委託しているサービスで「情報が外に出たかもしれない」と連絡を受けても、最初の時点では、何が起きたのか、どの情報が関係するのか分からないことがあります。台湾拠点の担当者が一人で技術調査をする必要はありません。まず社内の責任者へ速やかに共有し、委託先への連絡と並行して、分かる範囲で業務への影響や次の確認事項を整理しましょう。

台湾の国家資通安全研究院が2026年10月15日に公開した週報には、消費者から個人情報流出の疑いを知らせる連絡があり、委託先が管理するプラットフォームで第三者による不適切な取得が疑われた事例が掲載されています。週報によると、関係事業者は調査を始め、対象となる可能性のあるデータ範囲やアクセス記録などを確認し、委託先にも調査と必要な改善を求めました。これは調査中の「疑い」として報告された内容です。流出の確定、原因、影響範囲までは、この記載だけからは判断できません。1

社内責任者への共有と並行して、状況を整理する

気づいたことは、推測を足さずに社内の責任者へ速やかに伝えます。委託先への連絡や社内判断を待たせず、並行して分かる範囲で次の点をメモします。推測は事実と分け、「分からない」こともそのまま記録してください。

  • どのサービス・システムで、どの業務をしているか
  • 最初に何に気づいたか、いつ、誰が、どこから連絡を受けたか
  • いま業務で困っていること、止まっている作業があるか
  • 社内の窓口となる責任者は誰か
  • 委託先への連絡状況と、次に回答を受ける予定時刻

ここで個人データやシステムの記録を自分で探し回ったり、設定変更や削除をしたりする必要はありません。元の通知やメールは社内の手順に従って保全し、委託先の調査を妨げる操作を避けてください。どう扱うか判断できない場合は、社内の情報システム・セキュリティ責任者に確認します。

本社には「事業への影響」と「判断する人」を確認

本社や社内責任者には、次のように尋ねると会話を始めやすくなります。

  1. このサービスを使う業務のうち、優先して確認すべきものは何ですか。
  2. 台湾側で、通常業務の継続や一時停止について誰が判断しますか。
  3. 顧客・従業員・取引先への連絡が必要かどうかは、社内の誰が判断しますか。
  4. ベンダーへの質問や回答のとりまとめは、誰が窓口になりますか。
  5. 次の状況報告はいつ、どの方法で共有しますか。

これは初動を整理するための質問例です。連絡の要否や法的な対応を現場担当者だけで決めず、社内の責任者に判断をつなぎます。台湾の法的な届出義務や期限については、この記事では扱いません。

ベンダーには「分かったこと・調査中・次の報告」を分けて聞く

委託先には、原因や責任を決めつけず、現在の確認状況を尋ねます。

  • どのサービス・環境を確認していて、どの期間を調査していますか。
  • 当社の利用環境やデータが関係する可能性はありますか。確認済みと未確認を分けてください。
  • 対象となる可能性のある情報の種類や範囲は、どこまで分かっていますか。
  • 関係記録の確認は誰が担当し、どのような段階にありますか。
  • すでに実施した対応と、これから予定している対応は何ですか。
  • 当社側で今すぐ行うこと、避ける操作、保留すべき作業はありますか。
  • 次の報告はいつ、どの窓口から受けられますか。

返答は「確認済み」「調査中」「未確認」に分けて記録し、次回の連絡時刻も残します。アクセス記録の解析やシステムの停止・変更などは、社内の責任者と保守先が状況に応じて判断することです。担当者がログを消したり、アカウントや設定を独断で変更したりしないでください。

日本の情報処理推進機構（IPA）は、サプライチェーン全体の状況把握に向けた最初の段階として、リスクのある委託先を特定し、その対策状況を把握することを挙げています。2 この考え方は、平時に「どの業務をどの会社・サービスへ委託しているか」「問題が起きたときの社内窓口は誰か」を整理しておく助けになります。特定の台湾法上の義務を示すものではありません。

次の連絡までに、判断待ちを減らす

社内メモには、確認日時、分かっている事実、未確認事項、業務影響、担当窓口、次の報告予定を残します。個人情報や詳細な技術情報を広く転送せず、社内ルールに沿った共有先に限定してください。新しい情報が入ったら、以前の推測と混ざらないよう、誰からいつ受けた情報かを追記します。

本社・台湾拠点・委託先の間で、何を誰が確認するか整理しにくい場合は、台湾拠点のIT課題を経営・現場・ベンダーの間で整理するIT顧問サービスの案内もご覧ください。3

出典と確認日