サイバー攻撃で詫び状と窓口設置は必要？損保調査で平均数百万円

「自社のサーバがサイバー攻撃を受け、取引先や顧客に迷惑をかけてしまった場合、中小企業であっても詫び状の郵送や専用の問い合わせコールセンターを立ち上げなければならないのか？」――先日、年商4億円規模の専門商社を経営される社長様より、切実なご相談をいただきました。

結論から申し上げますと、改正個人情報保護法により、一定規模以上の情報漏洩が発生した（または恐れがある）場合、被害対象者への「本人通知」は法的な義務となっています。ただし、大企業のように数千万円をかけて外注コールセンターを即座に常設する必要はなく、漏洩規模に応じた「自社体制での段階的開設」と「法的に抜け漏れのない詫び状の送付」が実務上の正解です。見栄を張って過剰な外部委託を行うと、事後対応費用だけで数千万円の手元キャッシュが吹き飛ぶ危険性があります。

【損保実務データに基づく事後対応（通知・窓口）の費用内訳】

• 調査主体・根拠データ：損保各社サイバーリスク事故対応実績データおよび個人情報保護委員会「漏えい等事案に関する対応手引き」
• 通知・コールセンター関連の平均損害総額：中小企業1社あたり 約300万〜1,200万円（対象件数数百〜数千件規模の場合）
• 事後通知・窓口設置費用の内訳：
  • 詫び状（書面）印刷・簡易書留等郵送費用：約50万〜200万円（1件あたり300〜800円）
  • 臨時外部コールセンター委託費用（初期構築＋オペレーター）：約200万〜600万円（月額・席数連動）
  • 弁護士監修費用（詫び状リーガルチェック・FAQ策定支援）：約100万〜250万円
  • お詫びの品（QUOカード等・任意の信用回復措置）：約50万〜150万円（1人500〜1,000円）

1. なぜ無駄金を払わされてしまうのか / パニックによる過剰外注の罠

サイバー事故を起こしてしまった企業の経営者は、「一刻も早く世間体を収拾したい」「これ以上怒られたくない」という強い恐怖から、駆け込んだ危機管理コンサルや専門業者の言われるがままに契約書へサインしてしまいがちです。

業者側はリスクを最大限に見積もるため、「最低でも10席規模の専用コールセンターを2ヶ月確保しましょう」といった大規模なパッケージを提示してきます。しかし、実際の中小企業のBtoB取引や限定的な顧客リストの場合、入電は最初の3日間に集中し、1週間後にはほぼ鳴らなくなります。適切な需要予測を行わずに丸投げ外注した結果、誰も取らない電話回線に毎月数百万円の維持費を払い続けるという悲惨な無駄遣いが後を絶ちません。

2. 費用対効果チェックシート：通知・窓口対応の選択肢比較

中小企業が取り得る本人通知および問い合わせ対応の選択肢と、それぞれの費用・実効性を整理した比較表です。社内リソースを活かした0円〜低コスト運用を第一選択肢に据えることが重要です。

3. 明日から社内でゼロ円でできる基本防衛のステップ

有事の際に高額なコールセンターを雇わずに乗り切るための、社内完結型「0円初動体制」の構築ステップは以下の3点です。

1. 「問い合わせ想定問答集（FAQ）」の骨子を平時に作成しておく：
   受電対応で現場がパンクする最大の原因は、「何を答えていいか分からない」ことです。「どのような情報が流出したのか」「二次被害の可能性はあるか」「補償はどうなるのか」という基本3項目の回答テンプレートを平時に用意しておくだけで、受電時間を大幅に短縮できます。
2. 詫び状に記載すべき「法定必須項目」を控えておく：
   個人情報保護委員会が定める本人通知には、①概要、②漏洩した項目、③原因、④二次被害の有無、⑤問い合わせ先の5要素が必須です。感情的な謝罪文を何通も書き直すのではなく、この法定要件を満たした雛形を社内マニュアルにストックしておきます。
3. 臨時受付用の専用メールアドレスと代表番号迂回ルートを確保：
   通常業務の電話回線が苦情で埋まらないよう、問い合わせ専用のフリーダイヤルや転送用番号（クラウドPBX等）を1番号だけ用意できる体制を整えます。問い合わせの一次受けをWebフォームやメールに誘導する動線を作るだけで、電話対応の負担は激減します。

4. 最後のセーフティネットとしての見極め方

一般消費者向けのBtoC取引を営んでいる場合や、顧客リストが数千件規模に及ぶ場合は、社内対応だけでは限界があり外部コールセンターの手配が不可欠になります。

• 損保約款における「事故対応費用（リコール・危機管理費用）」の担保枠：
  サイバー保険には、情報漏洩時の「損害賠償金」だけでなく、詫び状の印刷郵送代・お詫び品代・外部コールセンター委託費用を「事故対応費用保険金」として実費補償する条項が存在します。この特約が単独で数千万円単位で付帯しているか、現在の保険証券を点検してください。
• 保険会社提携の「駆けつけコールセンターサービス」の事前確認：
  自力で外部コールセンターを探すと初期費用だけで高額な見積もりを出されますが、損保会社が事前提携しているコールセンター事業者であれば、特別料金かつ即日手配で窓口を開設できるケースがあります。平時にその連携枠の有無を確認しておくことが最大のリスクヘッジです。

5. まとめ

「サイバー被害後に詫び状やコールセンターは中小企業でも必要なのか？」という問いへの結論は、「本人通知は法定義務だが、過剰な外部コールセンターを組む必要はなく、FAQ整備と社内窓口を基本に組み立てるべき」ということです。

事前の雛形と受電体制さえ整っていれば、事後対応で無駄な数百万円を溶かす心配はありません。まずは明日、社内で「個人情報漏洩時の5つの法定記載項目」が整理されているかを点検することから始めてみてください。