委託先の情報流出で社外が事故対応の窓口や文書作成を支える、セキュリティ担当者は判断役を比べられる

SOURCESこの記事がまとめた発表

画像：GuardPlan株式会社の発表資料より（PR TIMES）

[1] 【サイバー攻撃後の「組織対応」をAIで指揮】GuardPlan、サイバーインシデント対応マネジメントクラウド（CIRM）を発表　発表記念として先行50社にサイバーBCPの策定・見直しを無料提供

GuardPlan株式会社 ／ 掲載 2026.10.29
発表を見る

画像：オープン株式会社の発表資料より（PR TIMES）

[2] 個人情報漏えい事故への対応をワンストップで支援　オープン、初動対応から問い合わせ窓口の運営まで担う「PIR-BPO」を提供開始

オープン株式会社 ／ 掲載 2026.11.02
発表を見る

[3] オーダーカーテンに関するお客さま情報の流出の可能性について

掲載 2026.11.02
発表を見る

委託先側の不正アクセスで良品計画が進める事故対応

良品計画は11月2日掲載の発表で、オーダーカーテン業務の委託先が利用するサーバーへの不正アクセスにより、顧客情報の一部が外部へ流出した可能性があると公表しました。同社の事故対応は、以下の2つに分けて整理できます。

• 流出の可能性があるオーダーカーテンの顧客情報
• MNインターファッションが受け持つ問い合わせ窓口

前者は流出の範囲と発覚までの経緯を、後者は顧客や報道関係者からの問い合わせをどこが受けるかを示しています。

流出の可能性があるオーダーカーテンの顧客情報

不正アクセスが確認されたのは、良品計画の委託先であるMNインターファッションがシステム関連業務を委託している、ナノテックの管理するサーバーです。ナノテックは2026年10月28日、10月19日に外部から不正アクセスを受けた痕跡を確認し、同日にMNインターファッションを通じて良品計画へ報告しました。^[3]

流出の可能性がある情報と対象の範囲は、以下の通りです。

流出の可能性がある情報にクレジットカード情報やメールアドレスは含まれず、現時点で本件による不正利用などの被害は確認されていないと良品計画は説明しています。現在は、外部の専門機関が不正アクセスの手法や流出の有無、影響範囲を詳しく調べている段階です。

図1　不正アクセスの発覚から顧客連絡までの流れ

MNインターファッションが受け持つ問い合わせ窓口

良品計画は、顧客からの問い合わせ先を、委託先のMNインターファッションが運営する「無印良品オーダーカーテン問い合わせ窓口」としました。報道関係者からの問い合わせは良品計画の広報・ESG推進部広報課が受けており、顧客向けと報道向けで窓口が分かれています。^[3]

顧客向けの問い合わせ窓口の概要は、以下の通りです。

窓口の運営を委託先が担う形でも、対象の顧客へ順次郵送で連絡することと、新たな事項が判明した際に速やかに知らせることは、良品計画が自社の対応として示しました。また、委託先や関係会社と連携し、情報管理体制とセキュリティ対策を強化するとしています。

図2　良品計画の事故対応と関係先のつながり

事故対応の窓口運営を担うオープンのPIR-BPO

オープンは、個人情報漏えいに備えた体制整備から事故後の問い合わせ窓口の運営、再発防止までを一貫して支援する「PIR-BPO」の提供を開始しました。PIR-BPOによる事故対応の支援は、以下の2つの面から確かめられます。

• PIR-BPOが組み合わせる5つのモジュール
• CareCenterが運営する問い合わせ窓口

前者では支援の範囲を、後者では対象者からの問い合わせを社外の窓口が受けるときの動きを把握できます。

PIR-BPOが組み合わせる5つのモジュール

PIR-BPOは、簡易的なチェックリストで企業の現状を整理したうえで、5つのモジュールから必要な機能を組み合わせて支援範囲を決める構成です。オープンは、BPO（ビジネス・プロセス・アウトソーシング）の考え方を取り入れ、専門家の助言に加えて、対応チームの進行管理や窓口運営などの実務も支援するとしています。^[2]

5つのモジュールは、Ready（平時の備え）やWatch（リスクの継続確認）、Response（事故発生時の対応）、CareCenter（対象者への対応）、Recovery（再発防止）です。5つのうちWatchは、委託先や再委託先を含む情報管理上のリスクを継続して確認するモジュールです。

図3　PIR-BPOの5つのモジュールが受け持つ内容

Responseは、24時間365日の事故受付に対応し、事故対応全体の進行管理をPMO（プロジェクト・マネジメント・オフィス）機能で担うとしています。PMO機能の主な支援内容は、以下の通りです。

オープンは、複数部門にまたがる対応を整理し、企業が迅速かつ適切に意思決定できる環境を整えるとしています。つまり、PIR-BPOは文書の作成準備を支える側で、報告や公表を決めるのは企業という位置づけです。

CareCenterが運営する問い合わせ窓口

CareCenterは、個人情報漏えい事故の後に、対象者からの問い合わせを受ける専用窓口を設置して運営するモジュールです。事故の規模や問い合わせの状況に応じて対応席数を調整し、窓口では企業が承認した情報に基づいて回答します。^[2]

CareCenterの窓口が受け持つ主な業務は、以下の通りです。

• 電話・メール・FAQでの回答
• 苦情や実害の申し出の受付
• 問い合わせ状況の日次報告

必要な案件はエスカレーションされ、対応内容は企業と事故対応PMOへ共有されます。オープンは、社内の担当者が問い合わせ対応に追われる負担を減らし、事実確認や再発防止策の検討に注力できる環境づくりを支えるとしています。

図4　CareCenterで問い合わせが企業へ届く流れ

事故対応の指揮をAIで支えるGuardPlan

GuardPlanは、サイバー攻撃や情報漏えいなどの重大インシデントで組織の対応を指揮するクラウド「GuardPlan Response」を発表し、先行企業との共同検証を始めるとしました。経営や法務、広報、事業部門、外部専門家にまたがる判断や対外文書づくり、関係者への連絡と配信を、AIとクラウドでひとつの流れにまとめるとしています。^[1]

共同検証を通じて仕上げていく段階のGuardPlan Responseの主な機能は、以下の通りです。

GuardPlanによると、状況を登録するとAIが足りない情報を質問して選択肢を整理し、対外文書もAIが下書きを作って担当者は確認と修正に集中できます。ただし、AIが行うのは質問や提案、下書きまでで、報告の要否や公表の判断は必ず担当者が確定するとGuardPlanは明記しました。

図5　GuardPlan ResponseでのAIと担当者の持ち場

GuardPlanは、攻撃時に誰が何を決めるかを平時に決めておくことを対応の土台とし、サイバーBCP（攻撃時の事業継続計画）の策定・見直しを先行50社に無料で提供します。支援の受付は2027年3月末までで、シナリオ表や連絡体制図、初動チェックリストを受け取れますが、技術的な調査や復旧作業は対象外です。

委託先の事故対応で担い手を決める確認点

窓口の運営や文書の準備を社外やAIが受け持つ形はあっても、公表や報告を決める役は、事故を公表する企業とその担当者の側に置かれています。^[1][2][3]

自社の状況に当てはめるときの確認点は、以下の通りです。

回答に使う情報の承認者と公表の判断者を先に自社で決めておくと、窓口や文書を社外に任せる範囲を同じ物差しで比べられます。さらに、速報や確報などの期限を追う役も、PIR-BPOのResponseやGuardPlan Responseの期限管理と照らし合わせて確かめておきたい観点です。

図6　事故対応の支援を時期と役割で見た位置づけ