情報漏えいの公表が続くなか、IPAが経営者に至急の点検を求めています。情シス担当者やITを兼務する総務担当者は、どこから確認すればよいのでしょうか。
まず着手したいのは、外部公開システムと利用サービスの洗い出し、ログとアカウントの確認です。ウイルス対策ソフトの状態を確認するだけでは、Webアプリやクラウド側の異常までは判断できません。
IPAは2026年10月9日、国内で相次ぐ不正アクセスによる情報漏えいを受け、経営者の主導による至急の点検・見直しを求めました。IPAの注意喚起を基に、この記事では担当者が進めるための確認例を紹介します。
今回の注意喚起だけで、自社の情報漏えいが判明したわけではありません。ただし、外部サービスを使っているから確認不要、とも言えません。
IPAが求める点検は何か
主な対象は、外部公開アプリケーション、利用中の外部サービス、保有データです。特定製品・サービスの脆弱性を狙った攻撃とは断定されていません。公式一覧の分類は「注意」で、点検を至急進めるよう求める内容です。
以下のチェックリスト、記録例、依頼文は、筆者が実務向けに整理したものです。IPAが配布した公式チェックシートではありません。
まずは「何を、誰が確認するか」を決める
最初から全サービスのログを一人で調べようとすると、対象を集めるだけで止まってしまいます。まず次のように、確認対象と担当を並べてください。
| 確認対象の例 | 確認を頼む相手の例 | 最初に聞くこと |
|---|---|---|
| 自社Webサイト・申込フォーム・会員サイト | 社内管理者、制作・運用会社 | 管理画面やAPIも含め、誰がログを確認できるか |
| クラウド・SaaS・VPNサービス | サービス管理者、契約担当、提供事業者 | 利用サービス一覧と、ログの取得・閲覧範囲 |
| 部門で契約した業務ツール | 部門責任者、経理・購買担当 | 情シスの管理台帳に載っていないサービスがないか |
| 個人情報を含むデータ | 業務担当、データ管理責任者 | どこに何があり、現在も必要か |
契約書、支払記録、管理台帳、各部署への聞き取りを組み合わせると、担当者の記憶だけに頼るより確認漏れを減らせます。以前の担当者しか知らないサービスも、確認対象に入れましょう。
情シスが確認したい5つの項目
1．Webサイトの画面だけでなく、APIや管理機能まで確認する
Webサイトが普段どおり表示されていても、それだけで問題がないとは判断できません。問い合わせフォーム、会員情報の出力機能、外部連携、管理者用画面など、データを扱う入口を並べます。
APIとは、システム同士がデータや処理をやり取りする窓口です。ブラウザーで普段見ている画面とは別の入口になるため、運用会社には「サイト本体だけでなく、連携APIと管理機能も対象にしてください」と伝えると確認範囲が明確になります。
JPCERT/CCの関連注意喚起では、一般利用者向けアプリのほか、BIツールや従業員向け管理システムも点検対象として挙げられています。社内向けという名前だけで、インターネットから到達できないと思い込まないことが大切です。JPCERT/CCの注意喚起
2．ログは「平時との差」と「確認できる期間」を見る
ログの確認では、エラーやログイン失敗の増加、普段と違うアクセス元・時間帯に注目します。IPAは、直近1か月から3か月へ段階的に調査範囲を広げる例を示しています。
実務での追加の確認例として、通常と異なるログイン成功、個人情報の大量取得・出力、異常な外向き通信も調査候補になります。いずれも、正規の業務やバッチ処理の可能性と照合して判断します。取得しているログによって確認できる範囲は異なります。異常の有無だけでなく、次の情報も一緒に残してください。
- 対象サービスとログの種類
- 調べた期間、ログの時刻設定・タイムゾーン
- 調査担当者と調査日
- 確認できなかった期間・項目と、その理由
「ログが残っていない」「契約上閲覧できない」は、「異常なし」と別に記録します。たとえば、過去3か月を調べたいのにログが30日分しか残っていなければ、確認できた30日と、それ以前の未確認期間を分けて報告します。
異なるシステムの記録を突き合わせる場合は、時刻のずれにも注意してください。ログの保存先や保管期間が不明なら、まず管理者・提供事業者に確認するところから始めます。
3．見覚えのないアカウントと権限変更を確認する
アカウント一覧は、人数が合っているかだけで終わらせず、利用者・用途・承認した担当者と照合します。退職・異動者、委託先の作業用、検証用、システム連携用も対象です。
確認の例は、作成した覚えのないアカウント、停止済みのはずなのに使えるアカウント、用途を説明できない管理者権限です。変更履歴が取得できるなら、作成・有効化・権限変更の記録も確認します。
不明なアカウントを見つけたときは、発見日時や権限、関連ログを記録し、承認経路を確認してください。業務用アカウントや連携用キーを一括で削除すると、別のシステムが止まる可能性があります。異常が疑われるものの停止は、調査と被害拡大防止の手順に沿って進めます。
4．未適用パッチは、対象・担当・予定日を記録する
「更新は業者に任せている」場合も、対象製品と現在のバージョン、未適用のセキュリティ更新、適用予定を確認しましょう。自社で管理する部分と、サービス提供側が管理する部分を整理すると、依頼先を間違えにくくなります。
すぐ適用できない場合は、理由と予定日を記録し、提供元が示す暫定対策の有無を確認します。「更新済み」の回答だけで終わらせず、何をいつ更新したかを残すのが実務上のポイントです。
5．もう使わない個人情報の保有を見直す
本番システム以外にも、過去の申込一覧、CSV出力、移行時のデータ、テスト環境のコピーが残っていないか確認します。業務担当者に「このデータは今も使うか」を聞くと、IT担当者だけでは判断できない保存目的が分かります。
削除前には、法令・契約・業務上の保存期間を確認してください。削除を決めた場合も、本体だけでなく複製や出力先の扱いを整理します。また、不正アクセスが疑われるシステムの記録やデータは、通常の整理作業で消さず、調査担当者に保全の判断を求めましょう。
異常が見つかったら「点検完了」で終わらせない
IPAは、異常なログやアカウントを発見した場合には速やかにインシデント対応へ進み、専門のセキュリティベンダーによる詳細調査を強く推奨しています。
担当者が一人で漏えいの有無を結論づける必要はありません。まず責任者と対応窓口へ共有し、発見した内容と未確認の範囲を伝えます。
- 発見内容を記録する：日時、対象、操作・アクセスの内容、参照したログを整理する。
- 調査に必要な記録を保全する：ログの上書き・自動削除の設定を確認し、保全方法を調査担当者と決める。
- 被害拡大防止と業務への影響を判断する：アカウント停止、接続制限、キーの無効化などを関係者と進める。
- 外部報告・通知の要否を確認する：個人データの漏えいまたはそのおそれがある場合は、個人情報保護委員会の案内と組織の対応手順を確認する。
報告義務の対象となる事案では、調査がすべて終わるまで待つ対応では間に合わないことがあります。具体的な要件・手続は、個人情報保護委員会「漏えい等の対応とお役立ち資料」を確認してください。
委託先・サービス提供会社への確認文
次の文面を、自社の対象システム名に合わせて調整すると依頼しやすくなります。パスワードやAPIキーなどの秘密情報を回答に含めてもらう必要はありません。
IPAの2026年10月9日付注意喚起を踏まえ、当社が利用・委託するシステムについて、以下の確認をお願いします。
- Webアプリ、管理機能、API・外部連携を含む確認対象と、貴社・当社それぞれの管理範囲
- 現在確認できるログの種類、保存期間、調査対象期間
- 不審なアクセス、アカウント作成・有効化・権限変更の有無
- 未適用のセキュリティ更新の有無と対応予定
- 確認できない項目・期間と、その理由
調査担当者、確認日、結果と根拠をご回答ください。異常が判明した場合は、定例報告を待たずに当社担当者へご連絡ください。
点検記録は「未確認」を残せる形にする
以下は架空の記入例です。Excelなどで管理する場合も、結果欄を「異常なし・要調査・未確認」に分けると、報告時に状況を取り違えにくくなります。
| 対象 | 確認範囲・担当 | 結果 | 次の対応 |
|---|---|---|---|
| 申込サイト | 9月10日～10月9日のアクセスログ／運用会社 | 対象期間内で異常を確認せず。以前のログは未確認 | 長期保存ログの有無を問い合わせる |
| 業務SaaS | 現時点のアカウント一覧／社内管理者 | 用途不明の管理者アカウントあり／要調査 | 変更履歴を保全し、作成経緯を確認 |
| 旧申込CSV | 保存先・利用目的／業務担当者 | 現用途なし。保存義務は未確認 | 保存期間を確認後、削除判断 |
実際の台帳では、確認日、担当者名、根拠の保存先、対応期限も追加してください。「点検した」という記録よりも、何をどこまで調べたかが分かる記録が、次の調査に役立ちます。
よくある疑問
中小企業や福祉施設も確認すべきですか？
個人情報や機微な情報を扱い、Webシステムや外部サービスを利用している組織なら、対象を把握する価値があります。少人数の組織では、契約担当・業務担当・運用会社で確認範囲を分担すると進めやすくなります。
ウイルス対策ソフトが正常なら大丈夫ですか？
その確認だけでは、クラウド側のアカウント変更やAPI経由の操作を判断できません。端末の状態に加えて、サービス側の記録を確認する必要があります。
不審なIPアドレスがなければ安全ですか？
公表されたIPだけとの照合で、安全とは判断できません。JPCERT/CCも、過去に悪用されたIPが調査時点では正規利用されている可能性を示しています。IP、時間、操作、アカウントの情報を合わせて調べます。
異常がなければ、今回の対応は終わりですか？
点検の結果と未確認部分を残し、公開範囲、認証、権限、ログ保存の改善につなげましょう。未確認の項目には、次に誰が確認するかと期限を設定しておくと、保留のままになりにくくなります。
今日の着手は「対象と確認者を決める」から
まず、外部公開システムと利用サービスを並べ、ログを確認する人を決めてください。そのうえで、調査できた範囲と未確認の範囲を分けて記録します。
経営者・責任者にも対象一覧を共有し、外部調査が必要になった場合の判断先を決めておくと、担当者だけで抱え込まずに対応できます。
