個人情報保護委員会は10月28日の第374回委員会で、企業などが個人データを守るために講じる「安全管理措置」について、ガイドラインに載せている「手法の例示」を大幅に書き足す改正案をまとめた。ユーザーIDとパスワードの使い回しの原則禁止、多要素認証、管理者権限を持つ「特権アカウント」の限定、侵入された後の被害拡大の防止などを例として示す。委員会は10月29日から11月27日まで改正案への意見を募集している。大量の個人データが外部からの不正アクセスで漏れる事案が続いていることを踏まえ、当初は2027年4月としていた施行を可能な限り前倒しする。
「義務」の中身を示す「手法の例示」
個人情報保護法23条は、個人情報を扱う事業者に「個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置」を講じるよう義務づけている。具体的に何をすべきかは、委員会が定めるガイドライン（通則編）の別添「講ずべき安全管理措置の内容」に書かれている。
別添は二つの層でできている。一つは「講じなければならない措置」で、委員会の資料は、従わなかった場合に法違反と判断される可能性があると説明する。もう一つが今回見直す「手法の例示」で、義務ではなく例にとどまる。どの手法を選ぶかは、漏えいした場合に本人が受ける被害の大きさや、事業の規模、扱う個人データの性質と量などに応じて事業者が決める。
措置は「組織的」「人的」「物理的」「技術的」の四つに分かれ、技術的安全管理措置には「アクセス制御」「アクセス者の識別と認証」「外部からの不正アクセス等の防止」などが並ぶ。委員会は今回の改正について「『手法の例示』の追加等であり、新たな規律を設けるものではない」と位置づけている。ただ、義務とされる措置を実際にどう講じるかは、この例示を手がかりに事業者が判断することになる。
見直しの対象は通則編の別添に加え、マイナンバーを扱う事業者向けと行政機関等向けのガイドラインの安全管理措置の部分にも及ぶ。委員会は、行政機関等向けの事務対応ガイドや、医療・金融など特定分野のガイドラインについても同じ趣旨で改訂を検討するとしている。
多要素認証、使い回し禁止、ゼロトラスト
改正案で加わる主な例は次のとおり。
| 区分 | 追加する「手法の例示」 |
|---|---|
| 識別と認証 | ID・パスワードを使う場合は同一IDの使い回しを原則禁止、類似パスワードの使い回しの制限、最低文字数の設定、一定回数以上ログインに失敗したIDの停止 |
| 識別と認証 | 組織外からのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスでは多要素認証（フィッシングに耐性のあるものを含む）を導入 |
| 識別と認証 | 指紋認証・静脈認証・顔認証を手法として明記 |
| アクセス制御 | 特権アカウントを割り当てる従業者、端末、利用する場面を最小限に限定 |
| アクセス制御 | 人事異動や退職のときにアクセス権限を適切に変更し、権限を定期的に監査・棚卸しする |
| アクセス制御 | 場所・時間・端末の状態などを要求ごとに評価してアクセスの可否を判断する仕組み |
| 不正アクセスの防止 | 組織が許可し、セキュリティ基準を満たした端末からのみアクセスを認める |
| 検知・被害拡大の防止 | IDS/IPSやEDRなどで不正アクセスを早期に検知し、侵入されても被害が広がらない対策をとる。ログを一定期間保管する |
| 組織・人的 | 責任部署の設置、講じた措置や従業者研修の定期的な評価と見直し |
出典: 個人情報保護委員会「ガイドライン（通則編）の一部を改正する告示（案）」「手法の例示の追加等の概要（案）」
委員会は見直しの課題を四つに整理した。クラウドサービスの普及や端末の高機能化といった「取扱い多様化への対応」、組織の内外を問わず何も信頼せずすべてを検証する「ゼロトラストモデルの導入」、侵入された後の被害拡大を防ぐ「横展開対策」、義務と例示の対応関係を整理する「記載の明確化」だ。
改正案の説明資料は、現在の技術的安全管理措置が、インターネットと内部ネットワークの境目を守る「境界型」のセキュリティを念頭に置いたものだと認めている。そのうえで、米国立標準技術研究所（NIST）の「サイバーセキュリティ・フレームワーク2.0」などにゼロトラストの考え方が取り込まれている傾向を挙げ、侵入を防ぐ対策と並んで、侵入される前提で被害を小さくする対策を例示に加える理由を説明している。
指紋や顔などの生体認証と多要素認証を書き込むのは、端末の高機能化でこれらの導入が比較的容易になった場合があるためだという。従業者以外の利用者、たとえば会員の認証についても、パスワードを使い回さないよう周知することや多要素認証の導入を例として新たに示す。
侵入型ランサムウェアと「指導で見た原因」
説明資料は、改正の背景として侵入型ランサムウェアを挙げる。情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」の組織編では、「ランサム攻撃による被害」が11年連続、「システムの脆弱性を悪用した攻撃」が6年連続で選ばれた。委員会が過去に指導した不正アクセスによる漏えい事案でも、主な攻撃手法としてランサムウェアが多く確認されているという。
ランサムウェアは、侵入した組織のデータを暗号化したり盗み出したりして身代金を要求する攻撃に使われる。侵入型の攻撃は、入り口を突破した後に組織のネットワークの奥へ広がっていく。資料は、管理者権限を持つアカウントが乗っ取られると「大規模な横展開につながるおそれがあり」、特権アカウントの利用は厳しく制限されるべきだとしている。
追加する例示の多くには、委員会が行政上の対応をとった個別の事案で見た原因が反映されている。資料は、人事異動や退職の際にアクセス権限を変えていなかったことが漏えいの原因になった例や、比較的規模の大きな事業者で、複数の部署が個人データを扱ううちに役割分担と責任の範囲があいまいになり、漏えいや被害拡大につながった例が「実際に見られている」と記している。責任部署の設置や権限の棚卸しを例示に入れるのはこのためだ。
ログの保管も、検知の前提として位置づけ直す。これまで「ログ等の定期的な分析により、不正アクセス等を検知する」ことは外部からの不正アクセス防止の例示の一つだったが、改正案では「不正アクセス等の検知等」という独立した項目に整理し、ログを一定の期間保管することを書き加える。
不正アクセス報告、10月前半だけで830件
委員会は同じ日、不正アクセスによる漏えい等の報告の集計を参考資料として示した。2026年4月1日から10月16日までに、不正アクセスで漏えいした、または漏えいの恐れがある延べ本人数は約2億6000万人にのぼる。
不正アクセスによる漏えい等の報告件数（件）
数値で見る（単位: 件）
| 項目 | 件 |
|---|---|
| 5月 | 163 |
| 6月 | 185 |
| 7月 | 212 |
| 8月 | 235 |
| 9月 | 303 |
| 10月前半 | 830 |
速報を受け付けた月ごとの報告件数は、4月の166件から9月には303件に増え、10月は16日までの半月で830件に達した。4月以降の合計は2094件になる。
本人数別にみると、10万人以下が1681件と大半を占める一方、10万人超100万人以下が62件、100万人超1000万人以下が35件、1000万人超が6件あった。1000万人超の6件のうち4件は10月前半の報告で、100万人超1000万人以下も10月前半だけで18件ある。本人数が不明の報告も10月前半に197件あった。
数字を読むうえでの注意点もある。集計は事業者が委員会に直接報告したものだけで、金融業や電気通信業など委任先の省庁を通じた報告や、行政機関等からの報告は入っていない。速報時点の数字のため、確報で件数や人数が変わる可能性がある。データの扱いを委託している場合は、同じ事案について委託元と委託先の双方が報告していることもあるという。延べ本人数は重複を含む数で、漏えいの被害を受けた実人数ではない。
最近は会員情報の大規模な漏えいの公表が相次いでいる（So-net会員データに不正アクセス、258万件漏えい メール5.4万件はパスワードも）。過去3年間の報告件数と、委員会の勧告・命令の状況は個人情報の漏えい報告、3年で4万8315件 勧告6件・命令1件、社名公表はトヨタ・ドコモなど一部にまとめている。
施行を「可能な限り前倒し」
委員会は9月16日の第369回委員会で見直しの方向性を示した際、11月ごろに見直し案を審議し、12月ごろに意見募集を始め、2027年2月ごろに結果を報告して改正事項を決め、同年4月に施行する日程を描いていた。今回の資料は、国民に広く普及し大量の個人情報を扱う事業者が外部からの不正アクセスを受け、大量の個人データが漏れた事案に接していることを理由に、「施行を可能な限り前倒すこととしたい」とした。
見直し案の審議は当初の11月ごろから10月28日に早まり、意見募集も12月ごろの予定が翌29日に始まった。締め切りは11月27日。告示案の施行日は空欄のままで、意見募集の結果を委員会に報告して改正事項を決めた後、できるだけ早く施行する。委員会は施行後も、情報通信技術の進展を踏まえて手法の例示を見直し続けるとしている。
委員会は別に、漏えい等の報告に関する個人情報保護法施行規則などを改める規則案についても、10月21日から11月20日まで意見を募集している。
改正案は新たな義務を課すものではない。ただ、権限の変更漏れや責任の所在のあいまいさなど、追加する例示の一部は、委員会が対応した漏えい事案で原因として見た点を踏まえている。個人データを扱う企業の情報システムや法務の担当者にとっては、自社の対策が例示に沿っているかを、施行を待たずに確かめておく材料になる。