サイバー攻撃が起きたとき、広報担当者は何をどう伝えるべきか

サイバー攻撃による情報漏えいやシステム障害など、企業の情報セキュリティをめぐる問題が相次いでいます。

こうした事態が発生したとき、企業には技術的な対処だけでなく、顧客や取引先、社会に対する適切な情報発信も求められます。

突然の事態に、広報担当者がこうした判断を迫られることもあるでしょう。

特に中小企業では、専任の広報担当者がいなかったり、危機管理広報のマニュアルが十分に整備されていなかったりするケースもあります。

今回は、サイバー攻撃が発生した際の情報発信について、初動対応からお知らせ・プレスリリースの判断、続報の出し方まで、広報担当者が押さえておきたいポイントを解説します。

最後には、日頃の備えにも活用できるチェックリストをご用意しました。

サイバー攻撃は広報にも関わる問題

サイバー攻撃が発生すると、まずは情報システム部門や外部の専門会社による原因調査、被害拡大の防止、復旧作業などが必要になります。

しかし、企業が対応すべきことは、それだけではありません。

例えば、顧客情報が外部に流出した可能性がある場合、顧客は「自分の情報は大丈夫だろうか」と不安を感じるでしょう。システム障害によってサービスが停止すれば、取引先の業務に影響が及ぶこともあります。

こうした状況で情報発信が遅れたり、説明が曖昧だったりすると、被害そのものに加えて、企業への不信感が広がるおそれがあります。

一方、事実関係や対応状況を適切に伝えることは、顧客や取引先の不安を軽減し、企業の信頼を守ることにもつながります。

危機管理広報で重要なのは、被害を小さく見せることではなく、関係者が必要とする情報を正確に伝えることです。

広報担当者には、社内で確認された情報を整理し、誰に、何を、いつ、どのように伝えるかを検討する役割があります。

最初に確認すべき5つのこと

サイバー攻撃の発生が疑われる場合、広報担当者が最初からすべての情報を把握できるとは限りません。

まずは、経営層や情報システム部門などと連携し、次の5つを確認しましょう。

① 何が起きているのか

不正アクセスが確認されたのか、システム障害が発生しているのか、それともサイバー攻撃の可能性を調査している段階なのか。

「攻撃を受けたことが確認されている」のか、「攻撃の疑いがある」のかでは、公表時の表現も変わります。

② 影響はどこまで及んでいるのか

影響を受けているシステムやサービス、対象となる顧客・取引先、事業活動への影響を確認します。

影響範囲が確定していない場合は、その旨も整理しておきましょう。

③ 個人情報や機密情報への影響はあるか

顧客や従業員の個人情報、取引先の機密情報などが漏えいした可能性があるかを確認します。

なお、漏えいが確認されていなくても、漏えいのおそれがある段階で法令上の対応が必要になる場合があります。

④ サービスや業務は継続できているか

顧客が現在もサービスを利用できるのか、一部機能が停止しているのか、復旧の見通しはあるのかを確認します。

顧客の業務に影響する場合には、原因の詳細よりも先に、利用できない機能や代替手段を伝える必要があることもあります。

⑤ 問い合わせには誰が対応するのか

顧客や報道機関から問い合わせがあった際に、誰が回答するのかを決めておきます。

広報、営業、カスタマーサポートなどで説明が異なると、混乱を招く原因になります。

確認した情報は「確認済み」「調査中」「未確認」に分け、関係部署で共有することが大切です。

情報がそろわなくても公表すべき？

サイバー攻撃への対応では、「すべての情報が判明するまで公表を控えるべきか」という判断が難しい場面があります。

原因や被害の全容を確認するには、時間がかかることも珍しくありません。

しかし、その間も顧客がサービスを利用できなかったり、個人情報の悪用など二次被害のおそれがあったりする場合には、速やかな情報提供が必要になることがあります。

一方で、公表する内容によっては調査や被害拡大防止の対応に支障が生じる可能性もあります。

そのため、情報がそろっていないから必ず公表を控える、あるいは必ず直ちに公表するということではなく、関係者への影響や緊急性、法令上の義務などを踏まえて判断することが重要です。

公表する場合は、例えば次のように表現を使い分けます。

状況	表現例
確認済み	一部システムにおいて不正アクセスを確認しました
調査中	個人情報への影響については、現在調査を進めています
現時点で確認されていない	現時点では、個人情報の外部流出を示す事実は確認されていません

ここで注意したいのは、「確認されていない」と「発生していない」は異なるという点です。

調査が完了していない段階で「情報漏えいはありません」と断定してしまうと、後から新たな事実が判明した場合に説明の修正が必要になります。

また、個人データの漏えい等については、一定の要件に該当する場合、個人情報保護委員会などへの報告や本人への通知が義務付けられています。

個人情報保護委員会のガイドライン（通則編）では、報告対象となる場合、行政への速報は事態を知ってから速やかに、目安として概ね3～5日以内とされています。確報の期限は事態を知った日から原則30日以内ですが、不正の目的をもって行われたおそれがある行為による漏えい等（そのおそれを含む）では60日以内です。

こうした法令上の対応と、企業としての対外的な公表は分けて検討する必要があります。

最初のお知らせに必要な内容

対外的な公表が必要と判断した場合、まずは自社Webサイトなどに第一報を掲載することが考えられます。

最初のお知らせで大切なのは、詳細をすべて説明しようとすることではありません。

その時点で確認できている事実と、企業がどのような対応を進めているかを、簡潔かつ正確に伝えることです。

基本的には次の内容を整理するとよいでしょう。

• 発生・確認した事実：何が起きているのか
• 影響範囲：顧客情報やサービスに影響があるか
• 現在の対応：調査、被害拡大防止、復旧などの状況
• お詫びと必要な案内：関係者への説明、注意事項
• 今後の対応：続報の予定、問い合わせ先

お知らせ文面の例

以下は、サイバー攻撃の疑いがある事象を確認し、影響範囲を調査している場合の一般的な文面例です。

※本例は一般的な文面です。実際の公表にあたっては、確認された事実、顧客への影響、必要な注意喚起などに応じて修正してください。

重要なのは、「何がわかっているか」だけでなく、「企業として現在何をしているか」を伝えることです。

また、サービスの利用停止や不審なメールへの注意など、顧客が取るべき行動がある場合には、できるだけ具体的に案内しましょう。

サイバー攻撃発生時、プレスリリースは出すべき？

サイバー攻撃が発生した場合、広報担当者が迷うことの一つが、プレスリリースの配信です。

「自社サイトでのお知らせだけでよいのか」
「報道機関にも知らせるべきなのか」

この判断に、一律の正解があるわけではありません。

まず考えたいのは、誰に情報を届ける必要があるのかという点です。

例えば、影響を受ける顧客が特定できている場合には、個別のメールや電話による連絡が重要です。

また、サービス障害などによって多くの利用者に影響が生じている場合には、自社Webサイトなどで広く状況を案内する必要があるでしょう。

一方、影響範囲が広い場合や社会的な関心が高い事案では、プレスリリースなどを通じて報道機関に情報を届けることも選択肢になります。

情報発信手段の使い分け

手段	主な目的
自社Webサイト	公式情報や最新状況を継続的に掲載する
顧客・取引先への個別連絡	影響を受ける関係者に必要な情報を直接伝える
プレスリリース	報道機関へ公式情報を提供し、広く周知を図る
SNS	更新情報の案内や公式サイトへの誘導
記者会見・報道対応	重大な事案で詳細な説明や質疑に対応する

プレスリリースを検討する際には、次のような点が判断材料になります。

• 多くの顧客や取引先、一般消費者に影響が及んでいるか
• 被害拡大を防ぐため、広く注意喚起する必要があるか
• 社会的関心が高く、報道機関からの問い合わせが想定されるか
• 企業として公式に説明すべき重要な事実があるか

プレスリリースの役割は、企業にとって都合のよい情報だけを発信することではありません。

重要な事実や対応状況を報道機関に正確に届け、社会に広く情報が伝わる機会をつくることも、プレスリリースの大切な役割です。

ただし、プレスリリースを出したからといって、必要な顧客への個別連絡や行政への報告を省略できるわけではありません。

大切なのは、プレスリリースを配信すること自体ではなく、必要な人に必要な情報が届く手段を選ぶことです。

続報はどう出す？

サイバー攻撃への対応は、最初のお知らせを公表して終わりではありません。

原因調査や復旧作業が進むにつれて、新しい事実が判明したり、当初想定していた影響範囲が変わったりすることがあります。

そのため、必要に応じて続報を発信し、関係者に状況を伝えることが大切です。

続報では、特に次の点を意識しましょう。

更新日時を明記する

「2026年〇月〇日 15時更新」のように、いつ時点の情報なのかを明確にします。

前回からの変更点を整理する

新たに判明した事実、サービスの復旧状況、個人情報への影響など、前回のお知らせから何が変わったのかを伝えます。

訂正が必要な場合は明確に伝える

当初の発表内容に誤りがあった場合には、訂正箇所と理由を明確にします。過去の情報を黙って書き換えるのではなく、更新履歴を残すことも重要です。

復旧後の情報発信も検討する

サービスが復旧した場合には、利用再開の案内に加え、必要に応じて原因、再発防止策、顧客への対応などを説明します。

なお、第一報をプレスリリースで発信した場合には、重要な続報も報道機関へ提供するか検討しましょう。

平時から広報担当者が備えること

サイバー攻撃が発生してから、情報発信の担当者や承認ルートを決めようとすると、対応が遅れる可能性があります。

だからこそ、平時から最低限の準備をしておくことが重要です。

中小企業では、専任部署や大規模な危機管理体制を整えることが難しい場合もあるでしょう。

しかし、最初から複雑なマニュアルを作成する必要はありません。

まずは次のような準備から始めてみましょう。

緊急時の連絡先を決めておく

経営者、情報システム担当者、広報担当者、顧問弁護士、外部の保守会社など、緊急時に連絡する相手を整理します。

情報発信の承認者を決めておく

お知らせやプレスリリースを誰が作成し、誰が確認・承認するのかを明確にします。担当者が不在の場合の代行者も決めておくと安心です。

お知らせ文面のひな形を用意する

発生事実、影響範囲、対応状況、問い合わせ窓口など、基本的な項目をあらかじめ整理しておけば、緊急時の対応がしやすくなります。

複数の連絡手段を確保する

サイバー攻撃によって自社サイトやメールが利用できなくなる可能性もあります。緊急時に利用できる代替の連絡手段についても検討しておきましょう。

こうした準備をしておくだけでも、いざというときの判断や情報共有を円滑にすることにつながります。

【保存版】サイバー攻撃に備える広報チェックリスト

最後に、広報担当者が確認しておきたい項目をチェックリストにまとめました。

自社の危機管理体制を見直す際や、緊急時の情報発信を検討する際に、ぜひ活用してください。

平時の準備

• 緊急時の社内連絡先と対応責任者が決まっている
• 情報発信の担当者と承認者が決まっている
• 自社サイトのお知らせやプレスリリースのひな形がある
• 自社サイト・メールが使えない場合の代替連絡手段がある

発生直後の確認

• 発生状況について確認済み・調査中・未確認の情報を整理している
• 顧客や取引先、サービスへの影響を確認している
• 個人情報・機密情報への影響を確認している
• 行政への報告や本人通知など、法令上の対応を確認している

公表・続報の対応

• 誰に、どの情報を、いつ伝える必要があるか整理している
• 自社サイト、個別連絡、プレスリリースなど適切な手段を検討している
• 問い合わせ窓口と社内の回答方針を共有している
• 続報の発信や情報の更新・訂正に対応できる

※本チェックリストは広報・情報発信に関する基本的な確認事項です。実際のインシデント対応には、システム上の被害拡大防止、証拠保全、法令対応なども必要です。

まとめ：万が一のときに慌てないために

サイバー攻撃は、企業規模を問わず起こり得る問題です。

被害の発生を完全に防ぐことは難しくても、発生した際にどのような情報を、誰に、どのタイミングで伝えるかについては、事前に備えることができます。

危機管理広報で大切なのは、事実を正しく把握し、関係者に必要な情報を届けること。そして、状況の変化に応じて説明を続けることです。

情報がすべてそろっていなくても、確認できていることと調査中のことを区別し、適切な形で伝えることが、信頼を守るための第一歩になります。

まずは今回のチェックリストを使って、自社で準備できていること、これから整えるべきことを確認してみてはいかがでしょうか。

この記事の著者：堀内 麻美

出典：IPA（独立行政法人情報処理推進機構）「中小企業のためのセキュリティインシデント対応の手引き」（「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録8）／個人情報保護委員会「漏えい等の対応とお役立ち資料」／個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」。