サービスが動いていても情報漏えいは起こる。委託サービスの利用継続を判断するには

「サービスは問題なく動いているので、そのまま使い続けて大丈夫だろう」と判断するのは、リスクを伴います。たとえシステムの稼働に影響がなくても、裏側で顧客情報や機密情報が盗み出されている可能性があるからです。まずは、自社がそのサービスを通じて「どのような情報を預けているか」を整理することから始めてください。

次に、委託先の発表内容から、漏えいした情報の種類と、自社に関連するデータの有無を照らし合わせます。この整理が、業務を継続するか、代替手段へ切り替えるかを決めるための第一歩となります。

委託先のインシデントで確認すべき情報の種類

漏えいしたデータの項目と自社データの照合

委託先からインシデント（予期せぬ事故や攻撃）の報告があった際、真っ先に確認すべきは「何が漏えいしたか」という具体的な項目です。例えば、あるカーシェアサービスの事例では、氏名や住所、運転免許情報などが対象となりました。

ここで重要なのは、単に項目を見るだけでなく、自社がそのサービスを利用する上で「どのような情報を登録しているか」と比較することです。自社が法人契約をしており、社員の氏名や連絡先、あるいは運転免許証の画像などを登録している場合、自社の情報が直接的な被害に遭っている可能性が高まります。

もし、漏えいした項目に自社の機密情報や、顧客から預かっている重要なデータが含まれているのであれば、自社への影響を慎重に評価する必要があります。担当者は、委託先の発表資料にある「漏えいした情報」のリストと、自社の利用実態を照らし合わせる作業を行うことが求められます。この照合結果が、その後の経営判断の根拠となります。

パスワードや連携IDの安全性の見極め

情報の種類を確認する際、パスワードの管理状態についても詳しく見る必要があります。多くのサービスでは、パスワードをそのままの文字で見ることができない形式で保存するなどの対策を講じています。これにより、万が一データが盗まれても、パスワードそのものが即座に悪用されるリスクを低減させることを目的としています。

しかし、複数のサービスで同じパスワードを使い回している場合、別の経路からログインを試みられる「パスワードリスト攻撃」などの二次被害につながる恐れがあります。

また、最近では複数のサービスを紐づけて使う「連携サービスID」の利用も増えています。例えば、ある会員サービスにログインすることで、他のサービスも利用できる仕組みです。

もし連携先のIDが漏えい対象に含まれている場合は、その連携の仕組みを通じて他のシステムへ不正なアクセスが行われる可能性についても、調査状況を確認しながら検討する必要があります。担当者は、委託先の発表において「パスワードの形式」や「連携IDの扱い」がどのように記載されているかを、注意深く読み解くことが求められます。

クレジットカード情報などの決済情報の有無

金銭的な被害に直結するのが、クレジットカード情報などの決済に関するデータの扱いです。インシデントの報告において「クレジットカード情報は漏えいしていない」という文言があるかどうかは、非常に重要な判断材料になります。もし決済情報が漏えいしていることが判明した場合、不正利用による直接的な金銭被害が発生するリスクが極めて高くなります。

ただし、委託先の「漏えいしていない」という発表をそのまま鵜呑みにするのではなく、調査の進捗状況にも注目してください。調査は進行中であることも多く、後から新たな事実が判明する場合もあります。自社がそのサービスで法人カードを利用しているのか、あるいは個人のカードを登録しているのかといった、決済手段の状況も併せて整理しておきましょう。

決済情報の安全性が確認できない段階では、新たな支払い情報の登録を控えるなどの慎重な対応が検討されます。

業務を継続するか停止するかを判断する基準

自社への直接的な影響度による判断

委託先のサービスが稼働していても、業務を継続するかどうかの判断基準は「自社への影響度」にあります。まず考えるべきは、漏えいした情報の中に、自社の社員情報や顧客情報が含まれているかどうかです。もし含まれている場合、その情報が悪用されて、自社に対してなりすましメールが届いたり、電話での詐欺が発生したりするリスクを想定しなければなりません。

次に、業務への影響を考えます。サービス自体は動いていても、セキュリティ対策のために委託先が一部の機能を制限したり、調査のためにシステムを一時停止したりする可能性があります。また、情報の漏えいによって、自社の社会的信用が損なわれるリスクも無視できません。

例えば、自社の顧客情報を預けているサービスで大規模な漏えいが起きた場合、自社の顧客に対して「どのような説明を行うか」という観点からも、継続か停止かの判断が必要になります。

代替手段への切り替えにかかるコストと時間

業務を停止して別のサービスへ切り替える判断をする際には、「代替手段の準備にかかるコストと時間」を現実的に計算する必要があります。すぐに別のサービスへ乗り換えられるのか、それとも新しいシステムを導入して設定をやり直すのに数週間かかるのかによって、経営判断は大きく変わります。

急いで切り替えようとして、準備不足のまま不完全な手段へ移行することは、別のリスクを生むことになりかねません。

具体的には、担当者は「今のサービスを使い続けた場合のリスク」と「新しい手段へ切り替える際にかかる手間・費用・業務停止期間」を比較検討しなければなりません。もし、代替手段の確保が困難で、かつ現在のサービスによるリスクが許容範囲内であれば、当面は継続しながら監視を強めるという選択肢もあります。

この比較は、単なる技術的な問題ではなく、事業を止めないための経営的な判断です。

委託先の再発防止策と信頼性の評価

サービスを使い続けるかどうかは、委託先がどのように事態に対処し、今後どのように対策を講じるかという「信頼性」にも左右されます。委託先が外部の専門機関による調査（フォレンジック調査など）を実施しているか、警察や関係機関へ適切に報告しているかといった対応の透明性は、その企業の危機管理能力を示す指標となります。

対応が不透明であったり、情報の公開が遅すぎたりする場合は、今後の継続利用に疑問を持つべきです。

また、発表されている「再発防止策」の内容も重要です。単に「注意します」といった精神論ではなく、具体的な技術的対策や運用ルールの変更が示されているかを確認してください。再発防止策が具体的に示され、それが自社の求めるセキュリティ水準を満たしていると判断できれば、継続利用の判断を下しやすくなります。

担当者は、委託先の公式サイトなどで公開される続報を継続的にチェックし、その姿勢を評価する役割を担います。

担当者が委託先へ確認すべき具体的な質問

漏えい範囲の特定状況と今後の調査方針

インシデントが発生した際、担当者が委託先の窓口へ確認すべき最初の事項は、「現在、どこまでの調査が進んでいるか」という点です。委託先の発表が「第1報」「第2報」と段階的に出されている場合、調査がどのフェーズにあるのかを把握することが重要です。例えば、「対象となるお客様の範囲は確定しているのか」「まだ調査中の項目はあるのか」といった質問を投げかけます。

また、今後の調査方針についても確認しておきましょう。「いつ頃、次の報告が予定されているのか」「新たな事実が判明した際の連絡手段はどうなっているのか」といった点を聞いておくことで、自社内での情報共有のタイミングを計ることができます。

委託先が「調査中」としている範囲に、自社の利用データが含まれている可能性がある場合は、その不確実性を踏まえた上で、社内のリスク管理担当者へ報告を行う必要があります。

自社データへの影響と具体的な被害状況

次に確認すべきは、より踏み込んだ「自社への直接的な影響」です。委託先の一般的な発表内容では、「お客様の皆様へ」という形での広範な案内になりがちですが、法人利用をしている場合は「自社が登録している特定のデータに影響はないか」を具体的に問う必要があります。

例えば、「法人会員として登録している部署名や連絡先は対象に含まれているか」といった、自社の利用形態に即した質問です。

さらに、現時点で確認されている「被害の有無」についても確認します。単に「情報が取得された可能性がある」という段階なのか、それとも「実際に不正利用が確認されている」段階なのかによって、自社が取るべきアクションの内容は異なります。

もし、自社のデータが既に悪用されている疑いがある場合は、パスワードの変更や、不審な連絡への警戒指示を出すなどの緊急対応を検討する必要があります。具体的な対応については、社内のセキュリティポリシーや専門家の指示に従ってください。

セキュリティ対策の強化内容と報告の仕組み

最後に、今後の継続利用を判断するための材料として、「どのような対策を講じるのか」を確認します。これは、単に「再発防止策を公表する予定です」という回答で終わらせず、どのような観点で対策を検討しているのかを掘り下げて聞くことが理想です。例えば、「外部からの通信遮断などの技術的な対策」なのか、「管理体制の見直しなどの運用面の対策」なのかといった点です。

また、今後、自社に対してどのように情報を共有してくれるのか、その「報告の仕組み」についても確認しておきましょう。インシデントは一度で終わることは少なく、調査が進むにつれて状況が変わることもあります。継続的に情報を得られるルートが確保されているかどうかは、委託先との信頼関係を維持し、自社を守り続けるための重要な要素となります。

これらの回答をまとめることで、経営層に対して「継続か停止か」の根拠を持った提案が可能になります。

組織として備えておくべき事前の備え

利用しているサービスの資産管理と情報の棚卸し

インシデントが起きてから慌てないためには、平時から「自社がどのサービスを使い、どのような情報を預けているか」を整理しておくことが重要です。これを「資産管理」や「情報の棚卸し」と呼びます。

具体的には、社内で利用しているクラウドサービスやWebシステムの一覧を作成し、それぞれのサービスに「社員の氏名」「住所」「クレジットカード情報」「顧客データ」といった、どの種類の情報が登録されているかを紐づけておきます。

このリストがあれば、委託先から「〇〇の情報が漏えいした」という発表があった際、即座に「自社への影響はこれくらいだ」と判断できます。担当者が一人で抱え込むのではなく、部署ごとに利用しているサービスを洗い出し、管理台帳としてまとめておくことが、組織としての初動を早める鍵となります。

IPA（情報処理推進機構）が提供しているような資産管理のサンプルを活用するのも有効な手段です。

インシデント発生時の連絡ルートと判断基準の策定

インシデントが発生した際に、「誰が」「誰に」「何を」報告し、「誰が」最終的な判断を下すのかというルールを事前に決めておく必要があります。現場の担当者が独断で「サービスを停止します」と決めるのはリスクがありますし、逆に「何も報告せずに使い続ける」こともリスクになります。あらかじめ、情報の重要度に応じた「判断基準」を定めておくことが大切です。

例えば、「顧客の個人情報が含まれる漏えいなら、即座に業務を停止し、経営層に報告する」「ログイン情報の漏えいのみであれば、パスワード変更を実施した上で業務を継続する」といった、具体的なシナリオに基づいたルールです。このルールを策定しておくことで、混乱する現場での迷いを減らし、組織として一貫した、迅速な対応が可能になります。

これは、中小企業向けのガイドラインでも推奨されている、組織的な対応の基本です。

バックアップの取得と代替手段の検討

万が一、利用中のサービスが停止したり、セキュリティ上の理由で利用を断念したりすることに備え、データのバックアップを定期的に取得しておくことは極めて重要です。サービスが動いていても、インシデントの影響でデータが書き換えられたり、調査のためにアクセスできなくなったりする可能性があるからです。

バックアップは、単にデータをコピーするだけでなく、「いざという時に、別の場所から復旧できる状態か」を定期的に確認しておくことが重要です。

また、主要な業務で使用しているサービスについては、あらかじめ「もしこれが使えなくなったら、どうやって業務を回すか」という代替手段を検討しておきましょう。別のサービスへの切り替えプランや、一時的な手作業による運用方法など、複数の選択肢を持っておくことで、予期せぬ事態が起きても事業を継続できる可能性が高まります。

事前の備えが、企業の持続的な成長を守るための防波堤となります。