個⼈情報管理の重要性
2022年12月12日

⼀般財団法⼈⽇本情報経済社会推進協会
プライバシーマーク推進センター

⽬次
１．個⼈情報の管理はなぜ必要︖
 はじめに

 個⼈情報の取扱いに関する事故の傾向
 個⼈情報の取扱いに関する事故の影響
 個⼈情報を適切に取り扱うために

２．当社の個⼈情報取扱いルールについて
 個⼈情報保護⽅針

 個⼈情報保護の体制

 個⼈情報保護に関する規程
 緊急事態への対応

３．まとめ

Copyright © 2022 JIPDEC All Rights Reserved.

2

1. 個⼈情報の管理はなぜ必要︖

Copyright © 2022 JIPDEC All Rights Reserved.

3

 はじめに

Copyright © 2022 JIPDEC All Rights Reserved.

4

はじめに
お客様に安⼼・信頼して取引を続けていただく

個⼈情報を活⽤して⾃社のサービスを拡充する

⾃社事業の継続・発展、社会的な信頼の獲得
したがって・・・
個⼈情報の漏えい等の事故は⼤きな社会問題に︕
Copyright © 2022 JIPDEC All Rights Reserved.

5頻発する個⼈情報の漏えい等の事故
 巧妙化、⾼度化するサイバー攻撃
 ヒューマンエラーによる事故
 データの誤⼊⼒、誤操作

 置き忘れ、盗難による紛失など

 内部（関係者）による不正⾏為
 委託先からの漏えい等など

緊急事態が発⽣したらどうしよう

どの企業にも起こりうる・・・

100%防ぐのは難しい・・・

Copyright © 2022 JIPDEC All Rights Reserved.

6 個⼈情報の取扱いに関する事故の傾向

 JIPDEC公表の統計資料
2021年度「個⼈情報の取扱いにおける事故報告集計結果」より

Copyright © 2022 JIPDEC All Rights Reserved.

7

2021年度の事故報告概要
 発⽣件数別の傾向

 報告事業者数（1,045社）、報告件数（3,048件）ともに2020年度から増加。
 「誤送付」（1,938件︓63.6％）が最も多く、次に「その他漏えい」（570件︓18.7%）の順。
 「誤送付」のうち、「メール誤送信」（1,128件︓37.0%）が最も多く、2020年度から約1.5倍に⼤きく増加。
 「その他漏えい」のうち、「プログラム/システム設計・作業ミス 」、「不正アクセス・不正ログイン」は2020年度から約２倍に⼤きく増加。

 2021年度の報告傾向

 2020年度に続き新型コロナウイルス感染症対策のための「テレワーク実施」や「新たなコミュニケーションツールの利⽤」などの業務環境の変化による影響が⾒られる。
Copyright © 2022 JIPDEC All Rights Reserved.

8

発⽣件数別の傾向（１）

原因別事故報告の状況

メール誤送信の割合が最も多い

その他 142件
盗難 18件FAX 124件

4.7%

4.1%

0.6%

封⼊ミス 333件

37.0%

10.9%

紛失 380件
12.5%

メール 1,128件

誤送付 1,938件
63.6%
宛名間違い等

その他漏えい353件 11.6%

570件 18.7%

出典︓（2021年度）「個⼈情報の取扱いにおける事故報告集計結果」
Copyright © 2022 JIPDEC All Rights Reserved.

9発⽣件数別の傾向（２）「誤送付」の内訳推移
1200

1,128

過去5か年で最も多い

1000
764

800
636
600
400

300

346

400
314

353

329

305

329

323

586 590333
125 108 136 110 124

200
0

宛名間違い等
2017年度

封⼊ミス
2018年度メ ール誤送信2019年度

2020年度

ＦＡＸ誤送信2021年度

テレワークの実施、メッセージアプリなど新たなコミュニケーションツールの利⽤などにより、メール誤送信は増加。
業務環境や⼿順が変化したときには、注意が必要。
出典︓（2021年度）「個⼈情報の取扱いにおける事故報告集計結果」
Copyright © 2022 JIPDEC All Rights Reserved.

10発⽣件数別の傾向（３）「その他漏えい」の内訳推移

2020年度から300約2.5倍

2502502020年度から

185

200

約2.3倍

150

125

5550619205
191
138

150

102

83

100

482966385435 31

4837 38

7・作業ミス等関係者事務処理

⼝頭での漏えい2018年度不正アクセス・2017年度

不正ログインプログラム シ ス テ ム/設計・作業ミス

ウイルス感染0232

2019年度

2020年度

2021年「プログラム/システム設計・作業ミス」と「不正アクセス・不正ログイン」はそれぞれ2020年度から⼤幅に増加した。
出典︓（2021年度）「個⼈情報の取扱いにおける事故報告集計結果」
Copyright © 2022 JIPDEC All Rights Reserved.

11事故の発⽣傾向
 継続して発⽣している事例がある⼀⽅、「社会環境」「働き⽅」などの進化・変化に伴い、「発⽣事象」「事故の原因」にも変化が⾒られる。

 特に注意したい事故事例

メッセージアプリ・SNSにおける誤送信
2. 業務環境変化に伴う体制構築・⼿順策定の不備
3. Emotet（エモテット）感染
4. ソフトウェアの脆弱性を突いた不正アクセス
1.

Copyright © 2022 JIPDEC All Rights Reserved.

12特に注意したい事故事例（１）1.

メッセージアプリ・SNSにおける誤送信

A社は、採⽤活動において、求職者との連絡および電⼦ファイルのやり取りにスマートフォン⽤メッセージアプリの利⽤を始めた。
求職者Cへ採⽤通知を送信する際、操作に不慣れな担当者Bが誤って同じ姓の求職者Dに採⽤通知を送信してしまった。
メッセージアプリ

求職者Cに送付するはずが…

求職者C
同
姓

A社 従業者B

採⽤通知書【求職者C】

Copyright © 2022 JIPDEC All Rights Reserved.

求職者D

13

特に注意したい事故事例（１）
発⽣原因


担当者の送信先の選択ミス（⽒名の姓のみで判断してしまった）。

＜その他の要因＞
新ツール利⽤開始後間もない時期

 ルールの理解度や⽇々の利⽤による習熟度が上がらないとミスを起こしやすい。



リスクに対する認識 メッセージアプリの利⽤は近年急速に普及。業務で取扱う情報の重要度を考慮せず、プライベートでの利⽤に近い感覚で利⽤してしまう恐れがある。
注意すべきこと

 新たなツールを利⽤する際、業務⼿順が変更になった際は必ず社内のルールや⼿順を確認し、遵守しましょう。
 業務においてメッセージアプリを利⽤する際は、取扱う情報の重要度を認識し、⼗分に留意した上で利⽤するようにしましょう。
Copyright © 2022 JIPDEC All Rights Reserved.

14特に注意したい事故事例（２）2. 業務環境変化に伴う体制構築・⼿順策定の不備

新型コロナウイルス感染症拡⼤前は、外部へのメール送信時のルールとして、出社している社員でダブルチェックを実施していたが、感染拡⼤後、テレワークが導⼊されたことでダブルチェックができず、別の事業者にメールを誤送信してしまった。

確認
テレワーク導⼊後

Copyright © 2022 JIPDEC All Rights Reserved.

15特に注意したい事故事例（２）
発⽣原因

担当者の送信先の選択ミス。

＜その他の要因＞
業務環境の変化

 新型コロナウイルス感染症の影響により、出社⼈数が制限されたオフィスや店舗で、複数⼈での送信前のダブルチェックが難しくなった。

⼿順策定の不備

 業務変化に伴うルールの整備が不⼗分であった。

注意すべきこと

 業務環境が変わり、ルールや作業⼿順が変更になっていることがあります。テレワークをする際は必ず最新の社内ルールや⼿順書を確認し、遵守しましょう。
 業務環境が変化しても、⽇々の業務において「事故防⽌の意識」をもちましょう。
Copyright © 2022 JIPDEC All Rights Reserved.

16特に注意したい事故事例（３）3. Emotet感染

A社の従業者Bが⾃宅にてテレワークを実施。社内承認を受けた私⽤PCにて業務を⾏っていたところ不審なメールを開きEmotetに感染した。
 私⽤PCを業務で使⽤ 休⽇は同PCでオンラインショッピングを頻繁に⾏う クレジットカード情報をwebブラウザに保存

zipファイル▼メール
添付 ショートカットファイル（LNK）従業者B
ショートカットファイル
を開くと…

取引先担当者Cを名乗る攻撃者

Emotetに感染
Copyright © 2022 JIPDEC All Rights Reserved.

17特に注意したい事故事例（３）
発⽣原因


従業者が不⽤意に攻撃メールを閲覧し、不正ファイルを開いてしまった。

＜その他の要因＞


従業者への教育 添付ファイルを開く上で確認すべきポイントや不審なメールを受信した際の対処⽅法の周知が⼗分に⾏われていなかったことが想定される。
注意すべきこと

 Emotetの攻撃⼿法は、主にメールです。
• ⾝に覚えのないメールの添付ファイルは開かない。
• メール本⽂中のURLリンクはクリックしない。
• OSやアプリケーション、セキュリティソフトを常に最新の状態にする。
 不審なメールへの対応ルールや、万⼀感染してしまった場合に備えて緊急事態への対応⼿順を確認しておきましょう。
 Emotetの攻撃は巧妙なため、関係各所が発出している注意喚起から攻撃の特徴を確認するなどして備えましょう。
Copyright © 2022 JIPDEC All Rights Reserved.

18

（参考）Emotetの被害状況

引⽤元︓JPCERTコーディネーションセンター
JPCERT/CC インシデント報告対応レポート［2022年4⽉1⽇〜2022年6⽉30⽇］
https://www.jpcert.or.jp/pr/2022/IR_Report2022Q1.pdf

2021年11⽉から攻撃活動が再開し多くの被害が発⽣。その攻撃⼿法も多様化。
2022年7⽉中旬よりEmotetの感染に⾄るメールは国内では観測されていなかったが、2022年11⽉より再開したことが観測され、被害が発⽣している。
Copyright © 2022 JIPDEC All Rights Reserved.

19特に注意したい事故事例（４）4. ソフトウェアの脆弱性を突いた不正アクセス

A社はECサイトを構築・運⽤を開始したところ、サイトの脆弱性をついた不正アクセスを受け、利⽤者のクレジットカード情報が盗み出されてしまった。
 決済代⾏サービス利⽤のため、クレジットカード情報は⾮保持
 ⾃社で保守・運⽤を実施
 定期的な脆弱性診断等は未実施

脆弱性をついた不正アクセス

不正プログラムによって攻撃者に送信

攻撃者

ECサイト

クレジットカード情報を⼊⼒
オンライン決済

利⽤者

Copyright © 2022 JIPDEC All Rights Reserved.

20特に注意したい事故事例（４）
発⽣原因

ECサイトにおける脆弱性への対応が⼗分に実施されていなかった。
 決済代⾏会社を利⽤しており⾃社のシステム内ではクレジットカード情報を保持しないため、クレジットカード情報の漏えいはないと安⼼していた。
注意すべきこと クレジットカード情報を狙ったwebサイトへの不正アクセスの攻撃⼿法は⽇々変化しています。
サイトの脆弱性、セキュリティ対策を定期的に確認するようにしましょう。
システム担当者に任せきりにするのではなく、⽇頃から最新の攻撃⼿法やセキュリティ情報の収集、知識習得に努めましょう。
 サイト構築・運⽤を外部委託する場合は、必要なセキュリティ対策が実施されるよう具体的に指⽰し、実施状況を定期的に確認しましょう。
Copyright © 2022 JIPDEC All Rights Reserved.

21

 個⼈情報の取扱いに関する事故の影響

Copyright © 2022 JIPDEC All Rights Reserved.

22個⼈情報の事故を起こしてしまうと・・・ お客様は・・・ もうこの会社を利⽤するのはやめよう。

 信頼して預けたのに、悪⽤されたらどうしよう。

 私の情報も漏えいしたかもしれない。⼼配・・・。

 取引先は・・・ 今後、継続的な取引は⾒直した⽅がいいだろうか︖
 取引への対応が遅れて困る。

 ⾃社は・・・

 問合せが殺到、⼤変だ。

 原因は何︖影響は︖何をすれば︖

 これまで築いてきた信頼は・・・。
 苦情の対応に苦慮・・・。

Copyright © 2022 JIPDEC All Rights Reserved.

23個⼈情報の取扱いに関する事故の影響
信頼の損失
社会的な信⽤の失墜
信頼の失墜

経済的な損失事業継続へのダメー•顧客や取引先の信⽤を•再発防⽌策への投資ジ失う•本⼈への補償•株価の下落•企業ブランドのイメー•業務の停⽌（営業機会•取引の減少の損失）

取引の•経営状況の悪化
減少

ジダウン
信頼の失墜

•信⽤回復のための投資

最悪の場合、事業終了も・・・
Copyright © 2022 JIPDEC All Rights Reserved.

24個⼈情報の取扱いに関する事故の影響（事例）
事例１︓ウイルス感染で数⽇間業務が停⽌し、数千万円の被害が発⽣（所在地︓東京都／業種︓情報通信業／従業員規模︓101 〜 300 名）
社内のパソコンやサーバーがウイルスに感染し、数⽇間に亘った業務停⽌に⾄る障害が発⽣した。復旧のために徹夜で対応したが、その間の会社としての被害額は推計で数千万円に上る。
原因は、被害が発⽣するまで、セキュリティ対策ソフトを全く導⼊していなかったことである。
その後、ウイルス対策ソフトや技術的な対策の導⼊、情報セキュリティ規則の制定、プライバシーマークやISMS 認証取得に取り組み、再発防⽌に努めている。

出典︓独⽴⾏政法⼈情報処理推進機構（IPA）「中⼩企業の情報セキュリティ対策ガイドライン第3版」

事例２︓テレワーク端末の踏み台化

2020年5⽉、リモートアクセスを利⽤した個⼈所有端末から正規のアカウントとパスワードが盗まれ、オフィスネットワークに不正アクセスされた案件が発⽣。仮想デスクトップ（VDI）によるリモートアクセスシステムを利⽤していたものの、個⼈所有端末⾃体が攻撃者の踏み台として乗っ取られていたために、VDIサーバ経由で⾃組織内のファイルサーバを閲覧されたおそれがあり、180社以上の顧客に影響が出るおそれがあると発表。

出典︓総務省「テレワークセキュリティガイドライン（第5版）」

個⼈情報漏えいインシデント︓⼀⼈当たり平均損害賠償額 2万8,308円（3か年平均）

出典︓NPO⽇本ネットワークセキュリティ協会（JNSA）「インシデント損害額調査レポート 2021年版」

個⼈情報保護委員会公表の「EC サイトへの不正アクセスに関する実態調査」
では、漏えい等事案の発⽣により⽣じた損失の調査結果がでています。
Copyright © 2022 JIPDEC All Rights Reserved.

25個⼈情報の取扱いに関する事故の影響(まとめ)⾮常に⼤きな損失が発⽣影響の⻑期化• 本⼈へのお詫びや補償以外にも、社会的説明責任を果たすには様々な対応が必要• 被害規模の拡⼤• 漏えいした情報の回収が困難• ⼀度失った信頼の回復が困難

⼀瞬の事故が⼤きな問題に。
では、どうしたら・・・︖
Copyright © 2022 JIPDEC All Rights Reserved.

26

 個⼈情報を適切に取り扱うために
 個⼈情報取扱いルールの運⽤

Copyright © 2022 JIPDEC All Rights Reserved.

27

ルールを定め、理解し守ること
事故を起こさない事故が発⽣した場合の影響（未然防⽌）を最⼩限に抑える

事故を起こさないための早期発⾒、緊急時対応の体制・対策のルール化

ルール化や対策の実施

従業者は従業者は定められたルールを事故発覚・発⾒時に理解し、守るルールに従って⾏動する

Copyright © 2022 JIPDEC All Rights Reserved.

28

個⼈情報保護リスク対策の⾒直し 個⼈情報の取扱いのPDCAサイクル

ルールは適宜⾒直し、必要に応じて改善することが重要です。

リスク対策の⾒直しルールの⾒直し運⽤状況の確認、対策の有効性のレビュー

ＡｃｔPlan(改善)(計画)

CheckDo

(点検)

(実施)

最新のリスク対策の策定

従業者はルールに従った運⽤
Copyright © 2022 JIPDEC All Rights Reserved.

29

万が⼀事故を起こしてしまったら
 重要なことは迅速な対応と再発防⽌の徹底

迅速な対応• 緊急時対応のルールに従い迅速かつ適切な対応
早期の信頼回復再発防⽌の徹底• 適正な改善策、再発防⽌策の策
定と実施を徹底
保護⽔準のさらなる向上
Copyright © 2022 JIPDEC All Rights Reserved.

30

2. 当社の個⼈情報取扱い
ルールについてCopyright © 2022 JIPDEC All Rights Reserved.

31個⼈情報保護の体制

Copyright © 2022 JIPDEC All Rights Reserved.

32個⼈情報保護に関する規程

Copyright © 2022 JIPDEC All Rights Reserved.

33

緊急事態への対応

Copyright © 2022 JIPDEC All Rights Reserved.

34

３．まとめCopyright © 2022 JIPDEC All Rights Reserved.

35

まとめ

Copyright © 2022 JIPDEC All Rights Reserved.

36

（参考）プライバシーマーク制度における事故とは
 「プライバシーマーク付与に関する規約」（PMK500）
 “個⼈情報の外部への漏えいその他本⼈の権利利益の侵害（以下「事故等」という）”

①漏えい

②紛失

③滅失・き損④改ざん、正確性の未確保 ⑤不正・不適正取得⑥⽬的外利⽤・提供⑦不正利⽤⑨上記①〜⑧のおそれ⑧開⽰等の求め等の拒否

Copyright © 2022 JIPDEC All Rights Reserved.

37

参考情報
 プライバシーマーク制度サイト(https://privacymark.jp/)
 プライバシーマーク制度

運営要領
https://privacymark.jp/system/guideline/procedure.
html
 参考情報＞個⼈情報の取扱いにおける事故報告集計結果
https://privacymark.jp/system/reference/index.html
 制度案内＞個⼈情報の取扱いに関する事故の報告について
https://privacymark.jp/system/accident/index.html

Copyright © 2022 JIPDEC All Rights Reserved.

38