9月に方向性だけが示されていた、個人情報の安全管理措置の見直しが、条文の案になりました。個人情報保護委員会は10月29日、個人情報保護法のガイドライン（通則編）のうち、安全管理措置を具体的に書いた別添と、マイナンバーのガイドライン2本の改正案について、意見募集を始めました。締め切りは11月27日です。
当初の予定より、進み方が速くなっています。委員会は9月16日の時点で、12月ごろに意見募集を始め、2027年4月に施行する予定でした。概要の資料は、国民に広く使われ、大量の個人情報を扱う事業者が不正アクセスを受けて大量の個人データが漏えいする事案に接したことから、施行を可能な限り前倒しすることにしたと説明しています。
いつ、何が、誰に関係するか
| 項目 |
中身 |
| 意見募集の期間 |
2026年10月29日〜11月27日（郵送は同日必着） |
| 改正の対象 |
個人情報保護法のガイドライン（通則編）の別添「講ずべき安全管理措置の内容」、マイナンバーのガイドライン（事業者編・行政機関等編）の安全管理措置の別添 |
| 当初の予定 |
2026年12月ごろに意見募集、2027年2月ごろに改正の決定、2027年4月に施行 |
| 今回の予定 |
意見募集のあと、結果の報告、改正の決定、施行を「可能な限り早く」。施行の日は資料に書かれていない |
| 関係する事業者 |
個人データを扱う全ての事業者（従業員100人以下の中小規模事業者向けの例も更新）。マイナンバーのガイドラインは、源泉徴収などで個人番号を扱う事業者 |
| 位置づけ |
「講じなければならない措置」に従わないと法違反と判断される可能性がある。「手法の例示」は例で、全部を講じなくても直ちに違反ではない |
委員会の概要の資料。施行を「可能な限り早く」に前倒し出典: 個人情報保護委員会事務局「安全管理措置の手法の例示の追加等の概要」(引用)
委員会の説明では、今回の改正は「手法の例示」の追加などで、新たな規律を設けるものではありません。背景に挙げるのは、侵入型のランサムウェアのように、ネットワークの奥まで入り込む攻撃の増加です。別添の中身は、2016年にガイドラインができたときから、大きくは変わっていませんでした。
加わる手法の例
更新案は、別添の4つの区分（組織的・人的・物理的・技術的）に、次の例を加えます。情シスの手が動くのは、ほとんどが技術的安全管理措置です。
| 区分 |
加わる例（要約） |
| 組織的 |
責任者に加えて責任部署を置き、役割を明確にする。規律の違反や漏えいの兆しを知ったときの報告先に責任部署を加える |
| 組織的 |
個人データの扱いの決まりを明確にし、従業者に周知する。責任者か責任部署が、決まりと照らし合わせて守られているかを確かめる |
| 組織的 |
扱いの状況や技術の進歩を踏まえ、講じた安全管理措置を定期的に評価し、見直し、改善する |
| 人的 |
従業者への定期的な研修の内容や方法を評価し、見直し、改善する |
| 物理的 |
個人データを記録した機器や電子媒体を捨てるとき、暗号化消去を使う |
| 技術的（アクセス制御） |
特権アカウントを割り当てる従業者、使う端末、使う場面を最小限にする。人事異動や退職などのときに、アクセス権限を正しく変える。アクセス元の場所、時間、端末の状態などの動的な条件を要求ごとに評価し、可否を決める仕組みを入れる |
| 技術的（識別と認証） |
指紋・静脈・顔の認証を例に加える。同じIDとパスワードの使い回しを原則として禁止する。社外のネットワークからのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスでは、フィッシングに耐性のある方式を含む多要素認証を入れる。従業者以外の人も適切に識別・認証する |
| 技術的（外部からの不正アクセスの防止） |
組織が許可し、セキュリティの基準を満たした端末からだけ、個人データへのアクセスを許す |
| 技術的（漏えいの防止） |
クラウドのサーバーにある個人データを消すときは、提供事業者が用意する方法や暗号化消去など、簡単に戻せない手段を使う |
| 技術的（不正アクセス等の検知等・新しい項目） |
認証、アクセス、操作、通信などのログを一定の期間保管し、改ざんや消去から守り、定期的に分析する。IDS/IPSやEDRなど、早く見つける仕組みを入れる。侵害されたシステムの停止・隔離やアカウントの無効化など、被害が広がらない対策をとる |
更新案の全体像。技術的な措置の追記が多い出典: 個人情報保護委員会事務局「安全管理措置の手法の例示の追加等の概要」(引用)
クラウドのデータの消し方について、委員会の資料は、Google Driveでごみ箱に入れたデータをごみ箱から消す操作を、提供事業者が用意する方法の例に挙げています。暗号化消去は、データを暗号化して保存し、消すときに復号の鍵を消して読めなくする方法で、事業者にとっても簡単な手法だとしています。
「講じなければならない措置」に、検知の項目が立つ
いちばん大きな変化は、技術的安全管理措置の「講じなければならない措置」に、5つ目の項目「不正アクセス等の検知等」が加わることです。更新案の文は、個人データを扱う情報システムへの不正アクセスなどを早く見つけるための措置を平時から講じ、組織内のネットワークで被害が広がるのを防げるよう適切に運用しなければならない、というものです。
委員会は、これを今までの内容の組み替えと説明しています。ログの定期的な分析による検知や、アクセスの状況の監視は、すでにガイドラインとQ&Aで手法の例として示していました。ただ、今の「外部からの不正アクセス等の防止」という見出しからは、その手法が読み取りにくかったため、独立した項目にしたとしています。あわせて、講じなければならない措置として課しても過度ではないと判断した、とも書いています。
中小規模事業者向けの例にも、ログを一定の期間保管することが加わります。委員会は、ログが無いために不正アクセスの原因が分からず、再発を防ぐ対策を検討できない事例があったことを理由に挙げています。保管の期間は、更新案では「一定の期間」とされ、日数は示されていません。
多要素認証を入れる場面を3つに絞った理由も書かれています。ログインの手順が増える不便と、機器やシステムの費用が増えることを考え、社外からのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスに限って例にしたとしています。
マイナンバーのガイドラインは、源泉徴収の書類の写しにも
マイナンバーのガイドライン（事業者編）の安全管理措置の別添にも、ほぼ同じ例が加わります。くわえて、源泉徴収票などを作る事務で、従業員から出された書類の複製を作っている場合に、その複製をどう捨て、どう消すかの手続を明確にしておくことが重要だと書き足します。行政機関等編にも、書類の複製を消す手続を明確にすることなどが加わります。
うちの会社に関係するのは、個人データを扱う全ての会社
対象は、個人データを扱う全ての事業者です。従業員が100人以下の中小規模事業者には、別に簡単な例が示されていますが、扱う個人の数が過去6か月のいずれかの日に5,000を超える事業者と、委託を受けて個人データを扱う事業者は、中小規模事業者に含まれません。他社の個人データを預かる委託先は、規模が小さくても、通常の例で点検することになります。
マイナンバーの別添は、給与の支払いで源泉徴収票を作る会社なら、規模にかかわらず関係します。今回の改正は手法の例の追加が中心です。ただ、委員会は監督の業務で、別添の項目に従って権限を使うかどうかを検討しているとしており、漏えいが起きたときの指導の物差しになります。
これまでの委員会の注意喚起は、個人情報保護委員会が漏えい対策を注意喚起 情シスの今週の確認と、個人情報保護委員会が大規模漏えいで注意喚起 事業者に安全対策の強化を要請にまとめています。委託先で漏えいしたときの報告の流れは、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れにあります。
11月27日までに確認すること
- 総務や法務と一緒に、e-Govにある「改正概要」と「更新案」を読みます。更新案は、今の別添からの変更が色付きの文字で示されています。
- 自社の個人データの取扱規程と、情報セキュリティの規程を、加わる例と照らし合わせます。特に、特権アカウントの持ち主と使う端末、異動・退職のときの権限の外し方、多要素認証をかけている範囲、ログを残している期間を一覧にします。
- クラウドに置いた個人データの消し方と、PCやサーバーを捨てるときの消し方を、手順書に書けているかを確かめます。暗号化消去を使えるかを、使っている製品の機能で確かめます。
- 給与の担当と、源泉徴収票の作成で従業員の書類の写しを作っていないか、作っているならいつどう捨てるかを確かめます。
- 意見を出す場合は、11月27日までに、e-Govの意見募集のページのフォームか、郵送かメールで出します。意見の対象の箇所を書くよう求められています。電話での意見は受け付けていません。
注
- 安全管理措置の義務の根拠は、個人情報保護法の第23条です。マイナンバーについては、番号法の第12条です。
- 中小規模事業者の定義、改正の理由、手法の例の全文は、e-Govの案件のページにある「改正概要」と「更新案」のPDFで確かめられます。最終的な内容は、案から変わる可能性があると委員会は書いています。
