「660万件流出」判明の3日前、タイムズカーは何を伝えた？ 企業の命運を分ける「初報の鉄則」（5/5 ページ）

[大杉春子，ITmedia]

経営者は初報で何を語るべきか

　では、自社で不正アクセスが判明したとき、経営者は何を判断し、何を伝えるべきでしょうか。まず必要なのは、事実関係を整理することです。不正アクセスを検知した日時、確認された侵入や被害の状況、漏えいした可能性のある情報、封じ込め措置、サービスへの影響。確認済みの事項と調査中の事項を区別します。

　次に、顧客の立場から説明を組み立てます。「自分は対象なのか」「何が漏れた可能性があるのか」「今すぐ何をすればよいのか」「問い合わせ先はどこか」「次の情報はいつ出るのか」――この問いに、初報の段階で答えられる範囲を答えます。答えられない場合は、その理由と、今後どう確認するのかを示します。

　経営者が担うべき役割は、技術的な詳細を全て説明することではありません。顧客への影響を重く受け止め、被害の拡大防止と調査を優先し、必要な情報を継続して知らせるという組織の方針を明確にすることです。また、社内では発表内容を誰が承認するのか、続報の判断を誰が行うのか、問い合わせで新たに判明した問題をどう共有するのかを決めておく必要があります。

　事故発生後に初めて部門間の役割を調整していては、必要な情報が顧客に届くまでに時間がかかってしまいます。システム部門だけに任せるのではありません。経営層が意思決定を支え、組織として説明する体制をつくることが欠かせないと考えます。

企業の信頼を左右するのは「分からないとき」の姿勢

　情報漏えいが発生した企業に対して、顧客が知りたいのは、謝罪の言葉だけではありません。自分の情報はどうなったのか。被害を防ぐために何ができるのか。企業はどこまで調べ、どのような対策を取ったのか。そして、これから何をしてくれるのか。

　最初から全てを把握している企業はありません。しかし、分からないことを隠さず、確認できた事実を正確に伝え、利用者が必要な行動を取れるよう支援することはできます。

　企業の危機管理コミュニケーションとは、完全な説明ができる日を待つことではありません。不確実な状況の中でも、顧客を置き去りにせず、説明を続けること。相次ぐ不正アクセスの事例が、経営層と担当者に問いかけているのは、その姿勢ではないでしょうか。

【※本稿は2026年10月19日までに各社が公表した情報に基づいています。被害範囲や調査結果は今後更新される可能性があります。企業の対応に関する評価・提言は、公開資料を踏まえた筆者の考察であり、顧客の信頼度を実測・比較したものではありません。】

著者紹介：大杉春子（おおすぎ・はるこ）

レイザー代表取締役／RCIJ代表理事

コミュニケーション戦略アドバイザーとしてPR戦略の企画から危機管理広報まで、企業・行政のブランド価値向上を包括的に支援。

日本において唯一、コミュニケーション戦略におけるリスク管理に特化したカリキュラムを展開する日本リスクコミュニケーション協会（RCIJ）を2020年に設立。

上場企業や防衛省での豊富な実績を持つ。