個人情報保護委員会、不正アクセス対策の見直し案を先取り公表

何が公表されたのか

個人情報保護委員会は2026年10月7日、個人情報を扱う事業者に向けて注意喚起を出しました。多くの人が使うサービスで、外部からの不正アクセスにより大量の個人データが漏れる事案が続いていることが理由です。特に、大量の個人情報や、詐欺やお金の被害につながる情報を持つ事業者に、適切な取り扱いを求めています。

委員会は9月16日の会合で、ガイドライン（通則編）にある安全管理措置の「手法の例示」を見直すと決めています。確定は来年4月の予定ですが、今回、技術的な安全管理措置の見直し後の内容を先に示しました。

見直し後の例示の中身

技術的な安全管理措置は、アクセス制御、使う人の識別と認証、外部からの不正アクセスの防止、システムの使用に伴う漏えいの防止、不正アクセスの検知の5つです。

示された例には、社外からのアクセスや管理者権限でのアクセスに、フィッシングに強いものを含む多要素認証を入れることがあります。ログを一定期間保管して定期的に分析すること、侵入を早く見つける仕組み（IDS/IPS や EDR など）を入れること、被害を受けた機器を止めて切り離すことも挙げています。

中小規模の事業者向けの例も並べています。個人データを扱える機器と担当者をはっきりさせる、OS とセキュリティ対策ソフトを最新に保つ、アクセスの記録を一定期間残す、などです。

不要なデータの消去

個人情報保護法は、使う必要がなくなった個人データを遅滞なく消すよう努めることを求めています。委員会は、消去が徹底されずに被害が大きくなった例があるとして、持っているデータが本当に必要か、法令上の根拠とあわせて確かめるよう改めて求めました。あわせて、不正アクセスによる漏えいの典型例をまとめた資料「WARNING」も同じ日に改訂しています。