日本个人信息保护委员会《关于应对大规模泄露等事案的注意事项（注意喚起）》（令和8年10月7日公表；附《关于防止因未授权访问导致个人数据泄露的注意事项（WARNING）》，令和6年12月11日制定、令和8年10月7日修订）

【说明】本文为日本个人信息保护委员会 2026 年 10 月 7 日「News Release／公表資料」全文，含资料1《致个人信息处理事业者——关于应对大规模泄露等事案的注意事项（注意喚起）》与资料2《关于防止因未授权访问导致个人数据泄露的注意事项（WARNING，令和6年12月11日制定、令和8年10月7日修订）》。PDF 文字层共 13559 字符，图形化页面文字可能有缺失。 News Release 公表資料 大規模な漏 えい等事案を踏まえた対応について（注意喚起） 令和８年 10 月７日 個人情報保 護委員会は、大規模な漏えい等事案を踏まえた対応について、 注意喚 起を行うこととしましたので、お知らせいたします。 【連絡先】 個人情報保護委員会事務局 監視・監督室 電話：03-6457-9680（代） 個人情報取扱事業者の皆様へ 令和８年10月７日 個人情報保護委員会 大規模な漏えい等事案を踏まえた対応について（注意喚起） 近時、個人情報保護委員会（以下「当委員会」という。 ）では、国民に広く普及した、大 量の個人情報を取り扱う個人情報取扱事業者が外部からの不正アクセスを受け、その取り 扱う大量の個人データが漏えいし、又は漏えいのおそれが生じた漏えい等事案に接してい ます。 当委員会は、個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。 ） 第 26条第１項の規定による漏えい等報告を受領した事案に関して必要な調査を行い、必要 に応じて指導等の権限行使等を行うことで、法第 23 条で規定する安全管理措置について、 個人情報取扱事業者の自主的な改善を促しています。また、当委員会は、事業者の安全管理 措置の検討に資するようガイドラインに手法の例示等を示すとともに、現在その追加、 現代 化を図っています。 個人情報取扱事業者のうち、特に、国民の多くが利用する事業における業界内で高いシェ アを有するサービス又は顧客が事業者を指定し難いサービスを提供することで大量の個人 情報を保有している事業者、機微性の高い個人情報、 財産的被害につながるおそれのある個 人情報又は詐欺などに利用されるおそれのある個人情報を保有している事業者その他の漏 えい等が生じた場合に国民の権利利益の侵害の蓋然性が高い個人情報を保有する事業者の 皆様におかれましては、下記で提供する情報も踏まえて、個人情報等の適正な取扱いをお願 いします。 記 １ 安全管理措置の全体像 個人情報の保護に関する法律についてのガイドライン（通則編） 「 10 （別添）講ずべき 安全管理措置の内容」（以下「ガイドライン（通則編）別添」という。）では、法第23条 に定める安全管理措置として、個人情報取扱事業者が具体的に講じなければならない措 置や当該措置を実践するための手法の例等について示しています。ガイドライン （通則編） 別添は 、「講じなければならない措置」と、当該措置を実践するための「手法の例示」で 構成されており、 「講じなければならない措置」は、これらに従わなかった場合、法違反 と判断される可能性がありますが、「手法の例示」は、文字どおり例を示したものであっ て、必ずしも例示の内容の全てを講じなければ、法違反と判断されるというものではなく、 また、適切な手法は例示の内容に限られません。この点、ガイドライン（通則編）別添で は 、「安全管理措置を講ずるための具体的な手法については、個人データが漏えい等をし た場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、 個人データ の取扱状況 （取り扱う個人データの性質及び量を含む 。）、個人データを記録した媒体の性 質等に起因するリスクに応じて、必要かつ適切な内容とすべきものである」 としています。 ２ 今後の見直し予定と現時点における見直し後の技術的安全管理措置の内容 令和８年９月 16 日に開催した第 369 回個人情報保護委員会で決議したとおり、今後、 ガイドライン（通則編）別添の「手法の例示」等については、現代化を含めた見直しを予 定しています1。見直しの内容の確定は、来年４月を予定していますが、近時の動向を踏 まえて、「手法の例示」として、より参考になると考えられるため、見直し予定の内容を 先取りする形でお示しします。 外部 からの不正アクセスとの関係では、主に安全管理措置のうち技術的安全管理措置 が問題になるところ、現時点における見直し後の技術的安全管理措置の内容は別紙のと おりとなります。なお、安全管理措置には、技術的安全管理措置のほかに、個人データの 取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置 及び外的環境の把握がありますので御留意ください。 ３ 不要となった個人データの消去 法第22条は 、「個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人 データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個 人データを遅滞なく消去するよう努めなければならない。 」 と規定しています。 すなわち、 個人情報取扱事業者は、利用目的が達成され当該目的との関係では当該個人データを保 有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当 該目的の前提となる事業自体が中止となった場合等は、当該個人データを遅滞なく消去 するよう努めなければなりません（法令の定めにより保存期間等が定められている場合 は、この限りではありません。） 。こうした対応が徹底されず、漏えい等事案がより深刻化 するといった事例にも接していますので、保管している個人データの必要性についてそ の法令等の根拠とともに確認を適切に行うことを含めて、改めて注意喚起します。 1 https://www.ppc.go.jp/files/pdf/260916_shiryou-2.pdf ４ その他御参考 当委員会は漏えい等報告を受領した事案を分析し、典型的な事案類型及び問題点につ い て「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」 （令和６ 年 12月11日、令和８年10月７日改訂）2を公表し、注意喚起を行っていますので、こち らも参考にしてください。 以 上 2 https://www.ppc.go.jp/files/pdf/261007_warning.pdf （別紙） 10-6 技術的安全管理措置 個人情報取扱事業者は、情報システム（パソコン等の機器を含む。 ）を使用して個人データを取り扱う場合（インターネット等を通じて外部と送受信等する場合 を含む 。）、技術的安全管理措置として、次に掲げる措置を講じなければならない。 （1）アクセス制御 担当者及び個人データを取り扱う情報システムの範囲を限定するために、適切なアクセス制御を行わなければならない。 （2）アクセス者の識別と認証 個人データを取り扱う情報システムを使用する者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない。 （3）外部からの不正アクセス等の防止 個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない。 （4）情報システムの使用に伴う漏えい等の防止 情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない。 （5）不正アクセス等の検知等 個人データを取り扱う情報システムに対する不正アクセス等が発生した場合に早期に検知等するための措置を平時から講じ、組織内ネットワークにおける被 害拡大を防止できるよう適切に運用しなければならない。 講じなければ ならない措置 手法の例示 中小規模事業者における手法の例示 （1）アクセ ス制御 （情報システムの限定） • 個人データを取り扱う情報システムを限定する。 • 個人データを取り扱う情報システムへのアクセスを最小化する。例えば、 事前に許可した特定の IP アドレスからのみに限定する方法が考えられる。 （アクセスできる者の限定） • 個人データを取り扱う情報システムを使用できる従業者については、ユー ザーID に付与するアクセス権限を最小化することにより限定する。 • 特権アカウントを割り当てる従業者、利用する端末、利用する場面等を最 小限に限定する。 • 組織体制に変更が生じた場合（例えば、人事異動、従業者の退職等）等 に、アクセス権限の変更を適切に行う。 • アクセス制御が適切に行われているか確認する。例えば、アクセス権限に ついて定期的に監査するなど、アクセス権限の棚卸しを行う等の方法が考 えられる。 • 組織内外からのアクセスについて、アクセス要求ごとにアクセス元の場 所、アクセス時間、デバイスのセキュリティ状態等の動的コンテキストを 評価し、リスクに応じてアクセスの可否を判断する仕組みを導入する。 • 個人データを取り扱うことのできる機器 及び当該機器を取り扱う従業者を明確化 し、個人データへの不要なアクセスを防 止する。 （2）アクセ ス者の 識別と 認証 （情報システムを使用する従業者の識別・認証手法の例） • ユーザーID、パスワード、磁気・IC カード、指紋認証・静脈認証・顔認証 等の方法が考えられる。 • ユーザーID・パスワードを利用する場合には、同一のユーザーID・パスワ ードの使い回しの原則禁止及び類似パスワードの使い回しの制限、最低パ スワード文字数の設定、一定回数以上ログインに失敗した ID の停止等を行 う。 • 機器に標準装備されているユーザー制御 機能（ユーザーアカウント制御）によ り、個人情報データベース等を取り扱う 情報システムを使用する従業者を識別・ 認証する。 講じなければ ならない措置 手法の例示 中小規模事業者における手法の例示 • 個人データへのアクセス権限を有する者が使用できる端末又はアドレス等 についての識別と認証を実施する。例えば、IP アドレス認証、電子証明書 等の方法が考えられる。 • 組織外ネットワークからのアクセスや、管理者権限でのアクセス、重要な 個人データへのアクセスにおいては、識別・認証手法を複数組み合わせる 多要素認証（フィッシングに耐性のあるものを含む 。）を導入する。 （情報システムを使用する従業者以外の者の識別・認証手法の例） • 従業者以外の者を適切に識別・認証する方法を採用する。例えば、同一及 び類似パスワードの使い回しをしないよう周知、最低パスワード文字数の 設定、一定回数以上ログインに失敗した ID の停止、多要素認証（フィッシ ングに耐性のあるものを含む。 ）の導入等が考えられる。 （3）外部か らの不 正アク セス等 の防止 • 個人データを取り扱う情報システムと外部ネットワークとの接続箇所にフ ァイアウォール等を設置し、不正アクセスを遮断する。 • 個人データを取り扱う情報システム及び機器にセキュリティ対策ソフトウ ェア等（ウイルス対策ソフトウェア等）を導入して適切に運用（パターン ファイルや修正ソフトウェアの更新確認等を行うことを含む。 ）し、不正ソ フトウェアの有無を確認する。 • 機器やソフトウェア等に標準装備されている自動更新機能等の活用、端末 及びサーバ－等のオペレーティングシステム、ミドルウェア 、アプリケーシ ョン等に対するセキュリティ対策用修正ソフトウェアの適用により、ソフ トウェア等を最新状態とする。 • 個人情報取扱事業者において許可していないソフトウェア等の導入を防止 する。例えば、ソフトウェアの導入時の確認のほか、定期的な監査などの 方法が考えられる。 • 組織が許可し、セキュリティ基準を満たしたデバイスからのみ個人データ へのアクセスを許可する。 • 個人データを取り扱う機器等のオペレー ティングシステムを最新の状態に保持す る。 • 個人データを取り扱う機器等にセキュリ ティ対策ソフトウェア等を導入し、自動 更新機能等の活用により、これを最新状 態とする。 講じなければ ならない措置 手法の例示 中小規模事業者における手法の例示 （4）情報シ ステム の使用 に伴う 漏えい 等の防 止 （情報システムの開発、維持・管理、変更等における安全性確保） • 個人データを取り扱う情報システムの設計時に安全性を確保し、継続的に 見直す（情報システムのぜい弱性を突いた攻撃への対策を講ずることも含 む 。）。 • 個人データを取り扱う情報システムの動作確認を行う際に、テストデータ として利用する個人データを必要最小限とする。例えば、テストデータと して個人データを利用することを禁止したり、動作確認に影響のない範囲 で、個人データの一部を他のデータに置き換えるなどの方法が考えられ る。 • 個人データを取り扱う情報システムの変更時に、当該変更によって情報シ ステム又は運用環境のセキュリティが損なわれないことを検証する。 （通信の経路又は内容の暗号化） • 個人データを含む通信の経路又は内容を暗号化する。例えば、インターネ ットや無線 LAN 等による個人データの送信（例えば、本人又は従業者に よる入力やアクセス、メールに添付してファイルを送信する等を含むデー タの転送等）時に、個人データの暗号化等の秘匿化（例えば、SSL/TLS、 S/MIME 等）を行うなどの方法が考えられる。 • 移送する個人データについて、パスワード等による保護を行う。 （クラウドサービスを利用した情報システムの更改・廃棄） • クラウドサービスのサーバ上に保管された個人データを消去する際は、ク ラウドサービス提供事業者が提供する方法、暗号化消去等、容易に復元で きない手段を採用する。 • メール等により個人データの含まれるフ ァイルを送信する場合に、当該ファイル へのパスワードを設定する。 講じなければ ならない措置 手法の例示 中小規模事業者における手法の例示 (5)不正アク セス等の 検知等 （定期的な分析） • 個人データを取り扱う情報システムの使用状況、個人データへのアクセス 状況、個人データを取り扱う情報システムへの外部からのアクセス状況等 のログ（例えば、認証ログ 、アクセスログ 、操作ロ グ、通信ログ等）等を一 定の期間保管する。 • 当該ログ等の漏えい、滅失及び毀損並びに改ざん、不正消去等からの適切 な保護を行う。 • 当該ログ等の定期的な分析により、不正アクセス等の発生又は兆候を早期 に検知する。 （常時監視による早期検知） • 不正アクセス等の発生又は兆候を早期に検知等するための仕組み（例え ば、IDS/IPS、EDR 等）等を導入する。 （組織内ネットワークでの被害拡大の防止） • 不正アクセス等が発生した場合でも個人データを取り扱う情報システムの 被害が広がらないよう、必要な対策を講ずる。例えば、侵害を受けた又は そのおそれがある情報システムの停止・隔離、アカウントの無効化などの 方法が考えられる。その他必要な対策については、10-6 技術的安全管理措 置(1)から(4)の手法の例示も参照されたい。 • 個人データを取り扱う情報システムの使 用状況、個人データへのアクセス状況、 個人データを取り扱う情報システムへの 外部からのアクセス状況等のログ等を一 定の期間保管する。 （令和６年12月11日、令和８年10月７日改訂） 1 不正アクセスによる個人データ 漏えい防止のための注意喚起 WARNINGはじめに 2 個人情報の取扱いを巡る環境は、デジタル技術の急速な発展、ビジネスのグローバル化、サプ ライチェーン等の業務委託関係の多様化等により、日々変化しており、個人情報取扱事業者(※１) は、変化する環境に応じた個人情報の適正な取扱いを図ることが求められています。 また、今般、ランサムウェアを含むサイバー攻撃の高度化・巧妙化が進み、従前見られていた 情報システムの脆弱性を狙った不正アクセスに加え、グループ会社又は海外拠点における弱点と なり得る関係性に起因するシステム侵入、機密情報が保存される領域への高度な水平移動等の手 口による個人データの漏えいが見られます (※２)。 ※１ 個人情報の保護に関する法律（平成15年法律第57号。以下「法」という。）第16条第２項。 本社 テレワーク環境 海外拠点 グループ会社（子会社等） 業務委託先 データセンター ※２ 個人情報保護委員会は、令和６年度第1四半期から、「監視・監督権限の行使状況の概要」と「漏えい等報告 の処理状況」を公表している。 （https://www.ppc.go.jp/personalinfo/activity/?ref=gnavi） 社内ネットワーク発生事例から学ぶセキュリティ対策 3 個人情報保護委員会には、これらの手口によって発生した個人データの漏えい等事案が複数報 告されている状況です。 報告された事案を分析したところ、以下九つの事例に類型化できる問題点が挙げられ、これら 問題への措置が十分でない場合、安全管理措置（法第23条）、従業者の監督（法第24条）及び 委託先の監督（法第25条）の違反と判断される可能性があります。 脆弱性への対応や強固な認証方式の採用等のセキュリティ対策は、どれか一つを講じればよい ということではなく、多層的に講ずる必要があります。また、これらの事例の多くは、委託先等 を含め、個人情報取扱事業者内外における複数の組織・部署が関係することから、その問題点を 克服するためには、単純な技術的問題への対応にとどまらず、経営層を交えて現状の組織体制の 抱える問題点や漏えい等が発生した場合に生じ得る損害等を評価し、組織的に対応することが必 要となります。 個人情報取扱事業者におかれては、今回紹介する事例の原因及び対策を参考にし、必要なセ キュリティ対策を行っていただくよう、お願いします。 ＜事例＞ 事例１ 脆弱性が放置された事例 事例２ 脆弱性への対応が遅れた事例 事例３ 不正ログインの事例 事例４ グループ会社や海外拠点が狙われた事例 事例５ グループ会社間のアクセス制御不備があった事例 事例６ 個人領域に保存したデータの漏えい事例 事例７ グループ会社への監督が不十分な事例 事例８ 利用するクラウドサービスからの漏えい事例 事例９ APIが悪用される事例事例１ 脆弱性が放置された事例 4 個人情報取扱事業者が個人データを取り扱うために導入した情報システムについて、ソフト ウェア等を最新状態に保つための措置を適切に行わず、また、脆弱性が公開され対処方法がリ リースされていたにもかかわらず、対策を放置していたため、不正アクセスによる個人データの 漏えい等を防ぐことができなかった。 ネットワーク機器 （VPN※３装置等） 個人情報取扱事業者 個人データ 脆弱性 情報システム  システム業者との間で、情報システム導入の業務委 託契約しか締結しておらず、セキュリティ対策に関 するシステム保守の業務委託契約を締結していな かった。  システム業者との間で、システム保守の業務委託契 約は締結していたが、委託業務の内容に脆弱性対応 が含まれていなかった。  脆弱性情報の収集は行っていたが、収集した脆弱性 情報に基づき対策を講ずる際の役割分担が決められ ていなかった。  グループ会社の間で脆弱性対策を行う役割分担が明 確化されておらず、結果的に放置してしまった。  特に、VPN 装置等、インターネットとの接続を制 御する装置の脆弱性は、攻撃に悪用されることが多 い。 原因  適切なシステム業者を選定し、情報システムの脆弱性対 策等のセキュリティ対策も含めたシステム保守の業務委 託契約を締結する。  ⑴管理対象となるIT資産（外部の事業者から貸与されて いる物を含む。）の洗い出し、⑵脆弱性情報の収集・分 析、⑶脆弱性への速やかな対処といった脆弱性対策プロ セスを確実に行う。  VPN 装置は、それ自体が意識的に利用・管理されるサー バ等と異なり、ネットワークサービスの一部として提供 されるケースもあり、運用体制や脆弱性対応の責任が不 明瞭なケースも多く、グループ会社内及び外部委託先と の役割分担を明確化する。 対策例 ※３ 仮想プライベートネットワーク（Virtual Private Network）の略称であり、離れた拠点間を仮想的な専用線 でネットワークでつないで通信できるようにするための仕組み。 不正アクセス事例２ 脆弱性への対応が遅れた事例 5 グループ会社全体の情報システムを管理する親会社が、グループの複数会社が使用する情報シ ステムに脆弱性が公開された際、グループ会社にセキュリティパッチを適用するよう指示したが、 一部の子会社が適時に対応できなかったため、脆弱性を悪用された不正アクセスを受けた。 親会社A 子会社B 脆弱性情報の収集 セキュリティパッチ 適用を指示 セキュリティパッチ 適用を指示 脆弱性情報 適用 適用せず  一部の子会社にはシステム対応を行うための 要員が十分におらず、リソースの問題から、 すぐにセキュリティパッチ適用のための作業 を行うことができなかった。  親会社において資産管理が適切に行われてお らず、脆弱性情報が公開されていることに気 づくのが遅く、対応が遅れてしまった。  社内ネットワーク内での利用にとどまるので あればリスクが小さいと考え、サポート期限 が切れた機器の利用を継続した。 原因  グループ全体のセキュリティガバナンス向上のため、脆 弱性情報収集・分析の一元管理のみならず、セキュリ ティパッチ適用等の対策状況を含めて一元管理する。  ⑴管理対象となるIT資産の洗い出し、⑵脆弱性情報の収 集・分析、⑶脆弱性への速やかな対処といった脆弱性対 策プロセスの役割分担を関係者で認識合わせし、明確化 する。  外部から侵入されることを想定し、社内ネットワーク上 の機器についても脆弱性対策プロセスの実施を徹底する。 対策例 不正アクセス子会社C事例３ 不正ログインの事例 6 個人データを取り扱う情報システムにログインするための本人認証について、利用者が正当な アクセス権を有する者であることを、識別した結果に基づき認証しなければならないところ、不 十分な識別・認証による不正ログインを許し、個人データの漏えい等が発生した。 個人情報取扱事業者 個人データ  推測されやすいID・パスワードを使用していた。  複数回以上のID・パスワードの入力ミス時はア カウントを一定時間ロックするなど、ブルート フォース攻撃(※４)への対策を行えていなかった。  脆弱性に対するセキュリティパッチは適用して いたものの、過去の脆弱性によりID・パスワー ドが漏えいしていたにもかかわらず、ID・パス ワードの初期化等の措置を行えていなかった。  ログの保存・監視についてのルールがなかった ため、不正アクセスの検知が遅れた。 原因  推測されにくい複雑なパスワードを利用する よう従業者を教育する。  取り扱う個人データの性質及び量に応じて、 多要素認証等の高い強度の認証方式を採用す る。  アカウントロック等の適切な不正ログイン対 策の措置を行う。  脆弱性等によりID・パスワードが漏えいした 可能性がある場合は、 ID・パスワードを初期 化する又は利用者へ変更を案内する。  ログの保存期間を定め、定期的に分析する。 対策例 ※４ 総当たり攻撃。ランダムなID・パスワードを総当たりでログイン試行する手法。事例４ グループ会社や海外拠点が狙われた事例 7 国内外のグループ会社が共同で利用する情報システムに対し、海外拠点にある子会社を足がか りにした不正アクセスがなされ、攻撃者による侵入及び侵害の横展開が行われ、親会社が管理す るデータセンターに保存されていた個人データがランサムウェアにより暗号化された結果、グ ループ全体にて個人データの漏えい等の被害が発生した。 海外拠点 個人データ 子会社の情報システム 親会社の データセンター 個人データ 不正アクセス  海外拠点は国内にある親会社のセキュリティガ バナンスが行き届きにくく、情報システムの脆 弱性対策が十分でなかった。  海外拠点に設置されていた貸与品のVPN装置が 台帳にリストアップされておらず、VPN装置の 存在が把握できなくなっていた。  子会社の情報システムと親会社のデータセン ターとの間のアクセス制御が適切ではなかった。 原因  国内だけの対策で完結せず、海外拠点も含め てIT資産（外部の事業者から貸与されている 物を含む。）の洗い出し、脆弱性情報の収 集・分析、脆弱性への対処を適切に行う。  子会社と親会社の間の通信は業務上必要な範 囲のみ許容するなど、拠点間ネットワークの アクセス制御を強化する。 対策例事例５ グループ会社間のアクセス制御不備があった事例 8 親会社がグループ会社全体の情報システムを一括管理するデータセンターを保守・管理してお り、同データセンター内のアクセス制御が不十分であったところ、グループネットワークへの不 正アクセスがなされ、グループ会社全体の情報システムにおいて個人データの漏えい等が発生し た。 親会社A 子会社B 子会社C A社個人データ B社個人データ C社個人データ グループ共用の データセンター  グループ会社の個人データを管理する データセンターにおいて、業務上の利便 性等の観点から、グループ会社間で相互 にアクセス可能としていた。  親会社が管理するグループネットワーク の管理者パスワードの強度が十分ではな かった。 原因  グループ会社間であっても業務上の必要 最小限の範囲でアクセス制御を行う。  同一のデータセンターで一元管理してい ても各会社の業務システムを極力分離独 立し管理・運営する。  推測されにくい複雑なパスワードを利用 し、管理者権限等の不正利用された際の 被害が大きいアカウントには、多要素認 証等の高い強度の認証方式を採用する。 対策例事例６ 個人領域に保存したデータの漏えい事例 9 個人情報取扱事業者の従業者が、業務で使用する電子ファイル等（個人データを含む。）を個 人が管理する領域に保存しており、個人情報取扱事業者の情報システムが不正アクセスを受けた 際、個人が管理する領域に保存されていた個人データについても漏えいが生じた。 会社が管理する 業務フォルダ 大量の個人データ  従業者が業務で使用する電子ファイルについ て、組織として管理されておらず、従業者各 自のデスクトップ端末等で加工・保存される 業務運用が慣例化してしまっており、また、 このような管理状況について、定期的な監査 等の網にもかからなかった。  組織として管理されていない個人データの中 には、本来は消去すべき古いデータ等が含ま れているケースがあり、漏えい被害の範囲が 大きくなってしまった。 原因  個人情報取扱事業者における個人データの取 扱いは、あらかじめ整備された個人データの 取扱いに係る規律・ルールに従う。  個人情報管理台帳等を整備し、定められた保 存場所で個人データを作成・加工・保存する ことを徹底する。  個人データを組織で管理し、取扱職員・管理 媒体等を監査部門が把握した上で、定期的な 監査等を行う。  従業者に対し、日頃から個人データの取扱い に係る規律・ルールを周知し徹底を促す。 対策例事例７ グループ会社への監督が不十分な事例 10 親会社が、グループ子会社の従業者等の個人データについて、グループ子会社から個人データ の取扱いの委託を受け、一括して人事システムで管理し、グループ全体の給与計算等の人事管理 業務を行っていたところ、親会社の安全管理措置の不備が原因でグループ子会社の個人データが 漏えいした。委託元であるグループ子会社は委託先である親会社における個人データの取扱状況 を把握する等の必要かつ適切な監督を行っていなかった。 親会社A 子会社B 子会社C 一括で個人 データを管理 個人データ取扱いを委託 個人データ取扱いを委託 人事データ 人事データ  グループ会社同士であるため、一定の信頼関 係が築けているとして、親会社の個人データ の取扱状況について監査を行っていなかった。  外部の取引先とは違い、親会社に個人データ を管理してもらうことは、個人データの取扱 いの委託には該当せず、監督は不要だと認識 していた。  グループ全体に適用されるセキュリティポリ シーが改訂されたにもかかわらず、子会社が 対応できていなかった。 原因  親会社は委託を受けた個人データを適正に管理すると ともに、子会社は委託先がグループの親会社であった としても、通常の外部委託先に対するルールと同じ基 準で必要かつ適切な監督を行う。  例えば、親会社による自己点検又は第三者機関による 検査等の結果を子会社がモニタリングするなど、親会 社主導の下、効果的にグループ会社全体の安全管理措 置等の取扱状況を共有し、必要かつ適切な監督を行え る仕組みを構築する (※５）。 対策例 ※５ グループ会社間の管理・監督については、規模や特性等に応じた多様な在り方が想定されるため、必要かつ適切な監督の方法は 本例示に限定するものではない。事例８ 利用するクラウドサービスからの漏えい事例 11 クラウドサービス提供事業者が提供する業務システムが不正アクセスを受け、クラウド環境で 管理されていた多数のクラウドサービス利用者である顧客企業の個人データが暗号化され、大量 の個人データについて漏えいのおそれが生じた事案。  クラウドサービスの外部からの 不正アクセス等の防止のための 措置等の技術的安全管理措置に 問題があった。  業務の委託ではないクラウド サービス利用は個人データの取 扱いの委託には該当しないと考 えていたため、委託先に対する 個人データの取扱状況の監督を 実施していなかった。 原因  顧客企業は、利用しようとするクラウドサービ スにおいて適切なセキュリティ対策が講じられ ているかを、サービス利用規約やクラウドサー ビスの安全性評価に関する資料等により確認し、 適切なサービスを選定する。  クラウドサービス利用が個人データの取扱いの 委託となる場合、利用する顧客企業が適切に取 扱状況を把握できるよう、クラウドサービス提 供事業者は積極的にセキュリティレポート等の 必要な情報を公開することが望ましい。 対策例 顧客企業 顧客企業 不正アクセス 個人データ 個人データ取扱いを委託 個人データ取扱いを委託 クラウドサービス 提供事業者 事例９ APIが悪用される事例 12※６ Application Programming Interfaceの略称であり、異なるシステムやアプリ間をつないでデータや機能を共有する仕組み。 不正アクセス 大量のユーザー 個人情報取扱事業者 個人データ 情報システム 個人データ 個人データ A P I 個人情報取扱事業者が提供するスマートフォンアプリやWeb サービスにおいて、API（※６） を利用していたところ、 APIの設計・設定不備により、攻撃者が当該サービスにログインした後、 パラメータを書き換えることで、本来であれば取得できない他のユーザー情報を取得できる状態 となっており、個人データの漏えい等が発生した事案。  管理対象から漏れているAPIが存在した。  URLや会員ID等のパラメータを書き換え ることで、他ユーザーのデータにアクセ ス可能な状態であった。  レスポンスに不要な情報が含まれていた ことや、会員ID等が連番となっていたこ とから、攻撃者によるAPIの仕様等の推測 が容易であった。  大量アクセスを制御するためのアクセス 回数制限（レートリミット）がなかった。 原因  定期的にAPIの棚卸しを行う。  認証（本人確認）に加え、認可（そのユー ザーが当該データにアクセスする権限を有す るかの確認）を都度行う仕組みを実装する。  不要な情報をレスポンスに含めないように設 計する。会員IDや管理番号にランダムな値 （UUID等）を採用する。  短時間での大量アクセスを検知・遮断するた めのアクセス回数制限（レートリミット）を 実装する。 対策例