サイバー攻撃時の危機管理広報｜初動と情報開示の難しさと判断軸

サイバー攻撃でシステム障害が発生した際、企業が直面するのは復旧作業だけではありません。原因も被害範囲も分からないまま、顧客、取引先、メディア、行政などから説明を求められます。様子見の時間が長引けば「公表が遅い」「説明責任を果たしていない」と受け止められ、拙速で表層的な情報を発信すると中身がないとしてメディアの批判や生活者からの不満を招く恐れがあります。特殊な状況下で企業の広報担当者は、外部広報環境を見た上で社内とのバランスを見極める必要があります。広報は極力最悪のシナリオを想定し、危機管理広報上の準備を行っておくことが求められます。

本稿では、サイバー攻撃時の危機管理広報に必要な初動対応と情報開示の判断軸、平時に整えておくべき体制について解説します。

サイバーインシデント発生時における危機管理広報の難しさ

サイバー攻撃時の危機管理広報の難しさは、主導権が企業側にない点にあります。必要以上の情報発信はかえって墓穴を掘りかねない一方で、交渉に応じればその行為自体が反社との関わりということで糾弾される可能性もあります。攻撃側が企業側へ“揺さぶり”をかけてくるため、事実が短時間で変化する可能性があります。

従って、状況を把握していない、見通しも立たない状況下で緊急記者会見を開催することはありません。被害範囲も復旧見込みも分からず、企業として新たに説明できる内容がない段階で会見を開くと、目的が曖昧になり、かえって混乱を拡大させる可能性があります。攻撃者との駆け引きが生じるケースでは、公表情報が相手に利用されることも考慮しなければなりません。

重要なのは、「会見をするか、しないか」を先に決めることではなく、誰にどのような影響が出ているのか、二次被害を防ぐために何を伝えるべきかを起点に、ウェブサイト、ニュースリリース、個別連絡、記者会見などの手段を選ぶことです。第一報では情報が限られていても、その時点でのリリース配信と次回更新の目安を示し、調査の進展に応じて説明を更新する姿勢が求められます。

サイバーインシデントはIT部門だけの問題ではない

サイバーセキュリティ対策というと、ファイアウォール、EDR（Endpoint Detection and Response/セキュリティソリューションの一種）、多要素認証、脆弱（ぜいじゃく）性管理など、侵入を防ぐための技術的対策に目が向きがちです。もちろん、これらは不可欠です。しかし、100％の防御を前提にすることはできません。攻撃を受けた後の被害を抑え、事業を継続し、信頼を守るためには、経営、CSIRT（Computer Security Incident Response Team/サイバー攻撃、情報漏えい、システム障害が発生した際の対応専門家チーム）や情報システム、法務、総務、営業、広報などが同時に動く必要があります。

情報開示と発信手段を決める5つの判断軸

サイバー攻撃によるシステム障害が発生した際、公表するか、どこまで伝えるか、どの手段を使うかを判断するには、少なくとも次の5つの観点が必要です。

1. 最大の優先課題は社会への影響に鑑みた“二次被害拡大防止”
2. 二次被害が拡大した場合に備えた“次の打ち手”
3. 法令・監督・契約上の報告義務
4. 情報の空白がもたらす影響
5. 最新情報のアップデート

1．最大の優先課題は社会への影響に鑑みた“二次被害拡大防止”

個人情報や決済情報が流出した可能性がある、医療・交通・物流・金融・通信などのサービスが停止しているといった場合、原因が確定していなくても、影響を受ける人が自らを守るために必要な情報を優先して発信する必要があります。判断の起点は「自社がどこまで説明できるか」ではなく、「二次被害を防ぐために、いま企業が優先すべきこと、対処すべきことは何か」を企業姿勢として示すことです。

2．二次被害が拡大した場合に備えた“次の打ち手”

自社を装った偽メールが顧客や取引先に送られている、盗まれた認証情報が悪用される恐れがある、接続を続けることで取引先にも被害が広がる可能性がある場合は、迅速な注意喚起や個別連絡が必要です。時間の経過とともに補償や訴訟、取引停止などのリスクが拡大することも踏まえなければなりません。

3．法令・監督・契約上の報告義務

個人情報保護委員会や監督官庁への報告、本人への通知、取引先との契約に基づく連絡など、必要な対応を早期に確認します。広報発表と法的な報告は別々に考えるのではなく、内容とタイミングの整合を取りながら進めることが重要です。

2025年5月に制定された「サイバー対処能力強化法」は、あくまで社会基盤インフラを担う、電気、ガス、通信、金融、鉄道など、国民生活や経済活動を支える一定の特別社会基盤事業者が対象であり、それ以外の一般企業を対象としたものではありません。しかしながら、2026年度末頃（2027年1～3月）には「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を企業が任意で取得する制度を開始するとしており、ビジネスの条件として企業に対応が求められる可能性は十分に考えられます。

4．情報の空白がもたらす影響

企業から説明がない間にも、SNS投稿、メディアの問い合わせ、攻撃者側の声明などによって状況は変化していきます。事実が十分に分からないからこそ、最悪のシナリオパターンを用意し、CSIRTと密に連携を取る必要があります。

その上で企業の広報担当者には、「発生を認識」「調査と対応を進めている」「現時点で確認できている影響範囲／対処」「利用者にお願いしたい行動」に関する情報を企業として一元管理し、経営判断の材料を整理し、情報開示ラインの設定を検討する役割が求められます。社内がバラバラに対応し、一部の情報と臆測だけが独り歩きする事態を避ける必要があります。

5．最新情報のアップデート

初動時の発生原因に関する仮説や被害範囲は、調査が進むにつれて変わることがあります。問題は説明が変わること自体ではなく、なぜ変わったのかを合理的に説明できないことです。危機管理広報上では、「仮定の質問には答えられない」という原則があるものの、サイバーインシデント発生の際はいくつかのインシデントシナリオに基づく、企業として考えている対応などを見せなければならない局面もあります。この特殊性を広報担当者は理解する必要があります。

「事実関係の把握」「（その後の調査等で）新たに判明したこと」「更新情報と企業の意思決定」を時系列で示すとともに、どこまで開示すべきかを検討する必要があります。その上で広報としては事実関係と併せて、企業姿勢を社会に示せているか確認し、必要に応じて軌道修正を図る必要があります。

平時のシミュレーションが組織の対応力を高める

サイバーインシデントでは、初めて顔を合わせる部門同士が、強い時間的・心理的プレッシャーの中で判断しなければなりません。マニュアルに連絡先や手順が書かれていても、実際に使ったことがなければ、誰が意思決定者なのか、どの情報を待つのか、どの段階で顧客やメディアに伝えるのかが曖昧になりがちです。

平時に確認しておきたいのは、①最悪のシナリオ、②主要ステークホルダーの優先順位、③公表判断の基準、④経営層への報告に必要な情報、⑤第一報・更新報・会見における役割分担です。机上で確認するだけでなく、状況が次々に変化する演習を行うことで、マニュアルと実際の意思決定のずれ、部門間の情報連携の途切れ、対外説明の弱点を可視化できます。

サイバー攻撃を「起こさない」ための備えに加え、「起きてしまった後」に被害を抑える対応力を鍛えることが、企業価値と事業継続を守ることにつながります。

インシデント対応から模擬会見まで、全社で実践する

株式会社電通PRコンサルティングとS&J株式会社による「インシデント対応演習・緊急模擬会見演習 シミュレーショントレーニング統合プログラム」は、IT関連部署、リスク管理、広報、経営層などを対象としています。

本プログラムでは、仮想企業で発生する情報漏えいなどのサイバーインシデントを題材に、対策本部の立ち上げ、情報収集、部門間の協議、意思決定、ポジションペーパーやニュースリリース、想定Q&Aの作成、模擬記者会見と質疑応答までを一連の流れで体験します。ITの専門知識がない方も参加でき、CSIRTの手順確認にとどまらず、現場対応と危機管理広報をつなぎながら、全社的な判断力と連携力を検証できることが特徴です。

「マニュアルはあるものの、本当に機能するか不安がある」「部門間で情報開示の判断基準がそろっていない」「経営層を含めた訓練を実施したい」。こうした課題をお持ちの方は、まずは本プログラムの資料をご覧ください。対象部門、演習の流れ、模擬会見や振り返りの内容を紹介しています。

自社固有のリスクや体制に合わせて、どのような演習が有効かを整理したい方は、電通PRコンサルティングまでご相談ください。現場対応と危機管理広報をつなぐ観点から、実効性のあるトレーニング設計をご支援します。

※引用されたデータや状況、人物の所属・役職等は本記事執筆当時のものです。