弁護士の平井です。
近時、不正アクセスによる個人情報漏えいのニュースが毎日のように取りざたされています。企業におけるDXの進展やクラウドサービスの普及が進む一方で、ランサムウェアをはじめとするサイバー攻撃の手口は急速に高度化・巧妙化しています。昨今では、グループ会社や海外拠点、あるいは委託先を踏み台にして社内ネットワーク中枢へ侵入される事案（サプライチェーン攻撃）や、設定ミス・脆弱性の放置を突かれた不正アクセスによる大規模な個人情報漏えい事案が後を絶ちません。
こうした状況を踏まえ、個人情報保護委員会は2026年10月7日、「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下「ガイドライン（通則編）」といいます。）における技術的安全管理措置に関する改正案を公表するとともに、実際の事案分析に基づいた「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。
企業の情報システム部門や法務部門において、「現行の社内規程やセキュリティ対策のままで法令基準をクリアできているのか」「具体的にどのような見直しが必要なのか」と頭を悩ませている担当者の方も多いのではないでしょうか。
そこで今回は、今回のガイドライン改正で示された技術的安全管理措置のアップデート内容について解説します。
１．安全管理措置の基本と改正の背景
個人情報取扱事業者は、取り扱う個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置（いわゆる「安全管理措置」）を講じなければなりません（個人情報保護法第23条）。
個人情報の保護に関する法律についてのガイドライン（通則編）「10（別添）講ずべき安全管理措置の内容」（以下「ガイドライン（通則編）別添」といいます。）では、個人情報保護法第 23条に定める安全管理措置として、個人情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例等について示されています。
個人情報の取り扱いにおける安全管理措置には、以下の7つの観点があります。
|
①基本方針の策定 ②取扱いに係る規律の整備 ③組織的安全管理措置 ④人的安全管理措置 ⑤物理的安全管理措置 ⑥技術的安全管理措置 ⑦外的環境の把握 |
その中でも「技術的安全管理措置」は、情報システムやネットワークを通じた情報セキュリティ確保の根幹をなすものです。
今回のガイドライン（通則編）別添の改正案では、技術的安全管理措置として講じなければならない事項が従来の4項目から以下の5項目へと再編・明確化され、現代のサイバー脅威に対応したプラクティスが具体的に盛り込まれました。
|
① アクセス制御 ② アクセス者の識別と認証 ③ 外部からの不正アクセス等の防止 ④ 情報システムの使用に伴う漏えい等の防止 ⑤ 不正アクセス等の検知等（新設） |
ガイドライン（通則編）別添上の手法はあくまで「例示」という位置づけですが、例示された手法を採用しない合理的な理由や、それに代わる同等以上の措置を講じていることを客観的に説明できなければ、万一のインシデント発生時に「安全管理措置義務違反」として行政指導等の対象となるリスクが高まります。
２．ガイドライン（通則編）別添の改正案の内容
今回のガイドライン（通則編）別添の改正案における、技術的安全管理措置として講じなければならない措置と手法の例示の改正内容は以下のとおりです。改正箇所は黄色でハイライトしています。
なお、中小規模事業者[1]については、その他の個人情報取扱事業者と同様に、個人情報保護法第23条に定める安全管理措置を講じなければなりませんが、取り扱う個人データの数量及び個人データを取り扱う従業者数が一定程度にとどまること等を踏まえ、ガイドライン上は、円滑にその義務を履行し得るような手法の例として比較的簡便な内容が示されています。もっとも、中小規模事業者が、その他の個人情報取扱事業者と同様に「手法の例示」に記述した手法も採用することは、より望ましい対応であるともされておりますので、昨今の個人情報漏えいに関する実情を踏まえますと、自分たちの企業を守るためには、適切な手法を講じることが大切です。
10-6 技術的安全管理措置
個人情報取扱事業者は、情報システム（パソコン等の機器を含む。）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合を含む。）、技術的安全管理措置として、次に掲げる措置を講じなければならない。
（1）アクセス制御
担当者及び個人データを取り扱う情報システムの範囲を限定するために、適切なアクセス制御を行わなければならない。
（2）アクセス者の識別と認証
個人データを取り扱う情報システムを使用する者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。
（3）外部からの不正アクセス等の防止
個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。
（4）情報システムの使用に伴う漏えい等の防止
情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない。
（5）不正アクセス等の検知等
個人データを取り扱う情報システムに対する不正アクセス等が発生した場合に早期に検知等するための措置を平時から講じ、組織内ネットワークにおける被害拡大を防止できるよう適切に運用しなければならない。
|
講じなければならない措置 |
手法の例示 |
中小規模事業者における手法の例示 |
|
(1) アクセス制御 |
（情報システムの限定） ・個人データを取り扱う情報システムを限定する。
・個人データを取り扱う情報システムへのアクセスを最小化する。例えば、事前に許可した特定のIPアドレスからのみに限定する方法が考えられる。
（アクセスできる者の限定） ・個人データを取り扱う情報システムを使用できる従業者については、ユーザーIDに付与するアクセス権限を最小化することにより限定する。
・特権アカウントを割り当てる従業者、利用する端末、利用する場面等を最小限に限定する。
・組織体制に変更が生じた場合（例えば、人事異動、従業者の退職等）等に、アクセス権限の変更を適切に行う。
・アクセス制御が適切に行われているか確認する。例えば、アクセス権限について定期的に監査するなど、アクセス権限の棚卸しを行う等の方法が考えられる。
・組織内外からのアクセスについて、アクセス要求ごとにアクセス元の場所、アクセス時間、デバイスのセキュリティ状態等の動的コンテキストを評価し、リスクに応じてアクセスの可否を判断する仕組みを導入する。 |
・個人データを取り扱うことのできる機器及び当該機器を取り扱う従業者を明確化し、個人データへの不要なアクセスを防止する。 |
|
(2) アクセス者の識別と 認証 |
（情報システムを使用する従業者の識別・認証手法の例） ・ユーザーID、パスワード、磁気・ICカード、指紋認証・静脈認証・顔認証等の方法が考えられる。
・ユーザーID・パスワードを利用する場合には、同一のユーザーID・パスワードの使い回しの原則禁止及び類似パスワードの使い回しの制限、最低パスワード文字数の設定、一定回数以上ログインに失敗したIDの停止等を行う。
・個人データへのアクセス権限を有する者が使用できる端末又はアドレス等についての識別と認証を実施する。例えば、IPアドレス認証、電子証明書等の方法が考えられる。
・組織外ネットワークからのアクセスや、管理者権限でのアクセス、重要な個人データへのアクセスにおいては、識別・認証手法を複数組み合わせる多要素認証（フィッシングに耐性のあるものを含む。）を導入する。
（情報システムを使用する従業者以外の者の識別・認証手法の例） ・従業者以外の者を適切に識別・認証する方法を採用する。例えば、同一及び類似パスワードの使い回しをしないよう周知、最低パスワード文字数の設定、一定回数以上ログインに失敗したIDの停止、多要素認証（フィッシングに耐性のあるものを含む。）の導入等が考えられる。 |
・機器に標準装備されているユーザー制御機能（ユーザーアカウント制御）によ り、個人情報データベース等を取り扱う 情報システムを使用する従業者を識別・ 認証する。 |
|
(3) 外部からの不正アク セス等の防止 |
・個人データを取り扱う情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置し、不正アクセスを遮断する。
・個人データを取り扱う情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入して適切に運用（パターンファイルや修正ソフトウェアの更新確認等を行うことを含む。）し、不正ソフトウェアの有無を確認する。
・機器やソフトウェア等に標準装備されている自動更新機能等の活用、端末及びサーバ－等のオペレーティングシステム、ミドルウェア、アプリケーション等に対するセキュリティ対策用修正ソフトウェアの適用により、ソフトウェア等を最新状態とする。
・個人情報取扱事業者において許可していないソフトウェア等の導入を防止する。例えば、ソフトウェアの導入時の確認のほか、定期的な監査などの方法が考えられる。
・組織が許可し、セキュリティ基準を満たしたデバイスからのみ個人データへのアクセスを許可する。 |
・個人データを取り扱う機器等のオペレーティングシステムを最新の状態に保持する。
・個人データを取り扱う機器等にセキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とする。 |
|
(4) 情報システムの使用 に伴う漏えい等の防 止 |
（情報システムの開発、維持・管理、変更等における安全性確保） ・個人データを取り扱う情報システムの設計時に安全性を確保し、継続的に見直す（情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む。）。
・個人データを取り扱う情報システムの動作確認を行う際に、テストデータとして利用する個人データを必要最小限とする。例えば、テストデータとして個人データを利用することを禁止したり、動作確認に影響のない範囲で、個人データの一部を他のデータに置き換えるなどの方法が考えられる。
・個人データを取り扱う情報システムの変更時に、当該変更によって情報システム又は運用環境のセキュリティが損なわれないことを検証する。
（通信の経路又は内容の暗号化） ・個人データを含む通信の経路又は内容を暗号化する。例えば、インターネットや無線LAN等による個人データの送信（例えば、本人又は従業者による入力やアクセス、メールに添付してファイルを送信する等を含むデー タの転送等）時に、個人データの暗号化等の秘匿化（例えば、SSL/TLS、S/MIME等）を行うなどの方法が考えられる。
・移送する個人データについて、パスワード等による保護を行う。
（クラウドサービスを利用した情報システムの更改・廃棄） ・クラウドサービスのサーバ上に保管された個人データを消去する際は、クラウドサービス提供事業者が提供する方法、暗号化消去等、容易に復元できない手段を採用する。 |
・メール等により個人データの含まれるファイルを送信する場合に、当該ファイルへのパスワードを設定する。 |
|
(5) 不正アクセス等の検知等 |
（定期的な分析） ・個人データを取り扱う情報システムの使用状況、個人データへのアクセス状況、個人データを取り扱う情報システムへの外部からのアクセス状況等のログ（例えば、認証ログ、アクセスログ、操作ログ、通信ログ等）等を一定の期間保管する。
・当該ログ等の漏えい、滅失及び毀損並びに改ざん、不正消去等からの適切な保護を行う。
・当該ログ等の定期的な分析により、不正アクセス等の発生又は兆候を早期に検知する。
（常時監視による早期検知） ・不正アクセス等の発生又は兆候を早期に検知等するための仕組み（例えば、IDS/IPS、EDR等）等を導入する。
（組織内ネットワークでの被害拡大の防止） ・不正アクセス等が発生した場合でも個人データを取り扱う情報システムの被害が広がらないよう、必要な対策を講ずる。例えば、侵害を受けた又はそのおそれがある情報システムの停止・隔離、アカウントの無効化などの方法が考えられる。その他必要な対策については、10-6 技術的安全管理措置(1)から(4)の手法の例示も参照されたい。 |
・個人データを取り扱う情報システムの使用状況、個人データへのアクセス状況、個人データを取り扱う情報システムへの外部からのアクセス状況等のログ等を一定の期間保管する。 |
３．今後のスケジュール
ガイドライン（通則編）別添の改正は以下のスケジュールで行われる予定になっています。
|
2026年12月 パブリックコメントの開始 2027年2月 パブリックコメントの結果を委員会で報告、改正事項の決定 2027年4月 改正事項の施行 |
今回、改正案が先取りして示されたのは、昨今、個人情報の漏えい事案が多発していることを受けてのものになりますので、企業においては、2027年4月の施行時まで待つのではなく、今回の改正案で示された安全管理措置に関する手法について、自社で検討すべき事項がないかを早めにチェックすることが大切です。
４．まとめ
情報セキュリティ対策は、単なるIT部門やセキュリティ担当部署の技術的な課題にとどまりません。取締役や経営陣の善管注意義務、そして企業価値を毀損させないための重要なコンプライアンス課題そのものであるといえます。
万一不正アクセス等による漏えい事故が発生した場合、個人情報保護委員会への報告や本人通知が必要となるだけでなく、是正勧告や社名公表、さらには損害賠償請求や取引停止といった甚大なリスクを負うことになります。その際、「安全管理措置ガイドラインで求められていた水準を満たしていたか」は、企業の法的責任を左右する重要な判断基準となります。
今回のガイドライン（通則編）別添の改正及び注意喚起を好機と捉え、自社の情報セキュリティ規程、システム運用体制、委託先との契約関係を今一度総点検されることを強くお勧めします。
安全管理措置の見直しや委託契約条項の改定等についてご不明な点等ございましたら、いつでもお気軽にご相談ください。
【注釈】
[1] 「中小規模事業者」とは、従業員（中小企業基本法（昭和38年法律第154号）における従業員をいい、労働基準法（昭和22年法律第49号）第20条の適用を受ける労働者に相当する者をいう。ただし、同法第21条の規定により同法第20条の適用が除外されている者は除く。）の数が100人以下の個人情報取扱事業者をいいます。ただし、次に掲げる者を除きます。
- その事業の用に供する個人情報データベース等を構成する個人情報によって識別される特定の個人の数の合計が過去6月以内のいずれかの日において5,000を超える者
- 委託を受けて個人データを取り扱う者
AZXでは資金調達を希望する起業家に、投資家をご紹介しております！
▼Series AZXとは▼
エイジックスが新たに取り組みを始めた、資金調達を希望する起業家に、投資家を無料でご紹介するプログラムです。
詳細はこちら → https://www.azx.co.jp/series-azx