技術的安全管理措置の見直し案｜個人情報保護法ガイドライン、中小企業が点検する5つ

技術的安全管理措置の見直し案：先に結論と確認日時

個人情報保護委員会は、個人情報保護法ガイドライン（通則編）の別添「10-6 技術的安全管理措置」の見直し案を、2026年10月7日の注意喚起で先取りして示し、10月29日に意見募集を始めました。

注意喚起、意見募集の資料、現行のガイドラインを、2026年11月4日 22時時点で確認しました。

• 措置の数：現行は4つ、見直し案は5つです。「不正アクセス等の検知等」が加わります。
• 位置づけ：見直し案は、11月4日の確認時点で意見募集中で、決定ではありません。委員会は、最終的な内容は変わる可能性があると書いています。
• 義務と例：見直し案の5つの「措置」は、従わなかった場合に法違反と判断される可能性があるものとして置かれています。「手法の例示」は例で、委員会は、必ずしも全てを講じなければ法違反と判断されるものではないと書いています。
• 中小規模の欄：書かれているのは6項目です。多要素認証やEDRは、中小規模の欄ではなく一般の欄にあります。

当社の整理では、最初の一歩は、中小規模の欄の6項目を自社で点検することです。事故のあとの報告と初動は、漏えい報告の記事にあります。

状況は変わりえます。最新は委員会のページで読み直してください。

目次

10月7日から10月29日まで：何が出て、誰に向けたものか

10月7日の注意喚起は、大量の個人情報を扱う事業者が外部からの不正アクセスを受け、大量の個人データが漏えいした（又はそのおそれが生じた）事案を受けたものです。委員会は、特に、多くの国民が使うサービスで高いシェアを持つ事業や、顧客が事業者を選びにくいサービスの事業、機微な個人情報などを持つ事業者に呼びかけています。

一方、法第23条の安全管理措置は、個人情報取扱事業者のすべてに及びます。ガイドラインによると、個人情報データベース等（顧客名簿のように検索できる形の個人情報）を事業に使っていれば、本人の数にかかわらず個人情報取扱事業者です。数人の会社も、当社の整理では対象です。

10月7日に先取りで示された別紙と、10月29日に意見募集にかけられた更新案は、10-6の5つの措置の文が同じです。中小規模の欄の6項目も、(2)の「個人情報データベース等」が「個人データ」に変わる用語の違いを除いて同じでした（当社が読み比べました）。

拡大して見る

いつ決まるのか：決まったことと案を分けて読む

11月4日の確認時点で、施行日は公表されていません。10月7日の注意喚起は、見直しの内容の確定を「来年4月」（2027年4月）の予定と書いていました。10月29日に公表された概要は、当初は令和9年4月の施行としていたが、施行を可能な限り前倒すことにした、と書いています。

拡大して見る

後のほうの文書が新しい情報です。意見募集の締切は2026年11月27日（金）で、意見募集要領は、最終的な内容は本案から変更される可能性があるとしています。意見は、e-Gov、郵送、電子メールで出せます。対象は案の改正内容で、個別の回答はないとされています。

措置と手法の例示の違い：義務なのはどこまでか

ガイドライン別添は2層でできています。「講じなければならない措置」は、従わなかった場合に法違反と判断される可能性があります。「手法の例示」は例で、必ずしも全てを講じなければ法違反と判断されるものではなく、適切な手法は例示に限られません（注意喚起）。

たとえるなら、措置は「戸締まりをする」という決まりで、手法の例示は、補助錠、防犯カメラ、警備会社といった方法のようなものです。どこまで備えるかは、守るものの大きさで決まります。

拡大して見る

ガイドラインは、中小規模事業者も、その他の事業者と同様に法第23条の措置を講じなければならないとしています。そのうえで、中小規模の欄を「円滑にその義務を履行し得る手法の例」と位置づけ、一般の欄の手法も採用することは、より望ましい対応だとしています。

中小規模事業者は、現行のガイドラインでは、従業員100人以下の個人情報取扱事業者です。ただし、本人の数が過去6か月以内のいずれかの日に5,000を超える事業者と、委託を受けて個人データを取り扱う事業者は含まれません。意見募集の更新案も、同じ定義を載せています。

5つの措置を、中小規模の欄で点検する

表1は、見直し案の中小規模の欄を、原文の範囲で言い換えたものです。現行のガイドラインと突き合わせると、(1)(3)(4)は同じ文言で、(2)は「個人情報データベース等」が「個人データ」に変わるだけでした（当社が読み比べました）。

表1　見直し案の中小規模の欄（言い換え）

拡大して見る

① アクセス制御：誰が、どの機器で個人データに触れるか

中小規模の欄は、個人データを扱える機器と、その機器を扱う従業者を決めておくことです。一般の欄には、人事異動や退職のときの権限の変更、特権アカウント（管理者の強い権限を持つアカウント）を使う人・端末・場面の限定、権限の棚卸しがあります。

自社で見る点（当社の整理）は、個人データを入れた機器と使う人の一覧があるか、退職者や異動者の権限を外した記録があるか、です。人の異動を知る総務と、機器を見る情報システム担当が組んで見ます。

② 識別と認証：使う人が本人かを確かめる

中小規模の欄は、機器に標準で付いているユーザー管理の機能で、従業者を識別・認証することです。たとえるなら、識別は名札で誰かを見分けること、認証は鍵や暗証で本人だと確かめることです。

多要素認証（パスワードに加え、スマートフォンでの承認など別の方法を組み合わせる認証）は、一般の欄の例です。委員会の資料は、導入の対象を、組織外からのアクセス、管理者権限でのアクセス、重要な個人データへのアクセスに限った例として示しています。理由は、利用者の手間と管理側の費用が増えるためとされています。

自社で見る点（当社の整理）は、IDが1人ずつ別で共用になっていないか、です。社外から入る口と管理者のIDは、多要素認証を検討する候補になります。パスワードの扱いは、パスワード管理の記事にあります。

③ 外部からの不正アクセス等の防止：更新とセキュリティ対策ソフト

中小規模の欄は2つです。OSを最新の状態に保つこと、セキュリティ対策ソフトを入れて自動更新で最新にすること。一般の欄には、ファイアウォール、許可していないソフトの導入防止、組織が許可したデバイスからのみの接続などがあります。

10月29日の更新案では、更新の例に「VPN機器」の語が入っています（10月7日の別紙は「端末及びサーバー等」でした）。委員会のWARNING（令和8年10月7日改訂）は、社内だけで使うからと、サポート期限が切れた機器を使い続けた事例も挙げています。

自社で見る点（当社の整理）は、OSのサポート期限と、ルーターやVPN機器の更新担当です。更新の優先順位は脆弱性まとめの記事、Windows 10の期限は拡張セキュリティ更新の記事にあります。

④ 情報システムの使用に伴う漏えい等の防止：メールとクラウド

中小規模の欄は、メール等で個人データを含むファイルを送るとき、そのファイルにパスワードを設定することです。一般の欄には、通信の暗号化（SSL/TLS、S/MIME）、テストデータに使う個人データを必要最小限にすること、クラウド上のデータを消すときの方法（提供事業者の方法、暗号化消去）があります。

自社で見る点（当社の整理）は、添付ファイルのパスワードを誰が・どの場合に設定し、どの手段で伝えるかの決まりです。自社サイトの入力画面が暗号化通信か、クラウドのデータの消し方は、制作・保守の委託先や提供元に確認します。

⑤ 不正アクセス等の検知等：ログを残し、気づける状態にする

(5)は、不正アクセスが起きたときに早く気づく措置を、平時から講じることを求める案です。委員会事務局の資料は、現行にあった「ログの定期的な分析による検知」などの例を再構成したもので、新たな規律を設けるものではないと説明しています。一方、説明資料は、検知等を「講じなければならない措置」として課しても過度ではないと判断した、とも書いています。

中小規模の欄は、ログを一定の期間保管することです。この欄に期間の数字は書かれていません。委員会は、ログがないために原因が分からず、再発防止を検討できない事例があると説明しています。

一般の欄には、ログの保護と定期的な分析、IDS/IPS（ネットワークやサーバーへの不正アクセスを監視・防御する仕組み）やEDR（パソコンやサーバーを監視し、不正アクセスを検知・調査する仕組み）の導入、被害が広がらないよう侵害された機器を止めて隔離する対応があります。

自社で見る点（当社の整理）は、ログが残る機器とサービス、残る期間を、保守業者やクラウドの提供元に聞くことです。たとえるなら、ログは建物の入退室記録のようなものです。保管期間の考え方はランサムウェアの記事にあります。表2に、一般の欄にあって中小規模の欄にない主な例を、措置ごとにまとめました。

表2　一般の欄にあり、中小規模の欄にない例

1枚のチェック表：自社で点検する欄

委員会が公表している中小企業向けの自己点検チェックリスト（PDFの作成日は2022年3月）は、技術的安全管理措置が(1)〜(4)の4項目で、(5)はありません。表3は、見直し案に合わせた当社の整理です。結果は、○＝できている、△＝一部、×＝未着手で書き込みます。

表3の①の退職・異動の権限と、②の多要素認証の検討は、一般の欄の例をもとに当社が足した項目で、中小規模の欄の6項目そのものではありません。

表3　点検表（当社の整理）

専任の担当者がいない会社は、経営者が窓口になり、保守業者やクラウドの提供元に聞く項目（③と⑤）から進めます（当社の整理）。

×と△は、経営者が優先順を決めると進めやすくなります。法律の細部は、委員会の個人情報保護法相談ダイヤル（03-6457-9849）や専門家に確かめると確実です。受付時間は委員会のページで確認します。

あわせて見ておくこと

• 技術以外の柱：注意喚起は、技術的安全管理措置のほかに、規律の整備、組織的・人的・物理的な安全管理措置、外的環境の把握があると書いています。10月29日の更新案は、組織的・人的・物理的な措置の例示にも追記を含みます。この記事は技術の部分だけを扱います。
• 不要な個人データの消去：注意喚起は、法第22条に基づく消去も改めて呼びかけています。漏えい等がより深刻化した事例に接しているためです。報告の期限と初動とあわせて、漏えい報告の記事にあります。
• 委託先：WARNINGは、システム保守の委託契約に脆弱性対応が含まれていなかった事例を挙げ、対策例として、保守の委託契約にセキュリティ対策を含めることを示しています。見方はベンダー審査の記事にあります。
• 技術の相談先：サイバーセキュリティ全般の相談窓口は、特別相談窓口の記事にあります。

最初にやる3つ

拡大して見る

1. 個人データを入れた機器と、使う人の一覧を作る（①）。
2. OSのサポート期限と、セキュリティ対策ソフトの自動更新を確認する（③）。
3. ログの保管期間を、保守業者とクラウドの提供元に聞く（⑤）。

②の認証と④のメールは、そのあとにチェック表で点検します。

確認できなかったこと

公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。

• 施行日の具体的な日付は、意見募集の資料に見つけられませんでした。概要は施行を可能な限り前倒すとだけ書いています。告示案の凡例には、条番号の基準日として「令和9年○月○日」と日付が空欄の記載があります。
• 10月7日の第371回委員会の議事概要は、11月4日の確認時点で、委員会の開催状況のページに載っていませんでした。
• WARNINGは10月7日に改訂されましたが、改訂前からの変更点の一覧は確認していません。

個別の会社が個人情報取扱事業者や中小規模事業者に当たるか、措置が足りているかは、この記事では判断できません。「5つ点検」の表は当社の整理で、委員会が示すものではありません。

よくある質問

従業員が数人の会社でも、関係がありますか。

法第23条の安全管理措置は、個人情報取扱事業者のすべてに及びます。ガイドラインによると、個人情報データベース等を事業に使っていれば、本人の数にかかわらず個人情報取扱事業者に当たります。注意喚起が特に呼びかけているのは大量の個人情報を持つ事業者などですが、数人の会社も措置の対象です。

多要素認証やEDRを入れないと、法違反になりますか。

委員会は、手法の例示は必ずしも全てを講じなければ法違反と判断されるものではなく、適切な手法は例示に限られないと書いています。多要素認証もEDRも一般の欄の例で、中小規模の欄にはありません。ただし措置そのものは講じる必要があり、個別の判断は委員会や専門家に確かめると確実です。

いつから適用されますか。

11月4日の確認時点で、施行日は公表されていません。10月7日の注意喚起は確定を2027年4月の予定（原文は「来年4月」）と書き、10月29日の概要は施行を可能な限り前倒すと書いています。意見募集は11月27日が締切です。

「中小規模事業者」に当たるのは、どんな会社ですか。

現行のガイドラインは、従業員が100人以下の個人情報取扱事業者としています。ただし、本人の数が過去6か月以内のいずれかの日に5,000を超える事業者と、委託を受けて個人データを取り扱う事業者は除かれます。

事故が起きたら、何から始めますか。

この記事は事故の前の点検です。報告の期限と最初の動きは、当社の漏えい報告の記事にあります。

まとめ

技術的安全管理措置は、現行の4つが、見直し案では「検知等」を加えた5つになります。中小規模の欄の6項目を表3で点検します。最初の3つは、機器と使う人の一覧、OSの期限と自動更新、ログの保管期間です。

参照元・出典

• 個人情報保護委員会：大規模な漏えい等事案を踏まえた対応について（注意喚起）（令和8年10月7日）、WARNING（令和8年10月7日改訂）
• 意見募集：e-Gov パブリック・コメント（案件番号240000133）、第374回個人情報保護委員会（資料）、第369回個人情報保護委員会
• 現行のガイドラインと点検の道具：ガイドライン（通則編）、自己点検チェックリスト（中小企業向け）

本記事は 2026年11月4日 22時の確認時点のものです。