2026.10.13 セキュリティ

情報漏洩対策とは：原因別4類型の防ぎ方と発生時の報告義務【2026年10月版】

2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件で、そのうち116件がウイルス感染・不正アクセスによるものでした。残りの多くはメールの誤送信や紛失といった社内の手違いです。本記事では、東京商工リサーチの調査とIPAの「情報セキュリティ10大脅威 2026」を手がかりに、情報漏洩対策を原因別に整理します。不正アクセス、委託先、誤送信、内部不正、生成AIの5つの経路ごとの防ぎ方に加え、限られた予算をどこへ配るか、漏えいが起きた当日に何をして何をしてはいけないか、個人情報保護委員会への報告期限まで扱います。

まとめ：情報漏洩対策は原因の件数と被害規模で優先順位を決める

件数が多いのは不正アクセス、次いで誤送信：2025年の上場企業の事故では不正アクセス系が64.4%、誤表示・誤送信が20.5%を占めました。
被害人数を押し上げるのも不正アクセス：1件あたり56万人分を超え、他の原因と桁が違います。予算はまず外部公開システムの点検に振り向けます。
委託先と生成AIは自社の外で起きる漏えい：委託先の監督は個人情報保護法25条の義務です。AIは利用規程と設定で入力範囲を決めます。
誤送信と内部不正は仕組みで減らす：送信前の確認と権限の絞り込みが中心で、高額な製品を最初に買う必要はありません。
漏えいが起きたら電源を切らない：ネットワークから切り離して証拠を残し、報告対象なら3〜5日以内に委員会へ速報します。

情報漏洩の原因を件数と被害人数で見る｜TSR2025年調査と10大脅威

対策の順番を決める前に、どの原因でどれだけ漏れているかを数字で押さえます。件数だけで並べると、誤送信のような小さな事故に予算が寄りがちです。

上場企業180件の原因別内訳と不正アクセス1件あたり被害人数の差

東京商工リサーチの2026年1月30日公表の調査によると、2025年に上場企業とその子会社が公表した事故の原因は次のとおりです。

原因	件数	構成比
ウイルス感染・不正アクセス	116件	64.4%
誤表示・誤送信	37件	20.5%
紛失・誤廃棄	18件	10.0%
不正持ち出し・盗難	7件	3.8%

件数以上に差が出るのは被害の大きさです。ウイルス感染・不正アクセスは1件あたり56万3,637人分で、100万人を超える大型事故も6件ありました。漏えい人数の合計は3,063万6,910人分と前年の約2倍です。上場企業の事故傾向の推移は上場企業の個人情報漏えい事故の全体傾向で詳しく扱っています。

非上場を含む漏えい等報告は年1.7万件｜委員会の令和7年度年次報告

上場企業の自主公表だけが漏えいではありません。個人情報保護委員会の令和7年度年次報告では、民間事業者の漏えい等事案の報告処理が17,139件でした。前年度の19,056件からは減りましたが、1日あたり40件を超える水準です。年ごとの増減は個人情報漏えい件数の推移にまとめています。

報告の多くは、中小企業を含む事業者の日常業務で起きた事故です。規模が小さいから対象外、という前提は成り立ちません。

IPA10大脅威2026で委託先2位・AI3位・内部不正7位が並ぶ意味

IPAの情報セキュリティ10大脅威 2026（組織編）は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃でした。3位には「AIの利用をめぐるサイバーリスク」が初めて入り、内部不正による情報漏えい等は7位で11年連続の選出です。

この並びから読み取れるのは、自社のサーバーを固めるだけでは漏えいを防ぎ切れないという事実です。委託先、従業員のAI利用、社内の人という3つの経路を、外部からの攻撃と別に手当てする必要があります。

原因別の情報漏洩対策｜不正アクセス・委託先・誤送信・内部不正・AI

ここからは経路ごとに、何を決めて何を入れるかを整理します。外部からの攻撃が件数・人数とも最大なので、最初に置きます。

不正アクセスによる漏えいは公開システムの点検とデータ削減で縮める

2026年10月9日にIPAが出した文書は、外部公開アプリのログ確認、利用中の外部サービスの洗い出し、不審なアカウントの棚卸し、保有データの再点検を速やかに行うよう求めています。侵入の入口を塞ぐ点検と、入られた場合に持ち出される量を減らす点検の2本立てです。

情報漏洩対策の立場から付け加えるのは後者です。退会者のデータや旧システムに残った複製を消しておけば、侵入されても漏れる件数そのものが減ります。外部からの侵入を防ぐ点検は不正アクセス対策の点検手順で扱っています。

委託先やクラウド経由の漏えいは個人情報保護法25条の監督で備える

個人データの取扱いを外部に委託する場合、個人情報保護法25条は委託先に対する「必要かつ適切な監督」を義務づけています。委託先で漏れても、委託元の責任は消えません。

実務では、契約時に安全管理措置と再委託の条件を書き込み、年1回は委託先の管理状況を確認します。確認項目は、アクセスできる担当者の範囲、ログの取得と保持期間、事故発生時の連絡期限の3点から始めれば足ります。委託先のデータベースが侵害された事案の監視設計については、旭化成ファーマのサイバー攻撃と委託先DBの監視設計が具体例です。

メール誤送信と誤表示はBCC漏れ1,000人超で報告対象になる

誤送信は件数で2番目に多い原因です。中でも一斉送信でBCCに入れるべきアドレスをTOやCCに入れてしまう事故は、本人の数によっては法定の報告対象になります。個人情報保護法施行規則7条4号は、本人の数が1,000人を超える漏えい等を報告対象と定めています。

対策の基本は、人の注意力に頼らない形です。会員向けの一斉配信はメール配信システムから送り、通常のメールソフトでは宛先の件数に上限を設けます。外部宛ての送信を数分保留して取り消せる設定も、誤送信の多い部署から先に入れる価値があります。

内部不正の持ち出しをIPA内部不正防止ガイドライン第5版で抑える

IPAの組織における内部不正防止ガイドラインは、2022年4月公開の第5版が最新です。10の観点のもとで33項目の対策を挙げ、テレワークでの社外持ち出しと退職者の増加に伴うリスクへの対策が追記されました。

33項目すべてを一度に入れる必要はありません。最初に効くのは、職務に必要なデータだけにアクセス権を絞ること、退職予定者のアカウントと大量ダウンロードを確認すること、そして監視していると社内に周知することです。周知だけでも抑止の効果があります。従業員による持ち出しの経緯はユナイテッドアローズ情報漏洩事件の時系列と企業の対策で確認できます。

生成AIへの入力とシャドーAIの漏えいを利用規程と設定で抑える

従業員が会社の許可なく生成AIサービスへ顧客情報や設計書を貼り付けると、入力内容が学習に使われる設定のままなら社外に出たのと同じ状態になります。対策は禁止ではなく、使ってよいサービスと入力してよい情報の区分を決めることです。考え方はシャドーAIの情報漏洩リスクと企業の対策で整理しています。

社内で導入したAIでも漏えいは起きます。Microsoft 365 Copilotは利用者が閲覧できる社内ファイルを回答に使うため、共有設定が緩いままだと本来見えない資料が答えに混ざります。設定の手順はMicrosoft 365 Copilotの情報漏洩対策を参照してください。

情報漏洩対策の優先順位と見送り判断｜予算が限られる企業の進め方

ここからは、上記の数字を踏まえた一創としての判断です。

最初の予算は件数でなく被害規模で配り、外部公開システムから診る

予算が限られるなら、最初に外部公開システムの点検へ配ります。誤送信は件数こそ多いものの、1件で数十万人分が漏れる事故の多くは不正アクセスで起きているからです。会員サイト、予約システム、スマートフォンアプリのAPIなど、個人データを持つ公開システムを洗い出し、第三者の診断を受けたことがないものから順に見ます。

自社で開発・運用しているシステムを外部の目で確かめたい場合は、一創の脆弱性診断・セキュリティ診断で、画面を経由しないAPI呼び出しまで検査範囲に含められます。診断の種類と費用の目安は脆弱性診断とはで解説しています。

DLP製品や全操作の常時監視を先に入れると過剰になる場面と3条件

DLP（情報漏えい防止）製品の導入や、全従業員のPC操作を常時記録する仕組みは、次の条件に当てはまるなら後回しにします。

どのデータが機密かを分類した台帳がまだ無い
アクセス権が部署単位で一括付与され、職務ごとに絞れていない
記録したログを誰がいつ確認するか決まっていない

この状態で製品を入れると、検知ルールを書けないか、誰も見ない警告が積み上がるだけになります。台帳づくりと権限の絞り込みを先に済ませ、残るリスクに対して製品を選ぶ順番が正解です。従業員が数十人規模の企業なら、送信保留とアクセス権の見直しで誤送信と持ち出しの大半に手が届きます。

社内で回せる情報漏洩対策と外部へ頼む対策を分ける3つの判断条件

規程の整備、アカウントとアクセス権の棚卸し、不要データの削除、メール設定の変更は社内で完結できます。外部へ頼むのは、次のいずれかに当たる場合です。

独自開発の公開システムやAPIがあり、第三者による脆弱性診断を受けたことがない
ログが残っていない、または調べ方を知る担当者がいないため、漏えいの有無を判定できない
すでに不審なログやアカウント、外部からの指摘がある（この場合は診断ではなく調査会社へ）

3つ目に当たるなら、次章の初動を先に行ってください。

情報漏洩が起きたときの初動と報告義務｜証拠保全から速報3〜5日まで

漏えいが疑われた時点からの動き方を、個人情報保護委員会の資料に沿って整理します。

漏えい発覚当日にやってよい措置と、電源オフや再起動など避ける措置

個人情報保護委員会が事務局を務める連絡会がまとめた不正アクセス発生時のフォレンジック調査の着眼点（2026年1月公表）は、調査を予定している機器について、実施してよい措置を有線・無線のネットワーク隔離とし、実施してはいけない措置に電源オフと再起動、ウイルススキャン、初期化とソフトウェアの更新を挙げています。

慌ててサーバーを再起動したり作り直したりすると、侵入経路と漏えい範囲を後から証明できなくなります。被害機器の保守を外部に委託している場合は、委託先と連携して対応するよう同資料は求めています。

委員会への報告対象4類型と速報3〜5日・確報30日／60日の期限

施行規則7条が定める報告対象は、要配慮個人情報の漏えい等、財産的被害が生じるおそれのある漏えい等、不正の目的で行われたおそれのある漏えい等、本人の数が1,000人を超える漏えい等の4類型です。高度な暗号化などの措置を講じたデータは対象から外れます。不正アクセスによる漏えいは3つ目に当たり、1件でも報告対象です。

期限は、事態を知った後速やかに行う速報と、知った日から30日以内（不正目的のおそれがある場合は60日以内）の確報の2段階です（施行規則8条）。委員会の案内ページは、速報の目安を発覚日から3〜5日以内としています。同ページの案内では、ランサムウェアなどのサイバー攻撃事案は関係省庁で申し合わせた共通様式でも報告が可能です。報告書の項目と本人通知の実務は個人情報保護委員会への報告義務で詳しく解説しています。

平時に整える情報資産台帳と、ログを少なくとも1年程度残す保管設計

同じフォレンジック調査の着眼点は、平時の備えとして情報資産の把握、ネットワーク構成図の作成、ログの保管を挙げています。不正アクセスは長期間に及ぶことがあるため、調査に必要なログは少なくとも1年程度保管することが望ましいとしています。

ログはPCだけでなく、サーバー、ネットワーク機器、クラウドサービスの側にも残ります。AWS CloudTrailのイベント履歴が90日分であるように、クラウドサービスの標準の保持期間は1年に届かないものがあるため、契約中のサービスごとに保持期間を確かめ、足りなければ外部の保管先へ転送します。

よくある質問

情報漏洩対策について、着手の前によく出る疑問に答えます。

情報漏洩対策で最初にやるべきことは何ですか？

自社がどこにどんな個人データや機密情報を持っているかの洗い出しです。会員サイト、基幹システム、共有フォルダ、委託先、利用中のクラウドサービスを並べ、それぞれ件数とアクセスできる人を書き出します。この一覧が無いと、点検の優先順位も、漏えい時に報告対象かどうかの判断もできません。一覧ができたら、個人データを持つ外部公開システムの点検から始めてください。

中小企業でも情報漏洩対策は必要ですか？

必要です。個人情報保護法の漏えい等報告の義務は、事業規模に関係なく個人情報取扱事業者すべてに適用されます。委員会が令和7年度に処理した民間事業者の報告は17,139件で、上場企業の公表事故180件を大きく上回ります。従業員が少ない企業ほど、高額な製品より、アクセス権の見直し、メールの送信保留、不要データの削除のように費用のかからない対策から着手するのが現実的です。

情報漏洩対策と不正アクセス対策は何が違いますか？

不正アクセス対策は、外部から権限なくシステムに入られることを防ぐ取り組みです。情報漏洩対策はより広く、委託先からの流出、メールの誤送信、紛失、内部不正、生成AIへの入力まで含みます。外部からの侵入を防ぐ点検は不正アクセス対策の記事で扱っています。本記事は、それを含む漏えい全体の優先順位と、発生後の初動・報告までを扱いました。

メールの誤送信が1件だけでも委員会への報告が必要ですか？

誤送信の件数ではなく、漏れた内容と本人の数で決まります。宛先を1件間違えただけでも、要配慮個人情報やクレジットカード番号のように財産的被害のおそれがある情報が含まれていれば報告対象です。一方、氏名とメールアドレスだけを含む一斉送信のCC漏れなら、本人の数が1,000人を超えるかどうかが境目になります。報告対象でない場合も、社内記録と本人への連絡は行ってください。

暗号化していれば漏えいしても報告は不要ですか？

施行規則7条は、高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたデータを報告対象から除いています。ただし、暗号化の鍵が一緒に漏れた場合や、暗号方式が十分でない場合はこの除外に当たりません。ノートPCやUSBメモリの紛失に備えるなら、端末と媒体の暗号化を標準設定にし、鍵の管理を別にしておくことが報告の要否を分けます。