なぜ個人情報漏えいは減らないのか ― 「対策済み」の中身を分解する
2027年11月9日、某家具およびインテリア用品の大手小売事業者が、「自社システムへの不正アクセスにより、個人情報が外部に流出した可能性があると発表」しました。報道によると、最大で約3,762万件の個人情報が外部に流出した可能性あるということです。
流出した個人情報の数の大きさには驚くばかりですが、個人情報が漏洩してしまった人は、情報漏洩後の二次被害に十分に警戒すべきでしょう。
前回は、「なぜ個人情報漏えいは減らないのか ― 「対策済み」の企業でも事故が起きる構造的理由」と題し、情報漏洩「拡大」の実態を数字で確認しました。今回は、各企業が「対策済み」としている「中身」を分解してみます。
「対策済み」の中身を分解する
前回の記事でもお伝えしましたが、事故の原因の多くは「特殊な攻撃」ではなく、「基本的な管理の不備」であるということがわかってきました。ファイアウォールもVPNも入れている企業で、セキュリティ対策も大手Sierに依頼しているのに、なぜそのような不備が残り、情報漏洩が発生してしまうのでしょうか。
結論から言うと、「導入済み」と「運用できている」は別物だからです。
PPCの注意喚起が求めているのは「導入」だけではない
個人情報保護委員会(PPC)は2026年10月7日、事業者向けの注意喚起で、5点の技術的安全管理措置を挙げました。
具体的には、
- ①アクセス制御
- ②アクセス者の識別と認証
- ③外部からの不正アクセス等の防止
- ④情報システムの使用に伴う漏えい等の防止
- ⑤不正アクセス等の検知等
です。
注目したいのは、その書きぶりです。
③は保護する仕組みを導入するだけでなく、適切に運用することを求めています。④も、措置を講じて適切に運用することを求めています。
⑤は、被害の早期検知のための措置を平時から講じ、被害拡大を防げるよう適切に運用することを求めています。
5点のうち3点で、「運用」が明示されています。製品を入れた時点で対策が完了するわけではない、というメッセージです。
事例の題名に表れる「運用のほころび」
PPCは同じ注意喚起で、漏えいの事例を9件紹介しています。脆弱性が放置された事例、脆弱性への対応が遅れた事例、不正ログインの事例、グループ会社や海外拠点が狙われた事例、グループ会社間のアクセス制御に不備があった事例、個人領域に保存したデータの漏えい事例、グループ会社への監督が不十分な事例、利用するクラウドサービスからの漏えい事例、APIが悪用される事例です。
事例の題名から読み取れるのは、問題が製品の「有無」ではなく、「放置」「対応の遅れ」「不備」「監督不足」といった運用・管理の側にあることです。
PPCの年次報告も同じ傾向です。公開済みの脆弱性への対応を放置していたこと、推測されやすいID・パスワード、設定ミスによるデータベースのアクセス制御の不備が、不正アクセスの原因として挙げられています。
「導入有無」のチェックリストで止まっていないか
「対策済み」という報告の多くは、○か×で答えられる確認に基づいています。もう一歩踏み込んだ問いに置き換えると、運用の穴が見えてきます。
以下の表の右列は、筆者が作成した問いかけの例です(PPCの文言ではありません)。
左の問いにすべて「○」と答えられても、右の問いに即答できなければ、「対策済み」とは言い切れません。
| PPC注意喚起の観点 | 導入の確認(○×で答えられる) | 運用の確認(問いかけの例) |
|---|---|---|
| アクセス制御 | アクセス制御を設定しているか | 退職・異動した人の権限を、最後に棚卸ししたのはいつか |
| 識別と認証 | 認証の仕組みを導入しているか | 共有IDや、推測されやすいパスワードが残っていないか |
| 不正アクセスの防止 | VPN・ファイアウォールを導入しているか | 公開された脆弱性の修正を、いつまでに適用する決まりか。それは守られているか |
| 検知 | ログを取得しているか | そのログを、誰が、どの頻度で見ているか。異常時に誰へ連絡が行くか |
「導入済み」は、守れている保証ではなく、守るための出発点にすぎません。 では、なぜ運用は止まってしまうのでしょうか。次回の記事では、その背景にある5つの構造的な理由を整理します。
解説記事「なぜ個人情報漏えいは減らないのか ― 「対策済み」の中身を分解する」の続きは
現在準備中です。
公開までお待ちください。
APPSWINGBYは、最先端の技術の活用と、お客様のビジネスに最適な形で実装する専門知識を有しております。AI開発から既存の業務システムへの統合などの他、リファクタリング、リアーキテクチャ、DevOps環境の構築、ハイブリッドクラウド環境の構築、システムアーキテクチャの再設計からソースコードに潜むセキュリティ脆弱性の改修の他、テクノロジーコンサルティングサービスなど提供しています。
貴社のセキュリティ対策等についてご相談されたい方は、お問い合わせフォームからお気軽にご連絡ください。システムの専門家が、貴社の課題解決をサポートいたします。
システム開発にお困りではありませんか？
もしも今現在、
- どのように開発を依頼したらよいかわからない
- どのように開発を依頼したらよいかわからない
- 企画や要件定義の段階から依頼できるのか知りたい
- システム開発費用がどれくらいかかるのか知りたい
- 見積りがほしい
など、システム開発に関するご相談・ご依頼がございましたら、お気軽にご相談ください。APPSWINGBYでは、「アプリでお客様のビジネスを加速し、お客様とともにビジネスの成功と未来を形作ること」をミッションとしています。大手SIerやＲ＆Ｄ部門で培った経験やノウハウ、高度な技術力でお客様の「やりたい」を実現します。
この記事を書いた人
株式会社APPSWINGBY マーケティング
APPSWINGBY（アップスイングバイ）は、アプリケーション開発事業を通して、お客様のビジネスの加速に貢献することを目指すITソリューションを提供する会社です。
ご支援業種
情報・通信、医療、製造、金融（銀行・証券・保険・決済）、メディア、流通・EC・運輸 など多数
株式会社APPSWINGBY マーケティング
APPSWINGBY（アップスイングバイ）は、アプリケーション開発事業を通して、お客様のビジネスの加速に貢献することを目指すITソリューションを提供する会社です。
ご支援業種
情報・通信、医療、製造、金融（銀行・証券・保険・決済）、メディア、流通・EC・運輸 など多数
監修
株式会社APPSWINGBY CTO 川嶋秀一
動画系スタートアップや東証プライム上場企業のR&D部門を経て、2019年5月より株式会社APPSWINGBY 取締役兼CTO。
Webシステム開発からアプリ開発、AI導入、リアーキテクチャ、リファクタリングプロジェクトまで幅広く携わる。
C, C++, C#, JavaScript, TypeScript, Go, Python, PHP, Java などに精通し、Vue.js, React, Angular, Flutterを活用した開発経験を持つ。
特にGoのシンプルさと高パフォーマンスを好み、マイクロサービス開発やリファクタリングに強みを持つ。
「レガシーと最新技術の橋渡し」をテーマに、エンジニアリングを通じて事業の成長を支えることに情熱を注いでいる。
株式会社APPSWINGBY CTO 川嶋秀一
動画系スタートアップや東証プライム上場企業のR&D部門を経て、2019年5月より株式会社APPSWINGBY 取締役兼CTO。
Webシステム開発からアプリ開発、AI導入、リアーキテクチャ、リファクタリングプロジェクトまで幅広く携わる。
C, C++, C#, JavaScript, TypeScript, Go, Python, PHP, Java などに精通し、Vue.js, React, Angular, Flutterを活用した開発経験を持つ。
特にGoのシンプルさと高パフォーマンスを好み、マイクロサービス開発やリファクタリングに強みを持つ。
「レガシーと最新技術の橋渡し」をテーマに、エンジニアリングを通じて事業の成長を支えることに情熱を注いでいる。
