，実際には存在していても認知された件数に表れない事案である。
その規模がゼロという表示だけから分かるわけではない。
集計がゼロである場合には，少なくとも次の可能性を分けて確認するとよい。
どれに当たるかは，数字だけでなく，台帳，ログ，相談記録及び報告の運用から判断する。
| 可能性 | 確認する記録・運用 |
|---|---|
| 対象期間中に事故がなかった | 対象資産と監視範囲が明確であり，点検・相談・委託先通知を確認したか。 |
| 事故があったが検知できなかった | ログを取得していない環境，監視していない機器，保存期間外の空白がないか。 |
| 検知したが報告されなかった | 報告先が分かるか。担当者が不在でも報告できるか。軽微と自己判断して記録を残さない運用がないか。 |
| 定義又は集計範囲が狭い | 誤送信，誤共有，持出し，滅失・毀損，委託先事故又は未遂を別集計にしていないか。 |
２ 相談しやすさと記録の質も見る
事故件数を減らす目標だけを掲げると，担当者が相談をためらう運用になっていないかを確認する必要がある。
相談を受けたことと違反を認定したことを分け，誤送信の疑い，設定ミス又は不審な操作でも記録できる入口を設ける方法が考えられる。
相談件数の増加だけで管理の悪化を決め付けず，内容，検知方法，対応時間及び是正結果を併せて見る。
これは，報告を増やせば事故が減るという効果を保証する説明ではない。
報告経路が実際に使えるか，報告後に必要な調査と改善が進むかを点検するための考え方である。
第３ 公的な報告件数の増加を読む
１ 報告義務化による観測の変化
個人情報保護委員会の令和４年度年次報告９頁は，漏えい等の報告７６８５件が前年度の受付５８４６件より増えたことについて，報告の義務化と周知等によるものと考えられると説明している。
前年度との報告経路の内訳も異なるため，この数字をそのまま実際に発生した漏えいの増加率として扱うことはできない。
この説明は当該年度の評価であり，以後の全ての年度の増加原因まで確定するものではない。
https://www.ppc.go.jp/files/pdf/050609_annual_report.pdf
２ 不審アクセス数と被害報告数は別である
警察庁の令和８年上半期資料では，センサーが観測した不審アクセスは１日・１IPアドレス当たり１万３６８７件で，前年同期比５０．７％増とされている。
これに対し，ランサムウェアの被害報告は１２３件で，前年同期の１１６件とは別の単位で集計されている。
前者は成功した侵入件数でも被害企業数でもないため，二つの数字を同じ現象の増加率として比較しない。
資料中の割合にも設問ごとの母数がある。
例えば，セキュリティパッチを適用していなかったとする１７件・５８．６％は，当該設問の有効回答２９件を分母としており，被害報告１２３件全体を分母とする割合ではない。
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
第４ 「内部検知５２％」は何を表すか
１ 調査済み事案の検知源の構成比
MandiantのM-Trends 2026 Executive Edition３頁は，２０２５年中に行った調査について，内部検知５２％，外部からの通知３４％，攻撃者からの通知１４％と示している。
ここでの割合は，調査対象となった事案を最初に把握した経路の構成比である。
未発見の侵入を含む全侵入のうち５２％を検知したという測定ではなく，残り４８％が未検知であるとの計算もできない。
２ 年，対象及び統計量を付けて説明する
同資料は，２０２５年１月１日から１２月３１日までの標的型攻撃活動に関するMandiant Consultingの調査に基づく。
報告書の年号である２０２６年と，調査対象の年である２０２５年を分けて記載する。
民間調査会社の対応事案は重要な観測資料であるが，日本の全企業や小規模事務所を代表する無作為標本ではない。
滞留期間についても，同資料３頁の全体中央値１４日と，諜報型及び北朝鮮ITワーカーの各事案の中央値１２２日を区別する。
異なる対象の平均値や中央値を足し合わせて，自社の危険が続く期間を算出しない。
https://services.google.com/fh/files/misc/m-trends-2026-executive-edition-en.pdf
第５ 顧問先・専門職事務所で使う確認票
１ 件数の説明と管理の実態を対応させる
法務担当者又は事務所の情報管理担当者は，事故ゼロという説明を受けたとき，次の事項を管理者・保守業者に確認し，回答の根拠となる記録を保存するとよい。
回答がない項目は安全と評価せず，確認担当，期限及び暫定措置を決める。
重大な侵害の疑いがあるときは，定期点検の終了を待たず，技術担当者と法務担当者に相談する。
| 確認事項 | 求める説明・証拠 |
|---|---|
| 件数の定義と期間 | 何を１件と数えたか。疑い，誤送信，滅失・毀損，委託先事故を含むか。 |
| 資産と検知範囲 | 端末，VPN，メール，クラウド及び管理者アカウントの一覧と監視対象外。 |
| ログと点検 | ログの種類，保存期間，確認頻度，最終確認日及び取得できなかった範囲。 |
| 相談・報告経路 | 担当・代替者，外部通知の受領先，エスカレーション及び受付記録。 |
| 検知後の処理 | 封じ込め，証拠保全，報告判断，是正の担当・期限及び完了確認。 |
２ 税務資料と事件資料への当てはめ
税理士事務所では，顧客の会計データ，給与資料，申告データ及び受付結果が，どの契約・アカウント・保存先に属するかを対応付ける。
法律事務所では，事件記録，依頼者連絡，電子提出及び期限台帳について同じ確認を行う。
データごとに検知・照会できる範囲が異なるため，事務所全体の事故件数だけで各顧客・事件の影響を説明しない。
第６ 安全管理，報告義務及び民事責任を分ける
個人情報保護法２３条の安全管理措置と，２６条の漏えい等報告・本人通知は別の検討である。
報告対象事態は施行規則７条の要件によって判断し，事故ゼロという過去の説明や，持出しの痕跡が未確認という一点だけで結論を出さない。
一方，統計上の暗数があることだけで，特定企業に漏えいや報告義務違反があったと認定することもできない。
民事責任は，契約，具体的な管理措置，予見可能性，因果関係及び損害によって検討する。
行政の報告件数やベンダー調査の割合が，そのまま個別事件の過失又は損害の証明になるわけではない。
実際の対策とログ台帳は，個人情報保護委員会が示した不正アクセス９類型を参照されたい。
事故発覚後の対応は，法律事務所のサイバー事故初動チェックリスト，クラウド事故の報告義務は，クラウド事業者がランサムウェア被害を受けたときの利用者の報告義務で扱っている。
第７ 出典
①個人情報保護委員会「令和４年度個人情報保護委員会年次報告」本文９頁（PDF１５頁）。
https://www.ppc.go.jp/files/pdf/050609_annual_report.pdf
②警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」本文５・９頁及び統計１５３頁。
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
③Mandiant「M-Trends 2026 Executive Edition」３頁。
https://services.google.com/fh/files/misc/m-trends-2026-executive-edition-en.pdf
④個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－３。
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
⑤e-Gov法令検索「個人情報の保護に関する法律」２３・２６条及び同法施行規則７条。
https://laws.e-gov.go.jp/law/415AC0000000057
https://laws.e-gov.go.jp/law/428M60020000003