日経とTBSのサイバー担当記者と議論する、企業に求められるインシデント対応時の経営判断

データで見るインシデント公表の実態

上杉：
最初にPwCが実施した「『サイバー攻撃被害に係る公表』に関する国内組織実態調査 第2回」^※1の結果を紹介します。同調査は2022年10月から2023年9月までに確認された主要な国内インシデント公表事例337件の分析結果（追跡調査含む）を基に、国内の傾向および国内組織への推奨事項をまとめたものです。

まず、インシデントの検知から初報までにかかる日数ですが、一週間以内に初報を発表している企業が全体の55％、中央値は5日です。

^※1  https://www.pwc.com/jp/ja/knowledge/thoughtleadership/cyber-attack-survey2024.html

図表1：インシデント検知から初報までにかかる日数​

^{出典：「サイバー攻撃被害に係る公表」に関する国内組織実態調査 第2回​}

次に、プレスリリースの記載内容です。被害の概要をほとんどの企業が公表していますが、対応状況にはばらつきがあります。初動対応の具体的内容や再発防止策については、全ての企業が記載しているわけではありません。

図表2：インシデント公表事例の主な記載項目​

^{出典：「サイバー攻撃被害に係る公表」に関する国内組織実態調査 第2回​}

なお、インシデント発生から公表までの一般的な流れは以下の図のとおりです。

図表3：公表判定の流れ​

まず、インシデントを検知して内部報告を行い、その後、危機レベル（緊急・高・中・低など）を判定します。緊急度が高い場合は緊急対策本部を立ち上げ、公表の要否を判断します。公表の判定としては、「公表を見送る」「プレスリリースを発表する（上場企業の場合は適時開示を含む）」「記者会見とプレスリリースを併用する」の3パターンに大別されます。こうした調査結果を踏まえながら、企業はどのように情報発信を行うべきか、議論を進めていきたいと思います。

経営トップによる記者会見の意義

上杉：
まずは記者会見について掘り下げたいと思います。お二人に伺います。記者会見にはどのようなメリットとデメリットがあるのでしょうか。

須藤：
最大のメリットは、経営トップが自らの言葉で説明責任を果たせることです。企業がインシデントに対してどう向き合い、どのように対応するのかという姿勢を直接伝えられます。特に信頼回復の局面では、経営トップが前面に立って真摯に説明すること自体が、企業の透明性や説明責任を示す強いメッセージになります。

福田：
私からはデメリットについてお話しします。記者会見が信頼回復の大きなきっかけになることは事実です。しかし、準備不足だと「本当にきちんと対応しているのか」という不安を社会やクライアントに抱かせてしまいます。特にインシデントの場合、言えないことや分からないことも多いと思います。だからといって「分かりません」「お答えを差し控えます」と紋切り型の答えばかり繰り返していると、取材する記者も、その先の読者や視聴者も、企業の対応姿勢に疑念を抱いてしまいます。

重要なのは徹底して準備し、答えられない場合でも理由を丁寧に説明し、開示できる情報はできる限り開示しようとする姿勢を示すことです。記者会見は諸刃の剣であると認識しておいた方がいいと思います。

須藤：
記者会見は一発勝負です。特にテレビやライブ配信では、その振る舞いや表情まで含めて視聴者に伝わります。そもそもインシデント発表は企業側にとって後ろ向きな内容です。それに対して毅然と対応する姿勢を打ち出せなければ、逆効果になってしまいます。一方で誠実かつ的確なメッセージを発信できれば、社会からポジティブに受け止められる効果は非常に大きいと思います。

上杉：
企業やトップの振る舞いがそのまま伝わる映像メディアでは、企業はどのような点に注意すべきでしょうか。

福田：
動画は発言内容だけでなく、表情や声、動作まで伝わります。特にライブ配信では、その印象がそのまま視聴者に届きます。ですから準備時間が限られる中でも、「どう見られるか」を意識し、社内で立ち振る舞いを確認するなど、誠実な印象を与える工夫は重要です。

上杉：
記者会見は、その企業の従業員に対してのメリットもあると伺いましたが、どのような意味を持つのでしょうか。

福田：
インシデント対応で一番大変なのは、直接クライアントとやり取りする現場の方々です。厳しい対応に追われる現場にとって、トップが前に出て真摯に説明する姿勢を示すことは、大きな励みになる。社長から社員に直接思いを伝えるのは難しい場面でも、社会に向けた発信が結果として自社の社員へのメッセージにもなります。経営者は「記者会見は従業員に対してメッセージを発するものでもある」と意識するとよいかもしれません。

詳細なプレスリリースを高頻度で公表する意義

上杉：
次にプレスリリースについて伺います。下のグラフは一件のインシデントに対して何回続報を出したかをまとめたものです。

図表4：インシデント公表事例1件あたりの公表回数​

^{出典：「サイバー攻撃被害に係る公表」に関する国内組織実態調査 第2回​}

初報のみの企業が54％で、続報を出した企業は46％です。全体的には二報から五報程度が多いものの、中には10報、11報に及ぶケースもありました。こうした頻度の高い情報発信には、どのような意義があるのでしょうか。

福田：
詳細かつ具体的なプレスリリースを継続的に出すことはメディア側から見れば有益ですし、「企業が真剣に対応している」という姿勢も伝わります。ただし、単に情報量を増やせばよいというものではありません。重要なのは社会やクライアントが「何を知りたいのか」を正確に把握し、「今どうなっているのか」を適切に伝えることです。情報量と分かりやすさのバランスを意識した発信が求められると思います。

須藤：
福田さんがおっしゃるように、単に情報量を増やせばよいわけではありません。一方で、説明責任や透明性を考えれば、きちんと情報を出している姿勢を見せたい面もあります。その取捨選択をケースごとに考える必要があります。ただし、メディアは「プレスリリースを出したから説明責任を果たした」とは見なしません。記者会見も含め、それぞれを何のために行うのかを整理し、組み合わせて考えるべきです。

さらに付け加えるなら、当事者だけで判断すると視野が狭くなりがちです。第三者の助言も受けながら「外からどう見られているか」を踏まえて情報発信を設計することが重要だと思います。

映像メディアと活字メディア、それぞれの伝わり方

上杉：
ここまで発信する側の論点を伺ってきましたが、ここからはメディア側の特性について伺います。テレビと新聞では、企業の情報発信の伝わり方はどう変わってくるのでしょうか。

福田：
テレビは映像と音声で多くの情報を伝えられる反面、放送時間に制約があるため、「頭を下げるシーン」や「謝罪の言葉」など、印象的な瞬間だけが切り取られることがあります。そのため、限られた時間で何を伝えるかを意識して臨むことが重要です。

須藤：
一方、活字メディアには、企業が発信したいメッセージを端的に伝えられるという強みがあります。読者が自分のペースで読み返し、情報を整理しながら理解できる点も大きい。新聞は見出しなどの要点を追うだけでも、企業が何を伝えようとしているかがわかります。ただし、私たちは限られた行数の中で取捨選択するため、発表する側のメッセージが明確でないと、その意図を十分に汲み取ることができません。

上杉：
活字メディアとして、プレスリリースのみの場合と、記者会見とプレスリリースを併用した場合とでは、記事の書き方やニュアンスは変わるのでしょうか。

須藤：
「行間を読む」と言いますが、書かれていない部分にある企業のスタンスや思いは、会見を踏まえて記事を書くと、おのずと伝わってきます。登壇者の姿や受け答えから、企業が何を重視し、どのような姿勢で説明しようとしているのかが見えてくるからです。一方、プレスリリースだけでは事実の説明にとどまりやすく、企業の考えや温度感までは記事に反映しづらいです。そこは大きな違いだと思います。

インシデント公表を「社会の教訓」に変える視点

上杉：
本日の議論を通じて、平時の備えと、有事における柔軟な判断の両方が情報発信に欠かせないということが見えてきました。

福田：
最後にもう一つお伝えしたいことがあります。公表の際にぜひ考えていただきたいのは、開示した情報を「社会全体の教訓として共有する」という意識を持てるかです。過去の取材で「なぜ取材を受けてくれるのか」と尋ねた際、「自分たちはやられてしまったが、今後の教訓に生かしてほしい」とおっしゃる方が多くいました。そうした姿勢が、業界を一気に変えるきっかけになることもあります。インシデントの発生という厳しい状況の中で、大変難しいことだとは重々承知していますが、少しでもこうした考え方を取り入れていただければと思います。

須藤：
実際、教訓共有を意識した記者会見は、社会から前向きに受け止められやすい印象があります。単なる義務的な公表ではなく、「この経験を社会全体の教訓として共有する」という姿勢が伝わると、その後のレピュテーションにも大きく影響します。そこまで視野に入れて発表していただきたいと思います。

上杉：
単なるメディア対応ではなく、社会への貢献という視点を持つことが重要だということですね。本日はありがとうございました。