サイバー被害で警察が来る？公的機関の調査義務と中小企業防衛

「もし自社がサイバー攻撃を受けた場合、警察や国の機関が会社に乗り込んできて捜査されるのか？対応する義務はあるのか？」――先日、年商3億円規模の金属加工会社を経営される社長様より、緊迫したご相談をいただきました。

結論から申し上げますと、警察は「犯罪被害の届出」を受けて動く立場であるため強制捜査のように押し入ることは原則ありませんが、個人情報保護委員会への「報告」および本人への「通知」は法律（改正個人情報保護法）で完全に義務化されています。これらを怠ったり虚偽の報告を行った場合、法人に対して最高1億円の罰金が科されるリスクがあり、「知らなかった」では済まされないのが法人の現場実態です。

【公的データに基づく義務化基準と違反ペナルティ】

• 調査主体・根拠法：個人情報保護委員会「漏えい等報告・本人通知の義務化基準」および警察庁「サイバー事案における警察相談の手引き」
• 報告義務の発生条件：不正アクセスによる個人情報（1件でも該当の恐れがある場合）の漏洩・滅失・毀損が発生、またはその恐れがある事案
• 報告期限：速報（事態を知った日から概ね3〜5日以内）、確報（30日以内、不正アクセス等の場合は60日以内）
• 違反時の罰則・二次損失の内訳：
  • 委員会からの命令違反・虚偽報告：法人に対して最高1億円の罰金刑
  • 公表による社会的信用の失墜（取引停止・Webサイト謝罪告知）
  • 外部専門弁護士対応・報告書作成実費：約200万〜500万円

1. なぜ無駄金を払わされてしまうのか / 隠蔽と放置が招く破滅

サイバー攻撃を受けた現場で最も危険なのは、「警察沙汰や公沙汰にしたくない」という心理から、経営陣だけで内密に処理しようとする隠蔽行為です。しかし、現代のランサムウェア攻撃や情報窃取は、攻撃者がダークウェブ上に「この企業のデータを盗んだ」と公開して脅迫する手口が主流です。

公的機関への正式な報告を行わないまま外部から漏洩が発覚すると、個人情報保護法違反としてのペナルティだけでなく、主要取引先から「隠蔽体質の企業」と見なされ、契約解除や巨額の損害賠償を請求される事態に発展します。パニックになった企業が慌てて駆け込んだ危機管理コンサルタントから、緊急出動費として数千万円単位の請求を突きつけられるケースも後を絶ちません。

2. 費用対効果チェックシート：公的機関別・対応義務とコスト比較

インシデント発生時に対峙する主要な公的機関と、それぞれの法的位置づけ、自社で発生するコストを整理した点検表です。社内体制を事前に整えておくことで、無駄な外部委託費を徹底的に削ることができます。

3. 明日から社内でゼロ円でできる基本防衛のステップ

公的機関から調査や報告を求められた際、慌てず最も正確に対応するための「社内0円初動手順」は以下の3ステップです。

1. 事故対応記録（タイムライン）の作成を開始する：
   公的機関への報告で最も重視されるのは「いつ、誰が、何に気づき、どう対処したか」という時系列の事実です。ノートやテキストファイルに「〇日〇時〇分：PC画面に異常表示」「〇時〇分：LANケーブル抜線」といった客観的事実を1分単位で記録してください。この記録があるだけで、公的報告書の作成工数が半減します。
2. 報告用フォーマットを事前にブックマークしておく：
   個人情報保護委員会のWebサイトには「漏えい等報告受付システム」が常設されています。有事の際に慌てて探すのではなく、平時のうちに経営陣や管理部門でこの入力項目（発生原因・影響件数・再発防止策など）を確認しておくだけで、初動の遅れをゼロにできます。
3. 警察への第一報は「相談窓口」を活用する：
   110番ではなく、各都道府県警察本部の「サイバー犯罪相談窓口」に一本連絡を入れます。警察への相談実績を作っておくことは、個人情報保護委員会や主要取引先に対して「当社は被害者として捜査機関と連携している」という強力な信頼証明（免責材料）になります。

4. 最後のセーフティネットとしての見極め方

公的報告の義務を果たすためには、客観的な技術レポート（フォレンジック報告書）の添付が実質的に求められます。自社だけでこの公的基準をクリアするためのセーフティネットは以下の通りです。

• 加入損保の「事故対応・弁護士特約」枠の事前確認：
  個人情報保護委員会への確報や取引先への賠償対応には、サイバー専門弁護士のアドバイスが不可欠です。サイバー保険の中に「弁護士費用」や「公的対応費用」が単独枠で数千万円単位で確保されているか、平時のうちに保険証券を点検してください。
• 警察への提出ログと社内証拠の整合性確保：
  公的機関へ提出する調査結果と、取引先へ開示する説明内容に食い違いがあると、企業としての信用は失墜します。第三者の公的ガイドライン（IPAの「中小企業の情報セキュリティ対策ガイドライン」）に準拠した調査体制を整えておくことが、最大のリスクヘッジとなります。

5. まとめ

「サイバー攻撃被害時の公的機関への対応は必要か？」という問いの答えは、「警察の強制捜査はないが、個人情報保護委員会への法的な報告義務は絶対であり、隠蔽は破滅を招く」というのが法律と現場の結論です。

正しい初動記録と公的窓口の連絡網さえ平時に用意しておけば、公的調査を恐れる必要は一切ありません。まずは社内の緊急連絡網に「個人情報保護委員会の報告手順」を明記することから始めてください。