まずログなどの証拠を保全し、対象のアカウントを停止して被害の拡大を防ぎます。そのうえで、アクセスされた情報の範囲を調べ、個人データが含まれていれば報告・通知の義務を判断します。本人への聞き取りや処分は、弁護士・人事と相談しながら進めます。
対応の流れ
- ログ・端末を保全（証拠の保全）
- 対象アカウントの停止、関係するパスワードの変更
- アクセス・取得された情報の範囲を調査
- 個人データなら、委員会への報告・本人への通知を判断（報告）
- 弁護士・人事と相談し、本人への聞き取り・処分
- 必要に応じて警察に相談（被害届）
- 原因と再発防止策をまとめる
個人データへの不正アクセスは「不正の目的によるおそれ」として、1人分でも報告の対象になりえます。