大規模な個人情報漏えいを受け、国が注意喚起。中小企業も確認したい6つの対策

今回の注意喚起は、特に大量の個人情報や機微性の高い情報などを保有する事業者に強く対応を求めています。

ただ、個人情報保護法による安全管理措置は、大企業だけの問題ではありません。

会社の規模に応じて必要な対応は異なりますが、中小企業でも、従業員情報や顧客情報の管理状況を確認しておくことが大切です。

委員会が紹介した事例では、システムの更新が遅れていたことや、アクセス権限の管理が不十分だったことなどが、漏えいにつながっていました。

つまり、高額なセキュリティ製品を導入する前に、社内で誰が何を管理しているかを確認することにも意味があるのです。

はい。今回の資料で、特に注目したい事例です。

委員会は、従業員が業務用の個人データを個別に管理する領域へ保存しており、不正アクセスを受けた際に、そのデータまで漏えいした事案を紹介しています。

しかも、会社として把握していない古いデータが残っていたことで、被害が拡大したケースも示されています。

重要なのは、会社が「どこに、どのような個人データが保存されているか」を把握していることです。

保存場所を決める、担当者にルールを周知する、定期的に不要なファイルがないか確認するといった管理が考えられます。

そこも注意が必要です。

今回の資料には、グループ会社の給与計算や人事管理を親会社が一括して行っていたところ、管理上の不備から個人データが漏えいした事例が紹介されています。

問題となったのは、情報を預かった側だけでなく、委託した側が必要な監督を行っていなかったことです。

外部の給与計算会社やクラウドサービスを利用する場合も、サービスの内容や個人データの取扱関係に応じて、安全管理状況の確認や委託先の監督を検討する必要があります。

「外部に任せたから、会社には関係ない」とは考えない方がよいでしょう。

まずは、次の6つを確認することをおすすめします。

① 個人データの保存場所

従業員名簿、給与データ、応募者情報などが、どのパソコンやシステムに保存されているか。

② 閲覧・操作できる人の範囲

必要な担当者だけがアクセスできるか。人事異動や退職後の権限も適切に変更しているか。

③ パソコンやシステムの更新

OS、業務ソフト、ネットワーク機器などを更新し、誰が管理するか決まっているか。

④ パスワードと認証

簡単なパスワードや使い回しを避け、重要なシステムでは多要素認証なども検討しているか。

⑤ 委託先・クラウドサービスの確認

個人データを預ける委託先について、必要な安全管理や監督を行っているか。

⑥ 不要データの整理

法律上の保存義務や業務上の必要性を確認し、不要になった情報を放置していないか。

これらは今回の公表資料を中小企業向けに整理した確認項目です。すべての会社に同じ設備や手法が一律に義務付けられているという意味ではありません。

また、委員会は、今後のガイドライン見直しを見据え、不正アクセスの早期検知や被害拡大防止についても対策例を示しています。具体的な技術対策は、必要に応じてシステム管理会社等と確認することが重要です。