クラウドサービス利用事業者（｢利用事業者｣という。
）の報告を、クラウドサービスの提供事業者（「提供事業者」という。
）が代行する場合の記入例
別記様式第一（第八条第三項関係）
受付日

年月日

※報告フォームからの報告において「別途提出受付番号する」とした報告事項の提出方法については、当委員会へお問合せください。

報告書
個人情報の保護に関する法律第 26 条第１項の規定により、次のとおり報告します。
令和●年４月 20 日
個人情報保護委員会

殿
報告者の氏名又は名称住所又は居所

株式会社△△△△ ほか◆者△△県△△市△△－△△

１．報告種別（該当する□に印を付けること。）
新規又は続報の別：☑ 新規 □ 続報 前回報告：令和
速報又は確報の別：☑ 速報 □ 確報

年月日

２．報告をする個人情報取扱事業者（以下「報告者」という。）の概要
報告者の氏名又は名称（フリガナ）カ）△△△△

株式会社△△△△
法人番号（13 桁）
業種・業種番号△△△△△△△△△業△ほか◆者△△△△△△△△△△△△■提供事業者の代行により報告を行う利用事業者を｢報告者｣として記入してください。

■複数の利用事業者が報告者となる場合及び報告者となる利用事

報告者の住所又は居所△△県△△市業者がその委託元事業者と連名で報告を行う場合は、利用事業者の△△－△△の報告者の総数を併記する、又は報告者の属性（利用事業者／委託うち適宜１者の情報を「報告者」として記入するとともに、その他元事業者、等）と総数を記入する等、報告者が複数であることが分

代表者の氏名（報告者が法人等の場合に限る。）

かる内容を記入し、報告者である利用事業者及び利用事業者と連名（フリガナ）コジョウイ
イチロウで報告する委託元事業者のリスト等を別途提出してください。

事務連絡者の氏名（フリガナ）カ）■■■■ ■■■ブ ■■カ ホゴホウ ジロウ

代表取締役 （※「（９）その他参考となる事項：」の記入例も参照）個情委 一郎

株式会社■■■■
所属部署 ■■■部■■課 保護法 二郎
電話■■■（■■■）■■■■
E-mail■■■■■＠■■■.jp「事務連絡者の氏名」には、代行報告を行う提供事業者とその事務連絡者を記入してください。

クラウドサービス利用事業者（｢利用事業者｣という。
）の報告を、クラウドサービスの提供事業者（「提供事業者」という。
）が代行する場合の記入例

３．報告事項（１）事態の概要（該当する□に印を付けること。）
発生日：令和●年４月９日
発覚日：令和●年４月 16 日
発生事案：□ 漏えい☑ 漏えいのおそれ □ 滅失
□ 滅失のおそれ ☑ 毀損
□ 毀損のおそれ発見者：☑ 自社/委託先□ 取引先 □ 顧客/会員□ カード会社/決済代行会社 □ その他
規則第７条各号該当性：□ 第１号（要配慮個人情報）□ 第２号（財産的被害）☑ 第３号（不正の目的）☑ 第４号（千人超）□ 非該当（上記に該当しない場合の報告）
報告者に個人データの取扱いを委託した者（委託元）の有無：☑ 有（名称： 一部の利用事業者に委託元あり。
多数に上るため詳細は別途提出する。）（住所：）報告者となる（電話： 利用事業者とその委託元事業者の連名報告の有無にかかわらず、）
利用事業者の委託元事業者を記入してください。
委託元事業者が多数に上る場□ 無合は、「（９）その他参考となる事項：」に記入してください。
「（９）その他参考となる事項：」に記入し切れない場合は、記入例を参考に、委託元事業者のリスト等を別途提出してください。
（※「（９）その他参考となる事項：」の記入例も参照）

報告者から個人データの取扱いの委託を受けた者（委託先）の有無：□ 有（名称：）
（住所：）
（電話：）
☑ 無
事実経過：
概要：
株式会社■■■■のサーバーがランサムウェア攻撃を受け、同社が提供するクラウドサービスである「▲▲▲」（××向けに○○システムを提供するもの）の利用事業者が取り扱う、利用事業者の顧客の氏名等の個人データが暗号化された。
発覚の経緯・発覚後の事実経過（時系列）：
Ｒ●.4.15
不正侵入検知システムのアラートにより、「▲▲▲」の提供事業者である株式会社■■■■において調査を開始。
Ｒ●.4.16
調査の結果、■■■■社のサーバーがランサムウェアに感染クラウドサービス利用事業者（｢利用事業者｣という。
）の報告を、クラウドサービスの提供事業者（「提供事業者」という。
）が代行する場合の記入例

Ｒ●.4.16
Ｒ●.4.17
Ｒ●.4.18
Ｒ●.4.20

し、データが暗号化されたことが判明したため、「▲▲▲」のサービス提供を停止し、サーバーをネットワークから隔離■■■■社サイト上でインシデント概要を公表■■■■社が外部専門業者にフォレンジック調査を依頼、及び、管轄警察署に被害届を提出
ダークウェブ等での漏えい有無の監視を開始
個人情報保護委員会へ速報を提出※発覚の経緯・発覚後の事実経過欄に以下内容をご記入ください。
・発覚日、発生日、発覚に至る経緯（いつ、どのように）、被害の拡大防止のためにとった措置等を時系列順に記載
・生じた結果（ランサムウェアでデータを暗号化された、カード情報を取られた、他の攻撃（スパムメール送信）への踏み台にされた等）を含む形で記載

外部機関による調査の実施状況（規則第７条第３号に該当する場合のみ記載）：☑ 実施済（実施中）【依頼日：令和●年４月 17 日】□ 実施予定【依頼予定日： 年月日】
□ 検討中
□ 予定なし（詳細：）（２）漏えい等が発生し、又は発生したおそれがある個人データの項目（該当する□に印を付けること。）
媒体：□ 紙☑ 電子媒体□ その他（）種類：☑ 顧客情報□ 従業員情報□ その他（）項目：☑ 氏名□ 生年月日□ 性別☑ 住所☑ 電話番号☑ メールアドレス□ クレジットカード情報□ パスワード□ その他（）（３）漏えい等が発生し、又は発生したおそれがある個人データに係る本人の数（ 約 100000 ）人
うちクレジットカード情報含む（ 0 ）人
（４）発生原因（該当する□に印を付けること。
）
主体：☑ 報告者☑ 委託先□ 不明
原因：☑ 不正アクセス（攻撃箇所：■■■■社の××サーバー ）（攻撃手法：リスト型攻撃、ランサムウェア攻撃 ）□ 誤交付□ 誤送付（メール含む。）

クラウドサービス利用事業者（｢利用事業者｣という。
）の報告を、クラウドサービスの提供事業者（「提供事業者」という。
）が代行する場合の記入例□ 誤廃棄□ その他（詳細：□ 紛失）□ 盗難□ 従業員不正攻撃者がリスト型攻撃により「▲▲▲」の公開サーバーの認証情報を窃取したものと思われる。
フォレンジック調査の完了後に詳細を報告する。
※以下の内容をご記入ください。
・詳細原因
・手法（●の脆弱性、SQL インジェクション、マルウェア感染等、標的型攻撃メー
ル、リスト型・総当たり、その他（不審なサイト閲覧、感染した USB 使用等））
・攻撃を受けたシステム等の管理状況（委託先、自社）（５）二次被害又はそのおそれの有無及びその内容（該当する□に印を付けること。）
有無：□ 有□ 無☑ 不明
詳細：現時点までに二次被害の発生は把握されていない。また、ダークウェブ等の監視の結果、現時点までに個人情報の漏えいは確認されていない。
（６）本人への対応の実施状況（該当する□に印を付けること。）
本人への対応（通知を含む。）：☑ 対応済（対応中）☑ 対応予定□ 予定なし詳細（予定なしの場合は、理由を記載）：
各利用事業者又はその委託元において対応中、又は対応予定。

（７）公表の実施状況（該当する□に印を付けること。）
事案の公表：□ 実施済【公表日：年月□ 実施予定【公表予定日：年☑ 検討中□ 予定なし日】
月

公表の方法：□ ホームページに掲載□ 記者会見
□ 報道機関等への資料配布□ その他（）日】クラウドサービス利用事業者（｢利用事業者｣という。
）の報告を、クラウドサービスの提供事業者（「提供事業者」という。
）が代行する場合の記入例

公表文：※公表文を記載してください。

（８）再発防止のための措置
実施済の措置：・各機器の OS 及びソフトウェアの最新化
・全利用者のパスワードリセット

今後実施予定の措置（長期的に講ずる措置を含む。
）及び完了予定時期：
・バックアップのオフライン保管開始（１か月以内）
・全利用事業者のパスワードポリシー強化（１か月以内）
・EDR 導入による不正検知強化（１か月以内）
・二要素認証の導入(３か月以内)
・SOC による監視サービスの利用(６か月以内)
・定期的な脆弱性診断及びペネトレーションテストの実施（９）その他参考となる事項：
本報告は、「▲▲▲」の利用事業者◆者（利用事業者と連名で報告を行う利用事業者の委託元事業者◆者を含む）の報告を、「▲▲▲」の提供事業者である株式会社■■■■が代行するものである。
報告者である利用事業者、その委託元事業者、当該利用事業者と連名で報告する委託元事業者の名称等については、多数に上るため別途リストを提出する。
■ 本報告が利用事業者の報告を提供事業者が代行して提出するものであること■ 報告者である利用事業者の報告が委託元事業者との連名報告である場合はその旨■ 報告者である利用事業者、その委託元事業者（利用事業者と連名で報告するかに関わらず）について、
①名称

②所在地

③連絡先（メールアドレス・電話番号）④その他参考となる事項（委託元事業者については連名報告とするか否か、本人数、等）を記入してください（※委員会から利用事業者・委託元事業者に連絡が取れる内容を記入してください。
）。
報告者である利用事業者・その委託元事業者（報告者である利用事業者との連名で報告する委託元事業者を含む）が多数あり、報告フォームに入力し切れない等の事情がある場合は、こちらの記入例を参考に別途提出する旨を記入した上で、当委員会が指定する方法により、利用事業者・委託元事業者のリスト等を提出してください。

クラウドサービス利用事業者（｢利用事業者｣という。
）の報告を、クラウドサービスの提供事業者（「提供事業者」という。
）が代行する場合の記入例

記載要領
１．最上段の受付日及び受付番号の欄には記載しないこと。
２．続報として提出の際には、前回報告から記載を変更した箇所に下線を引くこと。
３．２．の「法人番号」とは行政手続における特定の個人を識別するための番号の利用等に関する法律（平成 25 年法律第 27 号）第２条第 15 項に規定する「法人番号」を指す。なお、法人番号を記載する欄に、同条第５項に規定する「個人番号」を記載しないこと。
４．２．の「業種」・「業種番号」（４桁）は、日本標準産業分類から記載すること。
５．２．の「事務連絡者の氏名」の「電話」には、代表電話番号ではなく、当該事務連絡者の直通電話番号を記載すること。
６．２．の「法人等」には、法人格を有しない団体等も含まれる。
７．３．（７）の「公表文」には、公表を予定している場合、公表予定の文案を記載又は添付すること。
８．用紙の大きさは、日本産業規格Ａ４とすること。