取引先の情報漏洩が発覚したら、自社への影響を確認するとともに、被害の拡大を防ぐ対応が必要です。取引先から事故の状況を確認しながら、共有中のファイル・フォルダ・共有リンクを洗い出し、必要に応じてアクセスを一時停止します。その後、操作履歴などから影響範囲を調査し、安全性を確認したうえで共有を再開します。
本記事では、取引先からサイバー攻撃や情報漏洩の通知を受けた際に、自社が取るべき初動対応を解説します。取引先とのファイル共有状況の確認から、アクセス遮断、影響調査、共有再開までの手順を、実務で使えるチェックリストとともに紹介します。
Contents
取引先の情報漏洩が発覚したら、自社は何をすべきか
取引先から事故の通知を受けるケース
- 取引先の営業担当者から「社内のPCがマルウェアに感染した可能性がある」と電話があった
- 委託先から事故の第一報がメールで届いたが、どの案件のデータが対象か書かれていない
- 取引先とのファイル共有が部署ごとに行われていて、全体像を把握している人がいない
このとき多くの企業がつまずくのは、自社がその取引先と何を共有しているのかをすぐに答えられないことです。共有済みのファイルが分からなければ、遮断すべきアクセスも、確認すべき影響範囲も決められません。
取引先の情報漏洩に対する初動対応の5ステップ
取引先から事故の通知を受けた場合、自社の対応は次の5段階に整理できます。
- 事故情報の収集
- 共有対象の棚卸し
- アクセスの一時停止
- 影響範囲と操作履歴の確認
- 再開条件の確認と共有再開
ただし、アカウントの乗っ取りなど緊急性が高い場合は、情報収集や棚卸しの完了を待たずにアクセス遮断を実施します。各工程は状況に応じて並行して進めることが重要です。
平時の対策と事故後の初動の違い
| 観点 | 平時のサプライチェーン対策 | 事故通知を受けた後の初動 |
| 目的 | 事故の発生や被害を抑える備え | 自社への影響を把握し、被害の拡大を防ぐ |
| 主な担当 | 調達・情シス・リスク管理 | 取引先管理・情シス・法務が連携 |
| 主な作業 | 委託先評価、契約条項、ルール整備 | 情報収集、棚卸し、遮断、確認、再開判断 |
| 時間軸 | 継続的・計画的 | 通知直後から短期間で集中的 |
| 判断の材料 | 規程、評価結果、契約 | 取引先からの報告、自社の共有記録・ログ |
事故情報の収集
取引先から事故の通知を受けたら、発生状況や影響範囲を確認します。ただし、初報の時点ですべての情報が判明しているとは限りません。確認できた事実と未確認の情報を区別して記録し、アカウントの侵害が疑われる場合などは、調査と並行して必要なアクセス制限を進めます。
取引先に確認する項目
- 事故の種類(マルウェア感染、不正アクセス、アカウントの乗っ取り、誤送信など)
- 発生・発覚の日時と、侵害が疑われる期間
- 影響を受けた可能性のある端末、アカウント、システム
- 自社から受け取ったデータが影響範囲に含まれる可能性の有無
- 現時点での取引先側の対応状況と、次回の報告予定
- 窓口となる担当者と連絡手段
社内で決めておくこと
- 社内の対応責任者と、取引先管理・情シス・法務の担当者
- 取引先とのやり取りを記録する場所
- 経営層や関係部署へ報告する基準
取引先自身も調査中で、初報の時点では情報が不足していることが少なくありません。「分かっていないこと」も記録し、追加報告を待つ項目として管理します。
共有対象の棚卸し
取引先と共有しているファイルやアクセス権限を洗い出し、自社への影響を確認できる状態にします。
棚卸しの対象
- 取引先のアカウントにアクセス権を付与しているフォルダ・ファイル
- 取引先に発行した共有リンク
- メール添付で送付したファイル
- 取引先から受け取り、自社内で利用しているファイル
- 取引先の担当者が自社のシステムにログインできるアカウント
棚卸しの進め方
- 取引先名・ドメイン・担当者名で、共有先を洗い出す
- 案件・プロジェクト単位で、共有しているフォルダを一覧にする
- 各フォルダの社内オーナー(依頼部署・担当者)を特定する
- ファイルの機密度(個人情報・技術情報・契約情報など)を区分する
- 取引先から報告された侵害期間と、共有期間の重なりを確認する
部署ごとにメールやさまざまな共有手段を使い分けていると、この工程に時間がかかります。共有先と権限を一か所で確認できる状態かどうかが、初動の速さを左右します。
取引先のアクセスを一時停止する判断基準
棚卸しの結果をもとに、遮断の範囲を決めます。すべてを止めると業務が滞るため、事故の内容と機密度で判断します。
遮断判断の条件分岐
- 取引先のアカウント自体が乗っ取られた可能性がある場合：該当アカウントのアクセスを一時停止し、共有リンクも無効化を検討します
- 取引先の特定端末で感染が確認された場合：該当端末を利用する担当者のアカウントについて、一時停止や認証情報の変更を検討します。ただし、認証情報の窃取や他の端末・アカウントへの侵害拡大が疑われる場合は、取引先と確認しながら遮断範囲を広げます
- 影響範囲が判明していない場合：機密度の高いフォルダから優先して一時停止を検討します
- 業務継続が必要な場合：侵害された可能性のあるアカウントや端末を使用せず、安全性を確認した連絡手段・共有環境で業務を継続します。代替手段を利用する際も、共有先の本人確認とアクセス権限の制限を行います
遮断時の注意点
- 停止・無効化した日時と対象を記録し、後で再開できるようにする
- 停止前の権限設定を記録し、再開時に元の状態と比較できるようにする
- アクセスログや操作履歴など、調査に必要な証跡を保全する
- 取引先と社内の関係部署へ、停止した範囲と理由を伝える
影響範囲と操作履歴の確認
アクセス遮断後は、操作履歴や取引先の調査結果をもとに、自社のデータが不正に閲覧・取得された可能性を確認します。アクセスログに記録された操作だけで、情報漏洩の有無を確定できるとは限りません。
確認する観点
- 侵害が疑われる期間に、取引先アカウントからのアクセスやダウンロードがあったか
- 普段と異なる時間帯・件数・場所からのアクセスがなかったか
- ファイルの更新・削除・差し替えが行われていないか
- 版の履歴から、不審な変更前の状態を確認できるか
法務と連携して確認すること
取引先で漏洩した可能性のある情報に、自社が取扱いを委託した個人データが含まれる場合は、個人情報保護法に基づく報告・通知の要否を確認します。個人情報保護委員会への報告対象となる事態では、原則として委託元と委託先の双方に報告義務が生じます。
委託先が所定の事項を委託元に通知した場合、委託先の報告義務が免除されることはありますが、委託元の義務まで免除されるわけではありません。事故の内容や対象データを確認し、法務部門と連携して報告・本人通知の要否、期限、対応主体を判断してください。
ログは影響範囲を判断する材料になりますが、記録が取得されていない操作や、取引先の環境内で起きた事象までは自社のログだけでは分かりません。取引先の調査結果と突き合わせて判断します。
復旧条件
一時停止した共有をいつ再開するかは、あらかじめ条件を取引先と合意して決めます。「落ち着いたら再開」とすると、判断が担当者任せになります。
再開条件の例
- 取引先から原因と対策を記載した報告を受領している
- 侵害されたアカウントのパスワード変更や再発行が完了している
- 感染端末の隔離・初期化など、取引先側の対処が完了している
- 自社側で影響範囲と操作履歴の確認が終わり、追加の対応が不要と判断できている
- 再開後の共有範囲と権限を見直し、業務上必要な範囲に設定している
再開後に見直すこと
- 不要になっていた共有フォルダ・共有リンクの整理
- 取引先担当者ごとの権限の見直し
- 共有の社内オーナーと棚卸しの頻度
Fleekdriveでの共有管理を検討する場合
棚卸しやアクセス遮断に時間がかかった場合は、取引先とのファイル共有状況を把握しやすい管理体制を整えることが重要です。法人向けオンラインストレージFleekdriveでは、ファイルやフォルダのアクセス権限管理、共有リンクによるファイル共有、バージョン管理などの機能を提供しています。また、証跡機能ではユーザの操作履歴を確認できるため、事故発生時の調査にも活用できます。
こうした機能を利用することで、取引先との共有範囲や操作状況を把握しやすくなります。ただし、実際に確認できる情報や利用できる機能は、契約内容や設定によって異なるため、導入時には要件との適合性を確認してください。
初動確認表を作成してみて「共有先が一覧にできない」「誰が何をダウンロードしたか分からない」といった課題が見えた場合は、その表を持ってFleekdriveに相談すると、自社の運用に合う共有管理の方法を具体的に検討しやすくなります。
よくある質問
取引先がサイバー攻撃を受けたら、まず何をすべきですか？
まず、自社と共有しているファイルやアカウントに影響がないか確認します。アカウントの乗っ取りなどが疑われる場合は、取引先の調査結果を待たずにアクセスを一時停止し、被害拡大を防ぐ対応を優先してください。
取引先との共有はすべて止めるべきですか？
事故の内容と共有データの機密度によって判断します。アカウント自体が侵害された可能性がある場合や影響範囲が不明な場合は、機密度の高いものから優先して一時停止を検討します。業務継続が必要な共有は、範囲を絞って別の経路を用意する方法もあります。
取引先の報告を待ってから動けばよいですか？
取引先の調査には時間がかかることがあります。共有対象の棚卸しや遮断の判断など、自社だけで進められる作業は報告を待たずに着手し、取引先の追加報告を受けて判断を更新するのが現実的です。
平時の対策とは何が違いますか？
平時の対策は取引先の評価や契約、ルール整備など事故に備える取り組みです。本記事で扱った初動は、事故の通知を受けた後に自社への影響を把握し、被害の拡大を防ぐための対応です。
まとめ｜取引先の情報漏洩に備える初動対応
取引先から情報漏洩の通知を受けたら、事故情報の収集と並行して共有ファイルやアクセス権限を確認し、必要なアクセスを一時停止します。その後、操作履歴や取引先の調査結果から影響範囲を確認し、安全性と再開条件を確認したうえでファイル共有を再開しましょう。
個人情報漏洩に関する報告・通知の要否は、事故の内容や対象データ、契約関係などによって異なります。具体的な対応については、法務部門や専門家と確認してください。
