主な理由は、どの情報が、誰の分、何件漏れたのかを特定する調査に時間がかかるからです。ほかにも、攻撃がまだ続いていないかの確認、公表で攻撃者を刺激しないかの判断、警察や関係機関との調整などがあります。特にECサイトのカード情報漏洩は、発覚から公表まで数か月かかる例が少なくありません。
時間がかかる工程
- 発覚：自社では気づかず、カード会社や外部からの指摘で発覚することも多い
- 封じ込め：攻撃を止め、穴をふさぐ。公表で手口が知られると、ふさぐ前に再攻撃されるおそれがある
- 調査：専門会社によるフォレンジック調査で範囲を特定（解説）
- 準備：問い合わせ窓口、本人への通知、お詫びの準備
- 公表
企業に求められること
個人情報保護委員会への速報は、事態を知ってから3〜5日以内が目安とされています。本人への通知も「速やかに」行う必要があります。調査が終わるまで何も言わないのではなく、わかっていることを第一報として出し、続報で更新する方が、被害を受けた人が早く備えられます（公表文の書き方）。
出典：BUSINESS LAWYERS「個人情報保護委員会への漏えい等報告」、個人情報保護委員会「漏えい等報告・本人への通知の義務化について」