# セキュリティインシデント報告書（ひな形）

> このひな形は、BlueAI セキュリティが、個人情報の保護に関する法律施行規則第7条と第8条、個人情報保護委員会のガイドライン（通則編）、IPA「中小企業のためのセキュリティインシデント対応の手引き」、警察庁の資料、「サイバー攻撃被害に係る情報の共有・公表ガイダンス」をもとに作成した社内記録用の書式です。個人情報保護委員会への漏えい等報告は、この書式ではなく、委員会の報告フォームか、ランサムウェアなどのサイバー攻撃の事案では委員会が案内する共通様式（Excel）で行います。【】の中を書き換えて使い、法的な判断が要る点は専門家に確認してください。
> 出典と解説 https://security.blueai.jp/guides/incident-report-template/

## 1. 報告書の基本情報

| 項目 | 記入欄 |
| --- | --- |
| 報告書の番号 | 【例 2026-001】 |
| 版 | 【第一報 / 続報（第◯報） / 最終報】 |
| 作成日時 | 【年月日 時刻】 |
| 作成者 | 【所属、氏名】 |
| 責任者 | 【所属、氏名】 |
| 配布先 | 【経営者、関係部署、委託元など】 |

## 2. 概要

| 項目 | 記入欄 |
| --- | --- |
| インシデントの分類 | 【情報漏えい / ウイルス感染 / ランサムウェア / 不正アクセス / システム停止 / その他】 |
| 発覚日時 | 【インシデントを社内のいずれかの部署が知った日時】 |
| 発生日時 | 【調査でわかった発生日時。不明なら「調査中」】 |
| 発見者と発見のきっかけ | 【例 社員が画面の脅迫文に気づいた / 監視サービスから通知があった】 |
| 起きていること | 【表に出ている事柄、被害、影響】 |
| 委託元、委託先の関わり | 【受託した業務に関わる場合は委託元の名称。委託先で起きた場合は委託先の名称】 |

## 3. 対応の経過（時系列）

| 日時 | 誰が | 何をしたか、何がわかったか |
| --- | --- | --- |
| 【日時】 | 【氏名】 | 【例 感染した端末を LAN から切り離した。電源は切っていない】 |
| 【日時】 | 【氏名】 | 【例 警察署に通報した。受理番号 ◯◯】 |
| 【日時】 | 【氏名】 | 【 】 |

## 4. 被害の範囲

| 項目 | 記入欄 |
| --- | --- |
| 被害を受けたシステム | 【サーバ、端末、クラウドサービスの名前と台数】 |
| 漏えい等した（おそれのある）個人データの項目 | 【例 氏名、住所、電話番号、クレジットカード番号】 |
| 本人の数 | 【人数。わからなければ「調査中」と最大の見込み】 |
| 個人データ以外の情報 | 【取引先の情報、営業秘密など】 |
| 二次被害の有無と内容 | 【例 なりすましメールの報告あり / 確認されていない】 |
| 業務への影響 | 【止まった業務、再開の見込み】 |

## 5. 個人情報保護委員会への報告に当たるか

施行規則第7条の4つのどれかに当たれば、委員会への報告と本人への通知が要ります。当たるものに ✓ を付けます。

| 事態 | 当たるか |
| --- | --- |
| 一 要配慮個人情報（病歴など）を含む個人データの漏えい等（高度な暗号化などの措置をしたものを除く） | □ |
| 二 不正に使われると財産の被害が生じるおそれがある個人データの漏えい等（例 クレジットカード番号） | □ |
| 三 不正の目的で行われたおそれがある行為による漏えい等（例 不正アクセス、ランサムウェア、従業者による持ち出し） | □ |
| 四 本人の数が1,000人を超える漏えい等 | □ |

漏えい等が「発生したおそれ」がある段階でも当たります。

## 6. 原因

| 項目 | 記入欄 |
| --- | --- |
| いま考えられる原因 | 【例 VPN 機器の更新が当たっていなかった / 多要素認証のないアカウントが使われた】 |
| 調査でわかった原因 | 【調査会社の報告などで確かめた原因】 |
| 侵入経路 | 【わかっている範囲で。不明なら「不明」】 |

## 7. システムの構成と運用の状況

| 項目 | 記入欄 |
| --- | --- |
| 場所 | 【システムの物理的な所在地、クラウドの地域】 |
| OS とソフトウェアの版 | 【 】 |
| セキュリティの製品やサービス | 【ウイルス対策ソフト、EDR、UTM、監視サービスなど】 |
| 構成図 | 【別紙の番号】 |

## 8. 保全した証拠

| 証拠 | 保全したか | 保管場所 |
| --- | --- | --- |
| 脅迫文（ランサムノート） | □ | 【 】 |
| 通信ログ、アクセスログ | □ | 【 】 |
| ディスクイメージ | □ | 【 】 |
| メモリダンプ | □ | 【 】 |
| システム構成図 | □ | 【 】 |

## 9. 報告と連絡

| 相手 | 期限の目安 | 日時 | 担当 | 受付番号など |
| --- | --- | --- | --- | --- |
| 経営者 | すぐ | 【 】 | 【 】 | 【 】 |
| 個人情報保護委員会 速報 | 知ってから速やかに（目安は概ね3〜5日以内） | 【 】 | 【 】 | 【 】 |
| 個人情報保護委員会 確報 | 知った日を1日目として30日以内（第7条三号は60日以内） | 【 】 | 【 】 | 【 】 |
| 本人への通知 | 状況に応じて速やかに | 【 】 | 【 】 | 【 】 |
| 警察（都道府県警察のサイバー犯罪相談窓口、最寄りの警察署） | 法定の期限なし。早めに | 【 】 | 【 】 | 【 】 |
| IPA（ウイルス、不正アクセスの届出） | 法定の期限なし | 【 】 | 【 】 | 【 】 |
| 委託元、取引先 | 契約の定めによる | 【 】 | 【 】 | 【 】 |
| 所管の省庁（業法で求められる場合） | 業法の定めによる | 【 】 | 【 】 | 【 】 |
| 公表（ウェブサイトなど） | 社内で決める | 【 】 | 【 】 | 【 】 |

本人への通知には、概要、漏えい等した個人データの項目、原因、二次被害のおそれの有無と内容、その他参考になることを書きます（施行規則第10条）。

## 10. 再発防止の措置

| 区分 | 措置 | 担当 | 期限 |
| --- | --- | --- | --- |
| 実施済み | 【例 全アカウントのパスワードを変えた】 | 【 】 | 【 】 |
| 実施予定 | 【例 外から入れるアカウントすべてに多要素認証を入れる】 | 【 】 | 【 】 |

## 11. その他参考になること

【調査を頼んだ会社、相談した窓口、まだわかっていないこと、次の報告の予定など】

作成日 【年月日】