個人情報保護委員会が安全管理の新水準を示す：意見募集は11月27日まで、多要素認証が例示に

個人情報の漏えいが相次ぐなか、個人情報保護委員会が企業に求める安全管理の水準を示す文書の見直しを進めています。改正案は2026年10月29日から意見募集が始まっており、締め切りは11月27日です。今回の改正案で注目されているのは、多要素認証やIDとパスワードの使い回しの原則禁止などが「手法の例示」に加わる点です。ここでは、報道されている内容をもとに、何が変わろうとしているのか、企業と個人がそれぞれ何を確認すればよいのかを整理します。

意見募集はいま何が起きているのか

個人情報保護委員会は、2026年10月28日の委員会で、企業などが個人データを守るために講じる「安全管理措置」に関するガイドラインの改正案をまとめたと報じられています。対象となっているのは、ガイドラインに載っている「手法の例示」の部分です。意見募集は10月29日から11月27日まで行われています。

背景には、大規模な個人情報の漏えいが続いていることがあります。報道によると、10月前半だけで漏えいなどの報告は830件にのぼり、延べ約2億6000万人分が漏れた恐れがあるとされています。数字の受け止め方には注意が必要ですが、件数と規模の両面で対策の見直しが急がれている状況は伝わってきます。

施行の時期についても動きがあります。当初は2027年4月とされていた施行を、可能な限り前倒しする方針だと報じられています。つまり、来年4月まで待てばよいという話ではなく、できる対策から早めに進める姿勢が求められていると読めます。

新しい「手法の例示」の中身

今回の改正案で例示に加わるとされている内容は、大きく分けると次のようなものです。

まず、ユーザーIDとパスワードの使い回しの原則禁止です。同じIDを使い回さないことや、似たパスワードの使い回しを制限すること、最低文字数を設定すること、一定回数以上ログインに失敗したIDへの対応などが挙げられています。パスワードだけに頼らない運用へ進むための基本です。

次に、多要素認証の導入です。組織の外からのアクセスや、管理者権限でのアクセス、重要な個人データへのアクセスでは、フィッシングに耐性のあるものを含む多要素認証を導入することが例として示されています。パスワードが漏れても、それだけでは入られない仕組みにすることが狙いです。

さらに、管理者権限を持つ「特権アカウント」の限定も挙げられています。強い権限を持つアカウントは、使う人や場面を絞ることが大切です。権限が広がりすぎると、ひとつのアカウントが奪われたときの被害も大きくなります。

最後に、侵入されたあとの被害拡大の防止です。ログの保管と分析や、常時監視の仕組み、侵害を受けたシステムの停止や隔離、アカウントの無効化などが例示されています。侵入を完全になくすことは難しいからこそ、早く見つけて広げない体制が重視されています。

「講じなければならない措置」と「例示」の違い

ここで押さえておきたいのは、法律上の位置づけの違いです。個人情報保護法第23条は、個人情報を扱う事業者に対して、漏えいや滅失、毀損の防止などのために必要かつ適切な安全管理措置を講じるよう義務づけています。これ自体は新しい義務ではありません。

一方、今回見直されている「手法の例示」は、その措置を講じるためのやり方の例です。例示に載っている方法をすべて採用しなければ直ちに違反になる、という意味ではないと説明されています。ただし、例示は今後の「普通の水準」を示す目安になります。何もしないままでは、万が一のときに「必要な措置を講じていなかった」と判断されるおそれがあります。例示を点検表として使い、自社の状況に合わせて取り入れることが現実的な対応です。

なお、委員会は2026年10月7日にも、大規模な漏えい事案を踏まえた注意喚起を公表しています。今回の改正案は、その注意喚起で先取りして示された内容を、ガイドラインの見直しとして正式に進める流れにあります。10月の注意喚起と11月の意見募集は、同じ方向を向いた一連の動きとして理解できます。

企業がまず見直したいポイント

企業や団体がまず確認したいのは、次の5点です。どれも特別な製品を買わなければ始められないものばかりではありません。

第一に、IDとパスワードの運用です。使い回しがないか、退職者や異動者のアカウントが残っていないか、共有アカウントがないかを確認します。共有アカウントは、誰がいつ使ったのかを追うことが難しくなります。

第二に、管理者権限の棚卸しです。特権アカウントを持つ人を最小限にし、ふだんの業務では強い権限を使わない運用に切り替えます。権限の見直しは、費用をかけずに始められる対策のひとつです。

第三に、多要素認証の対象範囲です。組織の外からつなぐ場合や、管理者として操作する場合、重要な個人データに触れる場合から優先して導入します。すべての場面を一度に変えるのが難しい場合は、影響の大きい場面から順に広げます。

第四に、ログの保管と点検です。認証やアクセス、操作の記録を一定期間保管し、定期的に確認する体制を作ります。記録が残っていなければ、漏えいが起きたあとに何が起きたのかを調べることができません。

第五に、委託先の確認です。業務を外部に委託している場合、委託先の安全管理も含めて点検します。委託先で起きた問題が、自社の顧客や従業員に影響することは珍しくありません。契約内容と実際の運用の両方を確認することが大切です。

個人としてできる備え

今回の見直しは主に事業者に向けたものですが、個人の側でもできる備えがあります。パスワードの使い回しをやめることは、その第一歩です。サービスごとに異なるパスワードを使うことが難しければ、パスワード管理アプリを使う方法もあります。

多要素認証を使えるサービスでは、できるだけ有効にしておきます。とくに、メールやクラウド、金融関係のサービスは、ほかのサービスの入り口になることが多いため優先度が高いです。認証アプリやセキュリティキーなど、フィッシングに強い方法が選べる場合は、そちらを選ぶと安心です。

不審なメールやメッセージが届いたときは、リンクをすぐ開かず、公式のアプリやサイトから確認する習慣も役立ちます。漏えいのニュースが続く時期は、それに便乗した偽の連絡が増えることがあります。慌てて操作しないことが、自分を守る力になります。

注意したい誤解

報道を読むときに注意したい誤解がふたつあります。ひとつは、意見募集の期間を「まだ決まっていないから何もしなくてよい期間」と受け取ることです。意見募集は制度を作る過程のひとつであり、施行の前倒しも報じられています。決まってから慌てるより、点検できる部分から進めるほうが安全です。

もうひとつは、新しい例示を「すべて導入しなければならない義務」と受け取ることです。例示はあくまで例であり、自社の規模や扱うデータの種類に合わせて選ぶものです。中小規模の事業者向けの例示も別に示されていると報じられており、身の丈に合った対策から始めることが大切です。重要なのは、例示の方向性を理解し、優先順位をつけて実行することです。

Frequently Asked Questions

意見募集はいつまでですか

報道によると、意見募集は2026年10月29日から11月27日までです。個人情報保護委員会が公表した改正案に対する意見を、この期間に送ることができます。期間の終わりが近づくと手続きが混み合うこともあるため、意見を送る予定がある場合は早めの確認が安心です。

多要素認証はすべての企業に義務づけられるのですか

今回見直されているのは「手法の例示」であり、例示のすべてが直ちに義務になるわけではないと説明されています。ただし、組織の外からのアクセスや管理者権限でのアクセス、重要な個人データへのアクセスでは、多要素認証の導入が例として示されています。今後の標準的な水準として受け止め、対象範囲から順に導入を検討することが現実的です。

個人情報の漏えいが起きたとき、個人は何に気をつければよいですか

まず、漏えいのお知らせが本物かどうかを、公式の発表や公式サイトで確認します。次に、同じパスワードを使い回しているサービスがあれば、パスワードを変更し、多要素認証を有効にします。身に覚えのない請求や連絡があった場合は、すぐに利用しているサービスの窓口や消費生活センターなどに相談することが大切です。