昨年の秋は「クマ」、今年の秋は「個人情報の漏えい」

　昨年（2025年）の「今年の漢字」は「熊」でした。クマによる被害は昨年秋頃から大きなニュースとなり、環境省の速報値によれば、2025年度のクマによる人身被害は238人（うち死亡13人）と過去最多を記録しました。今年も各地でクマの出没が報じられています。
　しかし今年の秋は、企業にとって、ある意味クマに匹敵する、あるいはそれ以上に警戒すべき存在があります。サイバー攻撃による「個人情報の漏えい」です。
　連日、ニュースや新聞で、様々な企業からの個人情報の漏えい事案が取り沙汰されています。最近は、AIを活用することで、信じられないほどのスピードでサイバー攻撃ができてしまうようになったという分析も耳にします。
　本稿では、昨今のサイバー攻撃に起因する個人情報の漏えい事案に関して、平時にできる対策（技術的安全管理措置）に関する最近の動向や漏えいした場合の初動対応の基本など関連するトピックについてご説明したいと思います。

　なお、クマに関する法律関係については、当メルマガの環境・エネルギー法の部屋「クマ対策と法律」（2025年11月号）及び「クマ対策と法律②」（2026年9月号）をぜひご覧ください。

個人情報保護委員会の注意喚起で「先取り」された安全管理措置

　個人情報保護委員会（以下「個情委」）は、令和8年10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。

　この注意喚起では、今後改正が予定されている「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下「通則GL」）のうち、技術的安全管理措置（通則GL10-6）の見直し内容が先取りして紹介されています。
　この技術的安全管理措置に関する見直しは、本年11月頃に個情委で見直し案が審議され、パブリックコメント等を経て、令和9年4月頃に確定する予定とされていました（ただし、後記のとおり、令和8年10月28日開催の第374回個人情報保護委員会において、当該予定を前倒しする方針が示されました。）。当該注意喚起では、昨今のサイバー攻撃による個人情報の漏えい事案への対策の参考として、見直し予定の技術的安全管理措置の内容が先行して示されました。まだ確定した内容ではありませんが、企業で安全管理措置を検討するうえで、実務上参考となる内容です。
　見直し後の技術的安全管理措置は、現行の通則GLの記載を踏襲している部分もありますが、講じなければならない措置として「(5)不正アクセス等の検知等」が新設されたほか、全体を通じて「手法の例示」を中心に記載が大幅に拡充されています（手法の例示の分量は、文字数ベースで約5倍になっています。）。

　主な追加内容は次のとおりです。

項目	手法の例示として、見直しにより主に追加される内容
(1) アクセス制御 （担当者及び個人データを取り扱う情報システムの範囲を限定するために、適切なアクセス制御を行わなければならない。）	・個人データを取り扱う情報システムへのアクセスの最小化 ・ユーザーIDに付与するアクセス権限の最小化 ・特権アカウントを割り当てる従業者、利用する端末、利用する場面等の限定 ・組織体制の変更時（人事異動、従業者の退職等）のアクセス権限の適切な変更 ・アクセス制御が適切に行われているかの確認（定期的な監査によるアクセス権限の棚卸し等） ・アクセス要求ごとに、アクセス元の場所、アクセス時間、デバイスのセキュリティ状態等を評価し、リスクに応じてアクセスの可否を判断する仕組みの導入
(2) アクセス者の識別と認証 （個人データを取り扱う情報システムを使用する者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。）	・識別・認証手法の例として、指紋認証・静脈認証・顔認証の追加 ・ID・パスワードの使い回しの原則禁止、最低パスワード文字数の設定、一定回数以上ログインに失敗したIDの停止等 ・端末又はアドレス等についての識別と認証（IPアドレス認証、電子証明書等） ・組織外ネットワークからのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスにおける多要素認証（フィッシングに耐性のあるものを含む。）の導入 ・従業者以外の者の適切な識別・認証
(3) 外部からの不正アクセス等の防止 （個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。）	・セキュリティ対策ソフトウェア等の適切な運用（パターンファイルや修正ソフトウェアの更新確認等） ・OS、ミドルウェア、アプリケーション等へのセキュリティ対策用修正ソフトウェアの適用により、ソフトウェア等を最新状態とする ・許可していないソフトウェア等の導入の防止 ・組織が許可し、セキュリティ基準を満たしたデバイスからのみのアクセス許可
(4) 情報システムの使用に伴う漏えい等の防止 （情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない。）	・動作確認時にテストデータとして利用する個人データの必要最小限化 ・システム変更時に、セキュリティが損なわれないことの検証 ・クラウドサービス上の個人データの消去に当たり、容易に復元できない手段（提供事業者が提供する方法、暗号化消去等）の採用
【新設】 (5) 不正アクセス等の検知等 （個人データを取り扱う情報システムに対する不正アクセス等が発生した場合に早期に検知等するための措置を平時から講じ、組織内ネットワークにおける被害拡大を防止できるよう適切に運用しなければならない。）	・ログ（認証ログ、アクセスログ、操作ログ、通信ログ等）の一定期間の保管と、改ざん・不正消去等からの適切な保護 ・ログ等の定期的な分析による、不正アクセス等の発生又は兆候の早期検知（注・現行の通則GLでは(3)の例示として記載されている） ・早期検知の仕組み（例えば、IDS/IPS、EDR等）の導入 ・侵害を受けた（又はそのおそれがある）情報システムの停止・隔離、アカウントの無効化等による被害拡大の防止

　上記の技術的安全管理措置の見直し内容は、現時点では通則GLに反映されているわけではありませんが、いずれもサイバー攻撃への有効な対策となり得るものです。そのため、通則GLの改正を待たず、もし、各社で例示された部分などで導入できる内容があれば、できる部分から早期に対応しておくことが望ましいと考えられます。

　なお、令和8年10月28日開催の第374回個人情報保護委員会では、上記技術的安全管理措置に関する通則GLの改正について、近時の大規模な漏えい等事案を踏まえ、施行を可能な限り前倒しする方針が示されました（第374回個人情報保護委員会資料）。同委員会の資料では、技術的安全管理措置のほか、組織的・人的・物理的安全管理措置に関する手法の例示等も改訂されることが示されており、通則GLの改訂趣旨等を解説した資料も公表されておりますので、そちらもご参照ください。

内閣官房国家サイバー統括室（NCO）からも注意喚起

　個情委の注意喚起の2日後の令和8年10月9日、内閣官房国家サイバー統括室（以下「NCO」）も「不正アクセスによる漏えい等の事案を踏まえた対応について」を公表しました。ウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などにより、大量の個人情報が窃取される事案が複数確認されていることを踏まえたものです。特に、大量の個人情報や機微な情報を取り扱う事業者に対して、対策の徹底を速やかに検討するよう求めています。その内容を簡単にまとめると、次のとおりです。

項目	主な対策の内容（要旨）
１．ウェブシステム等の適切な管理 （インターネットに公開されたシステムは「いつ攻撃を受けてもおかしくない」という前提で対策を講じることが重要。）	・脆弱性の適切な管理（修正プログラムの速やかな適用、サポート終了製品の不使用、利用していないシステムや機能の停止・削除など） ・アカウント管理・認証（多要素認証の導入、管理者アカウントの利用者・アクセス権の最小化、不要なアカウントの速やかな無効化など） ・レジリエンスの向上（ログの適切な取得・保管、不審な通信の監視、事業継続計画へのサイバーセキュリティの組入れ、インシデント発生時の対応態勢の整備など）
２．サプライチェーンを通じた侵害への対策 （防御の弱い委託先を足掛かりにした侵入を念頭に、「委託先企業と共に管理する」という認識の下で、適切な安全管理措置を講じることが求められる。）	・委託先企業等のセキュリティ対策状況の把握（再委託先を含む管理状況の把握、契約締結時だけでなく継続的な確認など） ・委託契約におけるセキュリティ要件の明確化（情報の取扱方法の規定、アクセス権管理やログ管理の実施、不正アクセスや漏えいが発生した場合の報告義務の規定など） ・情報共有範囲の適正化（委託先へ提供する情報の必要最小限化、業務終了後の委託先でのデータ削除の徹底など） ・サプライチェーン全体のリスクマネジメント（重要な取引先や委託先の洗い出し、サプライチェーンを含めた情報資産の流れの可視化、定期的なリスク評価など） ※筆者注：個人データの取扱いを委託する場合の委託先の監督は、個人情報保護法上も義務付けられています（同法25条）。
３．データの適切な管理 （不必要な情報の保有や、アクセス権限の管理・保管方法が不十分な場合には、不正アクセスを受けた際に被害が大規模化するおそれがあることから、「保有する情報資産を守る」という視点に立った安全管理措置が求められる。）	・保有する情報資産の適切な管理（自社が保有する情報資産の全体像の把握、定期的な棚卸しなど） ・保有情報の最小化（利用目的を終えた情報の速やかな削除など） ・適切なアカウント管理・アクセス制御（業務上必要な者のみへのアクセス許可、閲覧権限と更新権限の分離、管理者権限の最小化など） ・データ保護の徹底（保存データ・通信経路の暗号化、クラウドの公開設定・アクセス権限設定の確認など） ・ログ取得・監視・分析の強化（個人情報や業務情報へのアクセス記録の取得、不審なアクセスや大量データ取得の監視、ログの一定期間の保管など）

　あわせて、経営層に対しては、サイバーセキュリティ対策を経営課題と位置付け、必要な投資や人的体制の整備を含めて対策を強化するよう求めています。
　個情委の上記注意喚起で述べられた技術的安全管理措置の手法の例示と重なる点も多いですが、NCOの注意喚起は、サポート終了製品の利用停止などによる攻撃の入口の削減、委託先を含むサプライチェーン全体の管理、経営層による体制整備にも踏み込んで言及しています。NCOの注意喚起もあわせて参照し、社内体制を点検しておくことが有益です。

個人データの漏えいが発生した場合の初動対応

　ご承知のとおり、次のいずれかに当たる個人データの漏えい等が「発生し、又は発生したおそれがある」場合には、個情委への報告と本人への通知が必要です（個人情報保護法26条、同法施行規則7条）。
①　要配慮個人情報が含まれる個人データの漏えい等
②　不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等
③　不正の目的をもって行われたおそれがある行為（不正アクセス等）による個人データの漏えい等
④　本人の数が1,000人を超える個人データの漏えい等

　重要なのは、これらの義務は漏えいが「確定」してから生じるのではなく、「おそれ」がある段階で生じる点です。

　また、個情委への報告は、事態を知った後速やかに（概ね3～5日以内）行う「速報」と、事態を知った日から30日以内（③の場合は60日以内）に行う「確報」の2段階で行う必要があります。

　最近の状況をみるに、どの企業も、いつ外部から個人情報を狙ったサイバー攻撃を受けてもおかしくない状況にあります。外部からの不正アクセスによる漏えい等は③に該当し、漏えい等した個人データの内容や本人の数によっては、①、②、④にも該当し得ます。いざというときには、約3～5日以内の速報など、スピーディーな対応が必要となりますので、個情委へ報告する場合の社内フローなどをあらかじめ確認しておかれるとよいと思います。

　また、個人情報が漏えいした場合の初動対応では、通則GL3-5-2に沿って、事案の内容等に応じ、次の事項について必要な措置を講じることが求められます。
（１）　事業者内部における報告及び被害の拡大防止
（２）　事実関係の調査及び原因の究明
（３）　影響範囲の特定
（４）　再発防止策の検討及び実施
（５）　個情委への報告及び本人への通知

　特に、原因の究明や影響範囲を特定する観点からは、証拠を保全しておくことも重要となります。原因の究明や影響範囲の調査にはフォレンジック調査が有効であり、その際には、個情委が本年1月に公表した個人情報保護法サイバーセキュリティ連絡会の「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」が参考になります。

ニュースでも話題の「能動的サイバー防御」

　令和8年10月1日、サイバー対処能力強化法及び同整備法が一部施行されました。最近のニュースでは、不正アクセスを受けた事業者が、政府に能動的サイバー防御の適用を要請したことが話題となりましたが、「能動的サイバー防御」は、これらの法律に基づく制度です。紙面の都合上、ごく簡単ですが、概要をご説明いたします。
　
　まず、サイバー対処能力強化法により、電気やガスなど政府が指定した基幹インフラ15分野の事業者（計258者。令和8年7月1日時点）には、新たな報告義務が課されています。一定の重要なシステム（特定重要電子計算機）について、マルウエアへの感染や不正アクセス等によりそのセキュリティが害されたこと、又はその原因となり得る一定の事象を認知した場合には、速やかに事業所管大臣及び内閣総理大臣へ報告する必要があります。該当する事業者の皆様は既にご認識のことと存じますが、不正アクセス等が発生した場合や、その原因となり得る事象を認知した場合には、初動対応の一つとして、個人情報保護法に基づく個情委への漏えい等報告とは別に、この報告も必要となります。

　また、能動的サイバー防御の中核となるのが、国や重要インフラ等（民間企業が提供するものも含む）に対する重大なサイバー攻撃などに使われているサーバ等へのアクセス・無害化措置です。警察や自衛隊が、攻撃に使われているサーバ等に遠隔からアクセスし、不正プログラムの消去やシャットダウン、攻撃者が再びログインできないようにする設定変更などを行い、攻撃を無害化するものです。実施に当たっては、独立機関であるサイバー通信情報監理委員会の事前承認を受けることが原則とされています。
　
　もっとも、企業が政府にアクセス・無害化措置の実施を求める権利や申請の手続は設けられていません（そのため、冒頭のニュースにおける不正アクセスを受けた企業の要請も、法律上の手続に基づくものではなく、事実上の要請ということになります。）。報道によれば、NCOの幹部は、企業からの情報提供や相談を受けて措置の実施を検討することはあると説明していますが、実施するかどうかは、政府が判断することになります。アクセス・無害化措置が実施されるのはごく限られた場合に、政府の判断がある場合ですので、各企業としては、自ら、日頃からの対策を行い、有事の際も自社で対応することを前提に備えておいた方がよいと思います。

おわりに

　クマ対策は、平時の「出会わない工夫」と有事の「出会ったときの行動」の両輪が重要といわれます。個人情報の漏えい事案についても、平時の安全管理措置と有事の初動手順の両方が欠かせません。
　当事務所では、個人情報保護に関して、平時の安全管理措置（社内規程・委託契約等の見直し等）から、漏えい等が疑われる場面での初動対応・個情委への報告まで、幅広くご相談を承っております。
　
　最後になりますが、今この時間も、企業内でサイバー攻撃への対策・対応に追われている方もいらっしゃるかと思います。心より敬意を表します。また、被害に遭われた方々の被害が少しでも小さく済むことを祈念するばかりです。

（文責　尾臺）