個人情報保護委員会が漏えい対策の新しい「手法の例示」を先取りで公表｜多要素認証・ログ・不要データの消去、中小企業にとっての意味
個人情報保護委員会は2026年10月7日、外部からの不正アクセスによる大規模な漏えい等事案を踏まえた注意喚起を公表しました。あわせて、2027年4月に確定予定のガイドライン見直しのうち、技術的な対策の「手法の例示」を先取りで示したことと、不正アクセスの典型例をまとめた資料「WARNING」の改訂も行っています。
⏱ 忙しい人向け 3行まとめ
- 事実：10月7日に注意喚起を公表。ガイドライン（通則編）別添の「手法の例示」の見直し（確定は2027年4月予定）を先取りし、多要素認証（フィッシングに耐性のあるものを含む）・ログの保管と分析・EDR等による検知などを例示。不要になった個人データの消去もあらためて求めた
- 意味：主な対象は大量の個人情報を持つ事業者だが、例示には「中小規模事業者における手法の例示」の欄もあり、顧客名簿を持つ中小企業にも点検の目安として使える
- アクション：顧客データを扱うパソコンと担当者を決める／OSとセキュリティソフトを自動更新に／ログイン履歴などのログを一定期間残す／使わなくなった顧客リストを消す
発表の事実
個人情報保護委員会が公表したのは、個人情報を取り扱うすべての事業者（個人情報取扱事業者）に向けた注意喚起です。注意喚起の本文と別紙で確認できた内容は次のとおりです（出典：個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」、2026年10月23日確認）。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月7日（10月9日に解説動画を追加） |
| 背景 | 大量の個人情報を取り扱う事業者が外部から不正アクセスを受け、大量の個人データが漏えい、または漏えいのおそれが生じた事案が報告されている |
| 特に読んでほしい事業者 | 業界で高いシェアのサービスなどで大量の個人情報を持つ事業者、機微性の高い情報・財産的被害や詐欺につながるおそれのある情報を持つ事業者など |
| ガイドライン見直しとの関係 | 2026年9月16日の第369回委員会で、ガイドライン（通則編）別添の「手法の例示」を現代化を含めて見直すことを決議。見直しの確定は2027年4月の予定だが、参考になるとして見直し後の技術的安全管理措置の内容を先取りで提示 |
| 「講じなければならない措置」と「手法の例示」 | 「講じなければならない措置」に従わない場合は法違反と判断される可能性がある。「手法の例示」は文字どおり例で、すべてを行わなければ違反になるものではなく、適切な手法も例に限られない。リスクに応じて必要かつ適切な内容にすべき、としている |
| 先取りで示した例示の主なもの | アクセス権限の最小化と定期的な棚卸し、人事異動・退職時の権限変更、組織外からのアクセスや管理者権限でのアクセスでの多要素認証（フィッシングに耐性のあるものを含む）、ソフトウェアの最新化、許可していないソフトウェアの導入防止、認証ログ・アクセスログなどの一定期間の保管と定期的な分析、IDS/IPS・EDR等による早期検知、侵害時の停止・隔離やアカウント無効化 など |
| 不要データの消去 | 利用する必要がなくなった個人データは遅滞なく消去するよう努める（法第22条）。消去が徹底されず被害が深刻化した事例もあるとして、保管しているデータの必要性を法令等の根拠とあわせて確認するよう注意喚起 |
| あわせて改訂した資料 | 「WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜」（2024年12月11日公表、2026年10月7日改訂）。報告事案を「脆弱性が放置された」「不正ログイン」「利用するクラウドサービスからの漏えい」など9つの事例に類型化 |
別紙には、それぞれの措置について「中小規模事業者における手法の例示」の欄も設けられています。たとえば次のような内容です（出典：同注意喚起の別紙、2026年10月23日確認）。
- 個人データを取り扱える機器と、その機器を扱う従業者をはっきりさせ、不要なアクセスを防ぐ
- 機器に標準で付いているユーザーアカウントの機能で、使う人を識別・認証する
- OSを最新の状態に保ち、セキュリティ対策ソフトを入れて自動更新などで最新にしておく
- 個人データを含むファイルをメールで送るときは、ファイルにパスワードを設定する
- 使用状況・アクセス状況・外部からのアクセス状況などのログを一定期間保管する
中小企業にとっての意味
中小企業にとっての意味は、「自社の規模ならどこまでやればよいか」の目安が、委員会自身の言葉で示されたことです。ここからは、公表内容をもとにしたAI導入参謀の解釈です。
1つめは、今回の注意喚起が大企業だけの話ではない点です。主な呼びかけ先は大量の個人情報を持つ事業者ですが、顧客名簿や会員リスト、従業員の情報を持っていれば、個人情報保護法の上では中小企業も同じ「個人情報取扱事業者」です。別紙に中小規模事業者向けの欄があるのは、規模に応じた対応を想定しているからとみられます。
2つめは、例示の多くがお金をかけずに今日から始められる内容だという点です。OSとセキュリティソフトの自動更新、顧客データを扱うパソコンと担当者を決めること、退職者のアカウントを止めることは、専門の担当者がいなくても取り組めます。多要素認証も、メールやクラウドサービスの設定画面から有効にできる場合が多い対策です。
3つめは、「不要なデータを消す」ことが対策として名指しされている点です。何年も前のキャンペーンの応募者リストや、取引が終わった顧客の一覧など、使っていないのに残っているデータは、漏えいしたときの被害を大きくします。持っていなければ漏れることもないため、データの棚卸しは費用のかからない対策の1つです。
一方で、見直しの確定は2027年4月の予定で、今回示されたのは「先取り」の内容です。確定までに表現や中身が変わる可能性もあるため、いま例示をすべて満たそうと構えるより、中小規模事業者向けの欄から手をつけ、来年4月の確定版で見直すくらいの進め方が現実的とみられます。
漏えいしたときは報告の義務がある
個人データの漏えい等が起き、一定の条件にあてはまる場合は、個人情報保護委員会への報告と本人への通知が義務になっています（法第26条）。今回の注意喚起も、こうした報告を受けた事案の分析がもとになっています。万一のときに慌てないよう、報告の要件と窓口は平時に一度確かめておくと安心です。
今やるべきこと
今やることは、顧客データの置き場所と担当者の確認、自動更新と多要素認証の設定、使っていないデータの消去の3つを、今月中に一度やってみることです。
- 顧客名簿・会員リスト・従業員情報がどのパソコン・どのクラウドサービスにあるかを書き出し、それを扱う担当者を決める
- 社内のパソコンのOSとセキュリティソフトが自動更新になっているかを確認し、なっていなければ設定する
- メールやクラウドサービスの管理者アカウントから順に、多要素認証を有効にする。退職者・異動者のアカウントが残っていないかも確認する
- 使い終わった顧客リストや古いファイルを洗い出し、法令で保存が必要なもの以外は消去する（クラウド上のデータは、サービスが用意している消去方法を使う）
何から手をつけるか迷う場合は、中小企業のセキュリティ対策ガイド｜まずやる5つと費用で、最初にやる対策と費用の目安を整理しています。ログの保管や監視を自社だけで続けるのが難しい場合は、IPAが登録する「サイバーセキュリティお助け隊サービス」を補助金で導入する方法もあります（セキュリティ対策の補助金）。補助金の対象・上限・締切は公募回で変わるため、最新は事務局の公式サイトで確認してください。
出典
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
- 同 注意喚起本文・別紙（PDF）
- 個人情報保護委員会「WARNING〜不正アクセスによる個人データ漏えい防止のための注意喚起〜」（2024年12月11日、2026年10月7日改訂・PDF）
※本記事は2026年10月23日時点の公開情報にもとづきます。ガイドラインの見直しは2027年4月に確定する予定で、内容が変わる可能性があります。漏えい等報告の要件など法令の扱いは、個人情報保護委員会の公式サイトや専門家で確認してください。