日本PPC警示大规模个人数据持有者并预览修订版技术安全措施：拟纳入MFA、设备安全状态校验与过期数据删除

警示明确了几类重点对象：在众多用户使用、且用户难以选择服务商的领域占有较高行业份额的企业；持有高度敏感数据、或数据泄露可能导致财产损失或被用于诈骗的企业；以及其他一旦发生泄露很可能损害个人权利的企业。PPC说明，其依据《个人信息保护法》第26条第1款受理报告的案件开展调查，并在必要时通过指导及其他权限推动企业自愿改进第23条要求的安全措施。

在规则结构上，PPC的指南附件把安全措施区分为"必须采取的措施"与"方法示例"两类：未落实前者可能被判定为违法；后者仅为示例，企业不必全部采用，也可依泄露对个人可能造成的损害、企业规模以及数据的性质与数量，采用其他适当方法。这一区分对企业判断合规底线具有直接参考价值——义务是"达到效果"，路径可以多样。

技术措施方面，PPC在第369次委员会（2026年9月16日）作出决定后计划修订示例并进行现代化，预计2027年4月定稿，因认为在此之前公布计划内容更有参考价值而提前发布。草案按五个标题组织：访问控制；用户识别与认证；防止外部未授权访问；防止信息系统使用过程中的泄露；检测未授权访问。草案还单列了面向中小企业的示例栏。

具体示例包括：在决定是否允许访问请求前评估其来源位置、时间与设备安全状态；对外部网络访问、管理员访问及重要数据访问采用多因素认证（含抗钓鱼形式）；仅允许符合组织安全标准的设备访问个人数据；留存并定期分析日志；使用IDS/IPS、EDR等检测工具，以及隔离受损系统或停用账户以限制损害。这些示例的技术取向是把身份验证与设备可信状态绑定，而非仅依赖凭证。

删除义务方面，PPC援引第22条提醒企业：个人数据在不再需要用于其目的时应努力及时删除，例如目的已达成或相关业务已终止；其他法律要求保留一定期限的数据除外。PPC表示已见到因未删除而使泄露后果更为严重的案例，要求企业重新审视所存储数据是否仍有必要以及其法律依据。值得注意的是，第22条的删除努力义务与第23条的安全义务是相互独立的条款。

此外PPC修订了2024年12月11日首次发布的《WARNING》文件，将报告的问题归纳为九类，从补丁未更新、登录凭证薄弱，到对集团公司监督不足、云服务泄露及API被滥用等；应对措施不足可能被认定违反第23、24或25条。修订后的示例在PPC计划于明年4月定稿前仍属草案。