breach-documentation

個人データ侵害の記録の維持

概要

GDPR 第 33 条第 5 項では、侵害が監督機関への通知を要するものであったかどうかにかかわらず、すべての個人データ侵害を記録するよう、すべての管理者に義務付けています。記録には「個人データ侵害に関する事実、その影響および講じた是正措置」を含めなければならず、「監督機関が本条の遵守状況を確認できる」ものでなければなりません。これにより、第 5 条第 2 項に基づく主要な説明責任文書として機能する、包括的な侵害登録簿が作成されます。

必須の記録要件 — 第 33 条第 5 項

侵害に関する事実

侵害登録簿のすべての記録には、次の事項を記録する必要があります。

項目	説明	例
侵害参照番号	一意の連番識別子	SPG-BREACH-2026-003
発見日時	管理者が侵害を認識した時点の UTC タイムスタンプ	2026 年 3 月 13 日 14:30 UTC
侵害発生日時	侵害そのものが発生した時点の UTC タイムスタンプ（発見日時と異なる場合）	2026 年 3 月 13 日 11:15 UTC
侵害の種類	機密性、完全性、可用性、またはその複合	可用性（主な影響）、機密性（調査中）
侵害の説明	発生した事象の事実に基づく記述	LockBit 3.0 ランサムウェアが本番環境の顧客データベースクラスターを暗号化しました。攻撃経路：スピアフィッシングで入手した侵害済みサービスアカウント。
影響を受けたシステム	侵害に関与したシステム	db-prod-eu-west-01 から db-prod-eu-west-04
データ主体のカテゴリー	影響を受けた個人の種類	個人アカウントの保有者、ビジネスアカウントの保有者、共同アカウントの保有者
データ主体の人数	影響を受けた個人のおおよその人数	15,230
個人データのカテゴリー	侵害されたデータの種類	氏名、郵便住所、メールアドレス、決済カード番号の下 4 桁、取引履歴、口座残高
レコード数	影響を受けたレコードのおおよその数	48,720
根本原因	特定された侵害原因	古い特権サービスアカウント＋フィッシング＋プッシュ通知疲れを利用した MFA の回避
封じ込めタイムスタンプ	侵害が封じ込められた日時	2026 年 3 月 13 日 12:45 UTC

侵害の影響

項目	説明	例
リスク評価スコア	リスク評価手法による総合スコア	18/24
リスクレベル	評価されたリスクの判定	高リスクに近い
特定された実害	データ主体に確認された被害	評価日時点で確認された被害なし
潜在的な被害	データが悪用された場合に想定される結果	金融詐欺、なりすまし、標的型フィッシング
影響の継続期間	データ主体が影響を受けた期間	36 時間（データベースの利用不能）；継続中（機密性への潜在的影響）

実施した是正措置

項目	説明	例
封じ込め措置	侵害を食い止めるための即時対応	ネットワークの隔離、認証情報の失効、バックアップからの復元
是正措置	長期的な是正対応	MFA を FIDO2 にアップグレード、サービスアカウントのライフサイクル管理、ネットワークのセグメンテーション
是正状況	各措置の現在の状況	7 件中 4 件が完了、3 件が進行中
是正期限	完了目標日	2026 年 6 月 15 日

通知に関する判断の記録

すべての侵害記録には、通知に関する判断とその根拠も記録する必要があります。

項目	説明
Art. 33 SA 通知の判断	必要／不要
Art. 33 通知の根拠	通知が必要または不要と判断された理由（リスク評価を参照）
Art. 33 通知日	SA への通知日時（該当する場合）
SA 参照番号	監督機関から割り当てられた参照番号
SA のフォローアップ状況	監督機関からの問い合わせや対応
Art. 34 DS 通知の判断	必要／不要／Art. 34(3) に基づき免除
Art. 34 通知の根拠	DS への通知が必要または不要と判断された理由
Art. 34 通知日	DS への連絡日（該当する場合）
Art. 34 通知方法	使用したチャネル（メール、郵便、公開通知）

登録簿の構成と維持管理

単一の一元管理された登録簿

すべての侵害は、DPO のオフィスが管理する単一の一元管理された登録簿に記録する必要があります。Stellar Payments Group は、OneTrust Privacy Management Platform の専用モジュールを使用し、次のアクセス制御を設定しています。

• 書き込みアクセス：DPO、副 DPO、プライバシーインシデントコーディネーター
• 読み取りアクセス：CISO、法務顧問、内部監査、取締役会監査委員会
• アクセス不可：事業部門のマネージャー、IT 運用スタッフ（個々の侵害記録へのアクセスは、必要な範囲に限り、別途レポートを通じて提供）

通知対象外の侵害も含め、すべての侵害を記録

重大度や SA／DS への通知が必要となったかどうかにかかわらず、すべての個人データ侵害を登録簿に含める必要があります。具体的には、以下も明示的に含まれます。

• 個人データを含む誤送信メール（受信者が1人だけのインシデントも含む）
• バックアップから復元された一時的な可用性の侵害
• 個人データが標的にされたもののアクセスされなかった、未遂に終わった持ち出し
• 管理者のデータに影響を及ぼした処理者側の侵害
• 物理的な侵害（デバイスの紛失、不正なオフィスへの立ち入り）

保持期間

侵害登録簿の記録は、侵害の終結日から最低7年間保持します。これは、以下を考慮したものです。

• EU 加盟国の大半における GDPR の執行措置に関する5年間の時効
• 監督機関に対して、パターンの有無を示す必要性
• Art. 82 に基づくデータ主体の補償請求に関する訴訟期限

7年間の保持期間終了後、記録は匿名化し（データ主体の人数は保持し、特定の識別情報は削除）、傾向分析のために無期限で保持します。

監査への備え

監督機関によるアクセス — Art. 33(5)

侵害登録簿は、監督機関から「要請があった場合」に利用できる状態でなければなりません。監査に備えるため、以下が必要です。

1. 即時利用可能であること：監督機関からの要請後24時間以内に、登録簿を構造化形式（CSV、JSON、PDF）でエクスポートできなければなりません。
2. 完全性の検証：報告されたすべてのセキュリティインシデントについて、個人データへの影響を評価し、該当する場合は登録簿に追加したことを確認するため、毎月セルフ監査を実施します。
3. 相互参照の完全性：登録簿の各記録は、裏付けとなる文書（リスク評価フォーム、SA 通知の写し、DS 通知の写し、調査報告書、是正措置の証拠）にリンクしていなければなりません。
4. 傾向レポート：登録簿から、侵害の発生頻度の推移、侵害の種類、根本原因の分類、通知率、是正措置の完了率を示す傾向レポートを生成できなければなりません。

年次データ侵害記録簿レビュー

DPO は、次の項目を対象にデータ侵害記録簿を年次レビューします。

1. 完全性：把握しているすべてのデータ侵害が記録されていますか？ セキュリティインシデント管理システムと照合してください。
2. 正確性：記録の 20％を抽出し、元の文書と照らし合わせて正確性を確認してください。
3. 適時性：データ侵害の発見から 72 時間以内に記録が作成されていますか？
4. 是正措置の完了：是正措置は完了まで追跡されていますか？ 期限超過の措置にフラグを付けてください。
5. パターンの特定：システム上の問題を示す、繰り返し発生するデータ侵害の種類や根本原因はありますか？
6. 取締役会への報告：取締役会監査委員会向けに、年次データ侵害サマリーレポートを作成してください。

他の記録との連携

関連する記録	連携内容
第 30 条 RoPA	影響を受けた処理活動をデータ侵害の記録に関連付けます
DPIA 記録簿	データ侵害をリスク事象として、影響を受けた処理活動の DPIA を更新します
ベンダー記録簿	データ侵害が処理者に起因する場合、処理者のリスク評価を更新します
研修記録	データ侵害後に関係者へ実施した研修を記録します
監査ログ	データ侵害に関連する内部監査の所見を参照します
保険記録	サイバー保険の請求参照番号に関連付けます（該当する場合）

よくある文書化の不備

1. セキュリティインシデント管理システムには記録されているが、第 33 条第 5 項の記録簿には記録されていないデータ侵害：セキュリティインシデントチケットは、データ侵害記録簿への記録の代わりにはなりません。
2. 通知に関する判断根拠の欠落：データ侵害がリスクにつながる可能性は低いと評価した理由を記録せず、「通知せず」とだけ記録している。
3. 是正措置の追跡が不完全：是正措置を列挙しているものの、完了状況が反映されるよう更新されていない。
4. 文書化の遅延：データ侵害から数週間後に記録が作成されているため、適時に認識し対応したことを証明しにくい。
5. 処理者のデータ侵害記録がない：処理者で発生し、管理者のデータに影響を与えるデータ侵害が、管理者の記録簿に記録されていない。