情報漏洩対策とは？企業が取るべき打ち手を技術・運用で整理｜原因・優先順位と報告義務まで解説

上場企業とその子会社が2025年に公表した個人情報の漏えい・紛失事故は180件にのぼり、漏えいした個人情報は3,063万人分を超えました。原因は外部からのサイバー攻撃が最多ですが、従業員の誤送信や内部不正まで幅広く、情報漏洩対策は一つの製品を入れれば終わるものではありません。

この記事では、情報漏洩対策として企業が取るべき打ち手を、ツールで導入する対策と運用ルールで防ぐ対策に分けて整理します。あわせて、漏洩が起きる主な原因、限られた人員でも進められる着手の優先順位、そして万一漏らしてしまった際の個人情報保護委員会への報告義務と初動対応までを、一続きで確認できるようにまとめました。

専任のセキュリティ担当を置けない企業でも、自社に足りない対策を見つけ、何から着手すればよいかを判断できる内容を目指しています。

企業がやるべき情報漏洩対策の一覧

まず、情報漏洩対策として企業が取り得る主な打ち手を一覧で整理します。それぞれの対策が「どの原因に効くか」「ツールを導入する技術系の対策か、社内ルールで運用する対策か」「費用の目安」を並べました。予算や人員の制約に応じて、着手しやすいものから見極める材料にしてください。

主な対策	効く主な原因	技術系／運用系	費用の目安
エンドポイント保護（ウイルス対策・EDR）	外部攻撃・マルウェア感染	技術系	有償（中〜高）
メールの誤送信・攻撃メール対策	誤送信（人的ミス）・標的型メール	技術系	有償（中）
端末のデータレス化・暗号化	紛失・盗難・持ち出し	技術系	有償（中〜高）
アクセス権限の最小化・操作ログの管理	内部不正	技術系＋運用	低〜中
OS・ソフトウェアの更新／脆弱性対策	外部攻撃	運用（一部技術）	低（無料でも可）
パスワード強化・多要素認証	なりすまし・不正アクセス	技術系＋運用	低〜中
従業員教育・持ち出しルール・廃棄ルール	人的ミス・内部不正	運用	低（無料でも可）
データのバックアップ	ランサムウェア被害の軽減	運用＋技術	低〜中

※費用の目安は、無料〜低コストで実施できる運用系の対策と、製品の導入が必要な有償の対策を大まかに示したものです。有償ツールの具体的な料金は利用人数や機能によって変わり、要問い合わせの場合も多いため、各サービスの資料でご確認ください。

ここで挙げた対策は、独立行政法人情報処理推進機構（IPA）が公表する「情報セキュリティ10大脅威 2026［組織編］」や「中小企業の情報セキュリティ対策ガイドライン」で組織が取り組むべきとされている項目に沿っています。技術系と運用系のどちらか一方ではなく、両方を組み合わせることで初めて漏洩経路を広くふさげます。

出典・参考資料（2件）

• 出典：情報セキュリティ10大脅威 2026｜独立行政法人情報処理推進機構（IPA）
• 出典：中小企業の情報セキュリティ対策ガイドライン｜独立行政法人情報処理推進機構（IPA）

ツールで導入する技術系の対策

技術系の対策は、漏洩の経路そのものを製品で防ぐアプローチです。外部からの攻撃に対しては、ウイルス対策ソフトに加え、感染後の挙動を検知して端末を隔離するEDR（Endpoint Detection and Response、エンドポイントでの検知・対応）が有効です。

IPAの「情報セキュリティ10大脅威 2026［組織編］」でも、1位に「ランサム攻撃による被害」、4位に「システムの脆弱性を悪用した攻撃」、5位に「機密情報を狙った標的型攻撃」が挙がっており、端末と通信の防御は依然として中心的な対策です。

あわせて、メール経由の漏洩を防ぐ対策も欠かせません。宛先間違いによる誤送信を防ぐ送信保留や、標的型攻撃メールの添付ファイル・URLを検査する仕組みがこれにあたります。ノートパソコンの紛失・盗難に備えるなら、端末内にデータを残さないデータレス化やディスク暗号化が、持ち出し時のリスクを下げます。これらはいずれも、人の注意だけに頼らず仕組みで漏洩を止める点に強みがあります。

技術系の対策のなかでも、IPAの10大脅威で1位に挙げられているランサムウェアへの備えは優先度が高い領域です。攻撃の入口・端末・ネットワーク・復旧のどこで食い止めるかによって選ぶべき製品が変わるため、対策ツールをタイプ別に比較しながら検討したい場合は、以下の記事が参考になります。

社内ルール・教育で防ぐ運用系の対策

一方で、費用をかけずに始められる運用系の対策も、効果は小さくありません。データにアクセスできる従業員を業務上必要な範囲に限る権限の最小化、誰がどのファイルを操作したかを残す操作ログの管理は、内部不正の抑止と早期発見に役立ちます。USBメモリなど外部媒体への持ち出しルール、退職者のアカウント停止、書類や記憶媒体の廃棄ルールも、運用でカバーできる領域です。

従業員教育も運用系の柱です。標的型メールの見分け方や、パスワードの使い回しを避ける習慣を共有するだけでも、人的ミスに起因する漏洩は減らせます。

IPAが公表する「中小企業の情報セキュリティ対策ガイドライン」では、OSやソフトウェアを最新に保つ、ウイルス対策ソフトを導入する、パスワードを強化する、共有設定を見直す、脅威や攻撃の手口を知る、バックアップを取るという実践しやすい項目が示されています。まずは自社のルールがこれらを満たしているかを点検することから始められます。

情報漏洩はなぜ起きるのか — 3つの原因とそれぞれに効く対策

効果的な対策を選ぶには、自社がどの原因で漏洩しやすいかを知ることが近道です。ここでは、実際の漏洩事故がどの原因で起きているかを示したうえで、外部からのサイバー攻撃・従業員の人的ミス・内部不正という3つの型と、それぞれに効く対策を整理します。

原因別の内訳 — 外部対策だけでは守りきれない

東京商工リサーチの調査によると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故180件の原因別内訳は、「ウイルス感染・不正アクセス」が116件（構成比64.4％）で最多でした。次いで「誤表示・誤送信」が37件（20.5％）、「紛失・誤廃棄」が18件（10.0％）、悪意を持った従業員による「不正持ち出し・盗難」が7件（3.8％）と続きます。

外部からのサイバー攻撃が6割超を占めて最多である一方、従業員の誤送信・紛失といった人的ミスと内部不正を合わせると全体の約3割にのぼります。ファイアウォールやウイルス対策といった外部からの攻撃を防ぐ対策だけでは、漏洩事故の3件に1件は防ぎきれない計算です。

外部対策と、人的ミス・内部不正への対策を両輪でそろえる必要があります。この調査の対象は上場企業とその子会社のため、自社で起きやすい漏洩がどの型かは、業種や働き方をふまえて別途点検することをおすすめします。

出典・参考資料（1件）

• 出典：上場企業の「個人情報漏えい・紛失」事故（2025年）｜東京商工リサーチ（TSR）

外部からのサイバー攻撃

ランサムウェア（データを暗号化して身代金を要求する不正プログラム）や標的型攻撃、脆弱性を突いた不正アクセスが代表例です。IPAの「情報セキュリティ10大脅威 2026［組織編］」でも1位がランサム攻撃で、企業にとって最大の脅威が外部攻撃であることを裏づけています。

効く対策は、エンドポイント保護、OS・ソフトウェアの更新による脆弱性対策、通信の監視、そして被害を最小化するためのバックアップです。近年は取引先を経由して侵入する手口も増えており、委託先の管理体制の確認も含めて備える必要があります。

この「取引先や委託先を踏み台にする手口」はサプライチェーン攻撃と呼ばれ、自社の防御を固めるだけでは防ぎきれない点に特徴があります。具体的な手口や被害事例、取引先を含めた備え方を詳しく知りたい方は、以下の記事で解説しています。

従業員の人的ミス・過失（誤送信・紛失など）

メールの宛先間違いや添付ファイルの取り違え、書類・記憶媒体の紛失など、悪意のないミスも漏洩の大きな原因です。前述の調査では「誤表示・誤送信」が20.5％、「紛失・誤廃棄」が10.0％を占めました。

この型に効くのは、メール送信時の宛先確認や送信保留の仕組み、端末のデータレス化・暗号化、そして従業員への教育です。人的ミスは完全にはなくせないため、ミスが起きても情報が流出しない仕組みを重ねることが要点になります。

メール経由の漏洩は、誤送信の防止だけでなく、なりすましメールの判定や添付ファイルの無害化まで含めて考える必要があります。誤送信対策・迷惑メール対策・無害化といった手段ごとに製品を比べたい場合は、以下の記事でタイプ別に整理しています。

内部不正による持ち出し

従業員や退職者が意図的にデータを持ち出すケースです。件数としては3.8％と多くはありませんが、IPAの10大脅威でも7位に「内部不正による情報漏えい等」が挙がっており、一度発生すると影響が大きくなりがちです。

有効なのは、アクセス権限の最小化、操作ログの管理、外部媒体への書き込み制御、退職時のアカウント停止です。誰が何にアクセスできるかを把握し、不審な操作を記録・検知できる状態をつくることが、抑止と早期発見の両方につながります。

内部不正の抑止と早期発見の要になるのが、「誰が・いつ・何をしたか」を記録して監視する仕組みです。操作ログを実際にどう取得・保管し、どのタイプの製品で管理するかを比べたい場合は、以下の記事が参考になります。

何から手をつけるべきか — 対策の優先順位と最低ライン

対策の全体像がわかっても、すべてを一度に導入するのは現実的ではありません。ここでは、費用対効果の高い順に着手する考え方と、専任担当を置けない企業でも守りたい最低ラインを示します。

まず着手すべき低コスト・高効果の対策

最初に取り組みたいのは、費用をかけずに効果が見込める運用系の対策です。具体的には、OS・ソフトウェアを最新の状態に保つ、推測されにくいパスワードと多要素認証を使う、共有フォルダーのアクセス権限を見直す、重要データのバックアップを取る、といった項目です。多要素認証は、多くのクラウドサービスで標準機能として有効化できます。

これらは無料または低コストで始められ、外部攻撃・人的ミス・内部不正のいずれにも一定の効果があります。そのうえで、自社の漏洩リスクが高い経路から、エンドポイント保護やメール対策といった有償のツールを段階的に足していくと、投資の無駄が生じにくくなります。

専任担当がいなくても回せる最低ライン

セキュリティの専任担当を置けない企業は、公的なガイドラインと無料の支援制度を土台にすると迷いにくくなります。IPAの「中小企業の情報セキュリティ対策ガイドライン」では、まず取り組むべき項目として「情報セキュリティ5か条」に「バックアップを取ろう」を加えた6か条が示されており、これが最低ラインの目安になります。

あわせて、IPAが運営する「SECURITY ACTION」は、中小企業がこの6か条の実践などを自己宣言できる無料の制度です。ガイドラインに付属する「5分でできる！情報セキュリティ自社診断」を使えば、現状の抜けを短時間で点検できます。まずはこうした無料のリソースで自社の到達度を確認し、足りない部分をツールで補う順序が、専任なしでも無理なく回せる進め方です。

出典・参考資料（2件）

• 出典：中小企業の情報セキュリティ対策ガイドライン｜独立行政法人情報処理推進機構（IPA）
• 出典：SECURITY ACTION｜独立行政法人情報処理推進機構（IPA）

万一情報漏洩が起きたら — 報告義務と初動対応

どれだけ予防しても、漏洩を完全にゼロにはできません。実際に漏洩が起きた場合、個人情報保護法にもとづく報告義務と、被害の拡大や賠償を抑える初動対応が問われます。2022年に全面施行された改正個人情報保護法では、一定の漏えい等が生じた際に個人情報保護委員会への報告と本人への通知が義務づけられました。

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。

出典：個人情報の保護に関する法律 第26条第1項｜個人情報保護委員会（e-Gov法令検索）

個人情報保護委員会への報告が必要なケース（4類型）

報告が必要になるのは、個人情報の保護に関する法律施行規則第7条が定める次の4類型のいずれかにあたる場合です。

• 要配慮個人情報の漏えい等： 病歴や信条など、配慮を要する個人情報が含まれるデータが漏えい・滅失・毀損した、またはそのおそれがある場合。
• 財産的被害のおそれ： 不正に利用されることで財産的被害が生じるおそれがある個人データが漏えい等した場合（クレジットカード番号など）。
• 不正目的による漏えい等： 不正アクセスなど、不正の目的をもって行われたおそれがある行為による漏えい等の場合。
• 1,000人を超える漏えい等： 漏えい等に係る本人の数が1,000人を超える場合。

いずれの類型も「漏えい等が発生した」場合だけでなく「発生したおそれがある事態」も対象に含まれます。実際に流出が確認できていなくても、そのおそれがある段階で報告義務が生じる点に注意が必要です。また4つ目の類型は「1,000人を超える」ため、ちょうど1,000人の場合は含まれません。

逆に、漏えいが1,000人未満でも、要配慮個人情報・財産的被害のおそれ・不正目的のいずれかに当たれば報告の対象です。件数が少ないからといって対象外とは限らない点に注意してください。

出典・参考資料（1件）

• 出典：個人情報の保護に関する法律施行規則 第7条｜個人情報保護委員会（e-Gov法令検索）

報告の期限（速報・確報）と本人への通知

報告は「速報」と「確報」の2段階です。速報について、個人情報保護委員会は公式ページで次のように示しています。

速報は、（中略）漏えい等の事態を知った後、速やかに（個人情報取扱事業者が当該事態の発生を知った時点から概ね3～5日以内）報告する。

出典：漏えい等の対応とお役立ち資料｜個人情報保護委員会（個人情報保護委員会）

確報は、施行規則第8条第2項により「当該事態を知った日から三十日以内（当該事態が前条第三号に定めるものである場合にあっては、六十日以内）」に報告するものとされています。原則30日以内、不正の目的による漏えい等のおそれがある場合は60日以内が期限です。

本人への通知については、施行規則第10条が「当該事態の状況に応じて速やかに」と定めており、報告のような具体的な日数は決められていません。速報の「3～5日以内」は個人情報保護委員会が示す運用上の目安である点も押さえておくとよいでしょう。

出典・参考資料（2件）

• 出典：個人情報の保護に関する法律施行規則 第8条・第10条｜個人情報保護委員会（e-Gov法令検索）
• 出典：漏えい等の対応とお役立ち資料｜個人情報保護委員会（個人情報保護委員会）

発生時の初動フロー

漏洩が疑われたときは、報告と並行して被害を止める初動が重要です。まず被害の封じ込め（該当端末やアカウントの隔離・停止）から入り、影響範囲の把握（何がどれだけ漏れたかの特定）と原因調査を進めます。そのうえで、個人情報保護委員会への報告と必要に応じた公表を行い、最後に再発防止策を実施するという順序が一般的です。

報告期限を意識するあまり初動を焦ると、証拠の保全や被害拡大の防止がおろそかになりがちです。まず被害を止め、事実を正確に把握したうえで報告に進むことが、結果的に被害と信用の毀損を小さくします。

専任担当がいない企業では、原因調査やフォレンジック（デジタル鑑識）を自社だけで進めるのは難しい場面もあります。その場合は、外部の専門業者や、独立行政法人情報処理推進機構（IPA）の情報セキュリティ安心相談窓口などに早めに相談すると、初動の判断を誤りにくくなります。

情報漏洩の事例と企業が負った結果

対策の必要性を社内で共有するには、実際の事例と、その企業が負った結果を知ることが説得力を持ちます。事例は2024年に公表された分を中心に、漏洩が招いた賠償・行政対応・業績への影響とあわせて紹介します。

近年の情報漏洩事例

東京商工リサーチの調査によると、2024年に公表された事故で最大の規模は、子会社ネットワークへの不正アクセスを起点に顧客情報などが漏えいした東京ガスグループの416万人分でした。また、損害保険大手4社による顧客情報の共有は金融庁から報告命令を受ける事態に発展し、不適切な取り扱いで流出した個人情報は4社合計で250万人分に及びました。

KADOKAWA（東証プライム）は2024年6月、データセンター内サーバーへの大規模なサイバー攻撃を発端に被害が拡大し、25万5,241人分の個人情報の外部漏えいを公表しています。

出典・参考資料（1件）

• 出典：上場企業の「個人情報漏えい・紛失」事故（2024年）｜東京商工リサーチ（TSR）

漏洩が招いた結果（賠償・行政対応・信用失墜）

情報漏洩は、直接の損失にとどまらず多面的な結果を招きます。前述の損害保険大手4社の事例では金融庁からの報告命令という行政対応に発展し、KADOKAWAの事例では運営する動画サイトの一時停止や補償費用などにより、売上や利益の下方修正を余儀なくされました。

賠償が確定した例としては、ベネッセの個人情報流出事件で、東京高裁が2020年3月の判決で原告約160人に対し1人あたり3,300円の支払いを命じています。事故対応の費用や賠償、行政対応、そして顧客からの信用失墜まで含めると、事後の負担は予防にかかるコストを大きく上回りかねません。

出典・参考資料（1件）

• 出典：ベネッセ個人情報流出、東京高裁判決｜日本経済新聞（日本経済新聞）

情報漏洩対策に役立つサービス

ここまで見てきた対策のうち、ツールで解決できる部分については、専用のサービスを導入することで運用の負担を抑えられます。ここでは、漏洩の原因・経路ごとに、情報漏洩対策に役立つ代表的なサービスを紹介します。

取り上げるのは端末・認証・エンドポイント・メールの各領域の代表例です。操作ログ管理など他の領域は、本文で紹介した関連記事やカタログの各カテゴリからも探せます。自社で足りていない対策の領域から、資料を確認してみてください。

※上記は各サービスの公式情報および当サイトのリサーチをもとに、主な対応領域を整理したものです。各サービスは記載以外の機能も備えている場合があり、最新の対応状況・料金・詳細は各社の公式情報をご確認ください（2026年9月時点）。

1. Shadow Desktop（アップデータ株式会社）

Shadow Desktopは、パソコンの紛失・盗難による情報漏洩に的を絞ったデータレスクライアントです。仮想ドライブの仕組みでローカルにデータを残さずクラウドへ自動的に退避させ、端末に一時的に残るキャッシュもAES 256bitで暗号化し、ファイル名も変換して保持します。

オフラインでも作業を続けられ、パソコンを紛失した際には管理コンソールから利用停止やリモートワイプを実行できます。既存のパソコンにインストールして使える形態で、仮想デスクトップ基盤を新たに構築する必要はありません。

2. DZ Pass（株式会社AnchorZ）

在宅勤務でのなりすまし利用や離席時ののぞき見といった、認証まわりの漏洩リスクに対応するのがDZ Passです。バックグラウンド認証と呼ぶ継続的な本人確認により、顔認証やスマートフォン認証を組み合わせて、ログイン後も利用者が本人であり続けているかを監視します。

離席を検知しての自動ロック、なりすましやのぞき見の検知に加え、操作の記録を残す監査ログも備えます。提供元の株式会社AnchorZによると、料金は1ライセンスあたり月額500円（年間6,000円）が目安で、ボリュームディスカウントも用意されているとしています（同社インタビューでの言及）。

在宅勤務では、周囲の目が届かないことに起因する内部不正のリスクが具体的に問題になります。提供元の株式会社AnchorZは、その一例を次のように述べています。

3. FFRI yarai（株式会社FFRIセキュリティ）

外部からのサイバー攻撃・マルウェア感染を防ぐ純国産のエンドポイントセキュリティが、株式会社FFRIセキュリティのFFRI yaraiです。定義ファイルに頼らず、プログラムのふるまいから危険を先読みして検知する5つのエンジンを多層で組み合わせ、標的型攻撃や未知のランサムウェアといった、パターン照合では捉えにくい脅威に備えます。

感染後の隔離・駆除・追跡を担うEDR機能を追加費用なしで標準搭載し、定義ファイルに依存しないためオフラインでも動作する設計です。オンプレミス・クラウド・マネージドなど複数の提供形態から選べます。

4. m-FILTER MailFilter（デジタルアーツ株式会社）

メール経由の漏洩は、外部からの攻撃メールと社内発の誤送信の両方が経路になります。デジタルアーツ株式会社のm-FILTER MailFilterは、この両面をカバーするメールセキュリティです。

安全な送信元をデータベースと照合してなりすましを見分ける送信元判定、短縮・リダイレクトを含むURL検査、危険な拡張子やマクロを判定する添付ファイル検査に加え、添付ファイルの削除やマクロ除去といった無害化にも対応します。

誤送信対策としては、送信を一定時間保留して宛先を確認できるSend Delay機能を備えます。オンプレミス・クラウド・ゲートウェイ型の提供形態があり、Microsoft 365やGoogle Workspaceとも連携できます。

まとめ

情報漏洩対策は、外部からのサイバー攻撃を防ぐ技術系の対策と、人的ミスや内部不正を抑える運用系の対策を組み合わせて初めて機能します。漏洩の原因は外部攻撃が最多である一方、誤送信や内部不正も全体の約3割を占めるため、外部対策だけでは守りきれません。

すべてを一度にそろえる必要はありません。まずはOSの更新やパスワード強化、バックアップといった低コストで効果の高い対策と、IPAのガイドラインが示す最低ラインから着手し、自社のリスクが高い経路にツールを段階的に足していくのが現実的です。

あわせて、万一漏洩した際の個人情報保護委員会への報告義務と初動対応まで把握しておけば、事後の被害と信用の毀損を抑えられます。自社に足りない対策から、資料請求で具体的な製品の比較を始めてみてください。

よくある質問（FAQ）

Q. 情報漏洩対策とは何ですか？

情報漏洩対策とは、企業が保有する個人情報や機密情報の外部流出を防ぐための、技術的な対策と運用ルールによる対策の総称です。ウイルス対策やメール誤送信防止のようにツールで導入する技術系の対策と、従業員教育やアクセス権限の管理のように社内ルールで防ぐ運用系の対策を組み合わせ、外部からのサイバー攻撃・従業員の人的ミス・内部不正という複数の漏洩経路をふさぐ取り組みを指します。

どちらか一方だけでは経路をふさぎきれないため、両者を組み合わせることが前提になります。

Q. 情報漏洩対策は何から始めればよいですか？

情報漏洩対策は、費用をかけずに効果が見込める運用系の対策から始めるのが基本です。具体的には、OS・ソフトウェアを最新に保つ、推測されにくいパスワードと多要素認証を使う、共有フォルダーのアクセス権限を見直す、重要データのバックアップを取る、といった項目が該当します。これらは無料または低コストで始められ、外部攻撃・人的ミス・内部不正のいずれにも一定の効果があります。

そのうえで、自社のリスクが高い経路から、エンドポイント保護やメール対策などの有償ツールを段階的に足していくと、投資の無駄が生じにくくなります。

Q. 中小企業や専任担当がいない会社でも、最低限やるべき情報漏洩対策は何ですか？

専任担当を置けない企業の最低ラインは、IPA（情報処理推進機構）の「情報セキュリティ5か条」にバックアップを加えた6か条を土台にすることです。OS・ソフトの更新、ウイルス対策ソフトの導入、パスワード強化、共有設定の見直し、脅威や攻撃の手口を知る、バックアップを取る、という実践しやすい項目で構成されます。

あわせて、IPAが運営する無料の「SECURITY ACTION」や「5分でできる！情報セキュリティ自社診断」を使えば、現状の抜けを短時間で点検できます。まず無料のリソースで自社の到達度を確認し、足りない部分をツールで補う順序が、専任なしでも無理なく回せる進め方です。

Q. 情報漏洩対策は無料でできるものもありますか？

無料でできる情報漏洩対策は数多くあります。OS・ソフトウェアの更新、パスワード強化と多要素認証、アクセス権限の見直し、従業員教育、持ち出し・廃棄ルールの整備などは、費用をかけずに実施できる運用系の対策です。IPAが配布する無料の情報漏えい対策ツールや、自己宣言制度の「SECURITY ACTION」も活用できます。

ただし、外部攻撃を検知・隔離するエンドポイント保護や、標的型メールの検査・無害化といった対策は有償ツールが必要になる場面が多く、無料の対策で土台を固めたうえで、リスクの高い経路から有償ツールを足す形が現実的です。

Q. 情報漏洩対策は、外部からのサイバー攻撃と内部不正・人的ミスのどちらを優先すべきですか？

情報漏洩対策は、件数が最多の外部からのサイバー攻撃への対策を軸にしつつ、人的ミス・内部不正への対策も並行してそろえる「両輪」で考えるのが答えです。東京商工リサーチの調査では、2025年に上場企業とその子会社が公表した漏洩事故のうちウイルス感染・不正アクセスが64.4％で最多でしたが、誤送信・紛失・内部不正を合わせると全体の約3割を占めます。

外部対策だけでは、漏洩事故の3件に1件は防ぎきれません。自社で起きやすい漏洩の型は業種や働き方によって異なるため、どちらか一方に寄せず両方に備えることが重要です。

Q. 情報漏洩が起きたら、個人情報保護委員会への報告はいつまでに必要ですか？

報告は速報と確報の2段階で、速報は事態を知ってから概ね3〜5日以内、確報は原則30日以内（不正の目的による漏えい等のおそれがある場合は60日以内）が期限です。速報の「3〜5日以内」は個人情報保護委員会が示す運用上の目安、確報の日数は個人情報の保護に関する法律施行規則第8条第2項で定められています。

本人への通知は施行規則第10条が「当該事態の状況に応じて速やかに」と定めており、具体的な日数は決められていません。詳細は個人情報保護委員会の公式ページおよび施行規則（e-Gov法令検索）で確認できます。

Q. どんな情報漏洩でも、個人情報保護委員会への報告義務がありますか？

すべての漏洩が報告対象になるわけではなく、個人情報の保護に関する法律施行規則第7条が定める4類型（①要配慮個人情報の漏えい等、②財産的被害のおそれ、③不正の目的による漏えい等、④1,000人を超える漏えい等）のいずれかに当たる場合に報告義務が生じます。

いずれの類型も、実際に漏えいした場合だけでなく「発生したおそれがある事態」も対象に含まれる点に注意が必要です。また4つ目は「1,000人を超える」ため、ちょうど1,000人の場合は含まれません。判断に迷う場合は、施行規則第7条（e-Gov法令検索）の原文で確認してください。

社内セキュリティソリューションの料金・手数料を一括チェック

MCB FinTechカタログでは、情報漏洩対策に役立つ社内セキュリティソリューションの最新資料をまとめて請求できます。気になるサービスの資料を無料でダウンロードし、自社に合う対策の比較・検討にお役立てください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。