個人情報保護委員会は2026年10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。外部からの不正アクセスで大量の個人データが漏えいした事案を受けたもので、来年4月に確定予定のガイドライン見直しのうち、技術的安全管理措置の内容を先取りして示しています。
発表の内容
- 対象は個人情報取扱事業者全般ですが、特に国民の多くが利用するサービスで高いシェアを持つ事業者や、機微性の高い情報、財産的被害や詐欺につながるおそれのある情報を大量に持つ事業者に対応を求めています
- 「個人情報の保護に関する法律についてのガイドライン（通則編）」の「10（別添）講ずべき安全管理措置の内容」は、9月16日の第369回委員会の決議に基づき「手法の例示」などを見直す予定で、確定は来年4月の予定です
- 別紙で示した見直し後の技術的安全管理措置は、アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止、不正アクセス等の検知等の5項目です。現行のガイドラインは、このうち前の4項目で構成されています
- 手法の例示には、特権アカウントを割り当てる従業者や端末の限定、アクセス権限の定期的な棚卸し、組織外からのアクセスや管理者権限でのアクセスでのフィッシング耐性を含む多要素認証、許可したデバイスに限ったアクセス、ログの保管と定期的な分析、IDS/IPSやEDRによる常時監視、侵害時のシステム隔離やアカウント無効化が並んでいます
- 利用する必要がなくなった個人データを遅滞なく消去する努力義務（法第22条）が徹底されず被害が深刻化した事例があるとして、保管データの必要性の確認もあらためて求めています。「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」も同日に改訂しました
編集部の見方
確定は来年4月なのに、この時点で中身を見せてきました。早く手を打ってほしい、という委員会の意思が伝わってきます。
例示は、全部やらないと法律違反になる、というものではありません。委員会もそう説明しています。ただ、もし漏えいが起きたら、例示に沿った対策をしていたかどうかは見られると考えておいたほうがよさそうです。
マーケティングの現場にも関係があります。会員サイトやフォームで集めた顧客情報、広告やMAツールに入れたリスト。管理画面に多要素認証はかかっていますか。辞めた人や外部の会社のアカウントは残っていませんか。終わったキャンペーンの応募者データは消しましたか。どれも担当者が自分で確かめられることです。全部を一度にやるのは大変なので、まずはアカウントの棚卸しからでよいと思います。
出典
- 「大規模な漏えい等事案を踏まえた対応について（注意喚起）」の公表 個人情報保護委員会・2026年10月7日
- 大規模な漏えい等事案を踏まえた対応について（注意喚起）（PDF） 個人情報保護委員会・2026年10月7日
