株式会社MintSparkの堤です。
ホームページや業務で使っているSaaSから、「情報が流出した可能性があります」という通知が届いた。制作会社に転送したあと、自社は何から動けばよいのか。担当者としては、何から手を付けるか迷う場面ですよね。
最初に整理したいのは、預けていたデータ、つないでいた外部サービス、社内外の担当者の3つです。提供会社の調査と並行して、自社の顧客への対応を進められる状態をつくります。
まず、公式案内と「自社の対象範囲」をそろえる
通知メールを受け取ったら、普段利用しているブックマークや公式サイトから管理画面を開き、対象の契約・サイト・プロジェクトを確認します。社内で最初に通知を確認した日時も記録しておくと、その後の報告や対応経緯を整理できます。
たとえばStudioは、2026年10月16日に不正アクセスについて公表しました。公式案内では、データが外部から取得できる状態になったことを確認し、実際の取得の確認状況と分けて説明しています。自社への影響は、Studioの公式案内と個別メール、ログイン後の表示を照合して確かめます。
自社の確認メモには、次の4項目があれば初動を組み立てられます。
- 対象：契約名、サイト名、プロジェクト名、使っていた機能
- データ：氏名、メールアドレス、電話番号、問い合わせ本文などの項目と保存期間
- 連携：外部API、スプレッドシート、チャット通知などの接続先と管理者
- 状況：確認済みの事実、調査中の事項、次の情報更新予定
件数や項目は、管理画面の現在の表示だけでなく、提供会社が示す対象期間・保存範囲と照らします。過去の運用や設定変更を知っている人にも声をかけると、確認が進みます。
架空の会社で見る、3者の役割分担
ここでは、社員20人の架空の商社を例にします。SaaSで会社サイトを運営し、問い合わせフォームの回答を保存。商品情報は外部APIから取得し、サイトの設定は制作・保守会社が担当している想定です。
| 担当 | 確認・対応すること | 自社が確認する成果 |
|---|---|---|
| SaaS運営会社 | 発生原因、影響範囲、サービス基盤の修正、調査の続報 | 自社プロジェクトの対象機能・期間・データ項目 |
| 制作・保守会社 | フォームと連携設定の棚卸し、キーの切り替え、動作確認 | 変更箇所、旧キー失効、問い合わせ送信テストの結果 |
| 利用企業の窓口 | 社内の判断者を確保、対象者の整理、報告・本人通知、業務への影響調整 | 提出・通知の記録、残っている作業と次回確認日 |
この表は運用上の分担例です。実際には、契約上の業務範囲や管理権限に合わせて担当者を決めます。自社側に一人、対応状況を集める窓口を置いておくと、「誰の返答を待っているか」が分かり、次の確認も進めやすくなりますよ。
フォームのデータと、外部サービスの「鍵」を同時に確認する
APIキーやトークンは、サービス同士をつなぐ合鍵のようなものです。確認メモには、キーの値そのものよりも、発行元、使い道、権限、管理者、切り替え状況を残します。
Studioの案内でも、利用者が登録した外部サービスのAPIキー・トークンは、発行元サービスで利用者が切り替え・失効する必要があると説明されています。SaaS側の修正完了と、連携先の古い鍵の失効完了は、別々に確認する作業です。
対象の項目・期間・人数を整理
↓
報告対象の判定・提出方法を確認
↓
本人への通知・相談窓口を用意
キー・権限・利用履歴を確認
↓
新しいキーへ切り替え・動作確認
↓
古いキーを失効・記録
通常の切り替えでは、新しいキーの発行、設定更新、動作確認、古いキーの失効を一つの作業として計画します。不審な利用が続いている場合は、先に失効・接続停止を行う判断も必要です。発行元で利用履歴と権限を確認し、切り替え担当者と業務への影響を共有します。
完了確認には、商品表示の確認だけでなく、フォーム送信から担当者への通知までのテストも含めます。使い終えた連携のキーも、発行元で失効した記録を残しましょう。AIのAPIキーを登録していた場合は、AI利用料の急増を確認する手順に沿って、請求先と利用履歴も照合すると確認しやすくなりますよ。
委員会への報告と、本人への通知をそれぞれ進める
個人情報保護委員会の通則編ガイドラインでは、個人データの取扱いを委託していて報告対象事態に当たる場合、原則として委託元・委託先の双方に報告義務が生じます。連名での報告や、所定の通知を行った委託先の義務を免除する仕組みもあります。自社が委託元に当たるか、対象のデータと契約関係を確認するところから始めます。
提供会社が連名報告を案内している場合は、自社の申込みが必要か、どのサイト・データが含まれるか、提出内容と受付記録をどう確認できるかを押さえます。Studioの10月28日更新案内では、連名報告の受付開始は11月上旬の予定とされています。申込み方法は最新の公式案内で確認します。
Studioはフォーム送信者への通知をサイトオーナーが行うよう案内しています。自社では、通知対象者、伝える内容、送信方法、問い合わせ窓口、実施日時を整理します。本人通知の時期は事態に応じて速やかに判断し、把握できた内容から準備を進めます。
通常の報告対象事態では、速報は認識からおおむね3～5日以内が目安です。提供会社の回答待ちの項目は「調査中」と整理し、判明済みの情報で報告を進める扱いがガイドラインに示されています。期限や対象の詳しい整理は、個人情報漏えい時の報告期限と初動をまとめた記事をご覧ください。Studioの本件向けの報告案内は、その事案に適用される個別の取扱いとして確認します。
MintSparkが重視するのは、「対応中」を作業単位に分けること
初動では、通知を受けた時点で社内窓口を決め、同日中に対象範囲と連携先の確認を依頼し、次の確認時刻をそろえる運用を提案します。これは当社が提案する進め方の例です。
管理する項目は「サービス復旧」「対象データの整理」「連携キーの失効」「委員会への報告」「本人への通知」。それぞれに担当者、期限、完了を確認できる記録を付けます。技術側は復旧、事業側は顧客対応を追う。その両方を一枚で見渡せると、経営者も次に何を決めるか、判断しやすくなりますよ。
通知が届いて確認先の整理から必要な場合は、MintSparkのオンライン30分相談をご利用ください。サービス名と通知の概要をもとに、制作・保守会社への確認事項や、自社が進める作業を整理します。
公式情報の確認日：2026年11月2日。図と会社例は、初動を説明するためにMintSparkが作成した架空のものです。