個人情報保護委員会は2026年10月7日、大量の個人情報を扱う事業者への不正アクセスで大規模な漏えいが相次いでいることを受け、事業者に安全対策の強化を求める注意喚起「大規模な漏えい等事案を踏まえた対応について」を公表しました。相次ぐ漏えいを背景に、国がガイドラインの見直し内容を前倒しで示した点が特徴です。情シスが確認することを、公式資料から整理します。
国が事業者に求めたこと
委員会は、国民に広く普及し大量の個人情報を扱う事業者、利用者が事業者を選びにくいサービス、機微な情報や財産的被害・詐欺につながる情報を扱う事業者などに、とくに適正な取り扱いを求めました。ポイントは3つです。
- 技術的安全管理措置の前倒し提示: 2027年4月に確定を予定するガイドライン(安全管理措置の手法の例示)の見直し内容を、近時の動向を踏まえて前倒しで示しました。アクセスできる範囲・権限の最小化、フィッシングに強い多要素認証、脆弱性への対応、ログの保存・分析、不正アクセスの検知と組織内での被害拡大の防止などが挙げられています。
- 不要な個人データの消去: 法第22条に基づき、利用する必要がなくなった個人データを遅滞なく消すよう、改めて求めました。使わないデータをためこまないことも、漏えい時の被害を抑える措置です。
- 「WARNING」の改訂: 不正アクセスによる漏えいを防ぐための注意喚起「WARNING」を改訂し、従来の8事例にAPIが悪用される事例を加えて9事例に整理しました。
示された具体的な手法は「例示」で、そのまま導入しないと直ちに法違反になるという趣旨ではないとされています。事業の規模・性質や扱うデータのリスクに応じて、必要かつ適切な内容を講じることが求められます。
個人情報保護委員会の注意喚起で事業者が見直す安全管理措置の勘所(編集部作成)作成: 編集部 / もとの資料: 情シスのミカタ編集部
影響する会社・しない会社
個人データを扱う事業者は、規模を問わず安全管理措置を講じる義務があり、今回の注意喚起の考え方は広く当てはまります。とくに重点が置かれているのは、多くの国民が使う高シェアのサービスや、機微な情報・財産的被害や詐欺につながる情報を大量に保有する事業者です。該当する会社は、優先して見直しに取りかかるのが安全です。
一方、個人データをほとんど扱わない事業では、優先度は相対的に下がります。それでも、委託先や自社のクラウドに顧客・従業員の個人データを置いている会社は少なくありません。「うちは関係ない」と決めつけず、まず自社がどの個人データを、どこに、どれだけ持っているかを把握することが出発点です。なお、中小規模事業者向けの手法の例示も示されており、機器に標準で備わるユーザー制御機能を使う、といった現実的な対策から始められます。
情シスが今日やること
- 権限とアカウントを見直す: 個人データを扱う情報システムと担当者の範囲を限定し、ユーザーIDのアクセス権限と特権アカウントを最小化します。人事異動・退職時の権限変更と、権限の定期的な棚卸しもあわせて確認します
- 認証を強くする: 使えるサービスでフィッシングに強い多要素認証を有効にし、パスワードの使い回しを原則禁止にします
- 検知と封じ込めを用意する: ログを保存・分析し、不正アクセスを早期に検知して、組織内ネットワークで被害が広がらないよう隔離できる備えを確認します
- 不要なデータを消す: 保管している個人データの必要性を、法令の根拠とともに確認し、使わなくなったものは遅滞なく消去します
- 「WARNING」と照らす: 改訂された9事例(APIの悪用を含む)を、自社のシステム構成や公開しているAPIと照らして点検します
今回の注意喚起は、2027年4月に確定するガイドライン見直しの「先取り」です。確定を待たず、できるところから見直しに着手しておくと、後の対応が楽になります。
