研究会報告
ＣＩＡフォーラム研究会報告

個人情報保護法に基づく安全管理措置に関する企業の責任と内部監査の手法及び留意点
研究会No.ａ13（グローバル・リーガル・リスクマネジメント研究会）

ＣＩＡフォーラムは、ＣＩＡ資格保持者の研鑽及び相互交流を目的に活動する、一般社団法人日本内部監査協会（ＩＩＡ－ＪＡＰＡＮ）の特別研究会である。各研究会は、担当の座長が責任をもって自主的に運営し、研究期間、目的成果を設定し、研究成果を発信している。
当研究報告書は、ＣＩＡフォーラム研究会No.ａ13が、その活動成果としてとりまとめたものである。報告書に記載された意見やコメントは、研究会の「見解」であり協会の見解を代表するものではなく、協会がこれを保証・賛成・推奨等するものでもない。

第１

はじめに扱事業者に該当する株式会社を想定して論じ、当該株式会社を単に「企業」と呼称する。

当研究会は、国内外の事業を問わず、企業の存続に重大な影響を与える法的リスク事項、及び、当該リスク対応について研究を行うために設置された研究会である。当研究会
では、企業の内部監査人及び監査役や監査法第２ 安全管理措置に関する企業の責任
１

安全管理措置を講じる義務

人で勤務する公認会計士のみならず、公認内個人情報保護法23条は「個人情報取扱事業部監査人（ＣＩＡ）資格を持つ弁護士が複数者は、その取り扱う個人データの漏えい、滅メンバーとなっている。

失又は毀損の防止その他の個人データの安全本研究は、個人情報の保護に関する法律管理のために必要かつ適切な措置を講じなけ（以下「個人情報保護法」という。
）に基づきればならない。」と定め、企業が安全管理措個人情報取扱事業者が負う法的義務である個置を講じる義務を定めている。

人データの安全管理のための措置（以下「安安全管理措置の内容については、個人情報全管理措置」という。）を講じる義務に関し、保護委員会が制定する「個人情報の保護に関これに関する企業の責任、並びに、安全管理する法律についてのガイドライン（通則編）」

措置に関する内部監査の手法及び留意点につ（以下「ガイドライン」という。）において個いて、研究会メンバーが各々の経験も交えて人情報取扱事業者が講じるべき措置や当該措議論をした内容を報告書として取りまとめた置を実践するための手法の例が示されていものである。

る。ガイドラインが定める安全管理措置の項

以下では、個人情報保護法上の個人情報取月刊監査研究目については以下第３において述べる。

2023. 9（No.598）

49

研究会報告なお、個人データの取り扱いに関連して企業が潜在的に負うリスクは、企業の業種、規法人には１億円以下の罰金刑が科される可能性がある（同法184条１項１号）。

模、個人データの種類等に応じ様々であるし、各企業が講じるべき安全管理措置も決して一⑵

損害賠償責任律ではない。ガイドラインも「安全管理措置

企業の安全管理措置に不備があり、個人情を講ずるための具体的な手法については、個報の漏えい等が生じた場合、企業が個人情報人データが漏えい等をした場合に本人が被るの主体である個人に対して損害賠償責任を負権利利益の侵害の大きさを考慮し、事業の規いうる。損害賠償の金額は漏えい等がなされ模及び性質、個人データの取扱状況（取り扱た個人情報の性質や、２次被害（第三者がう個人データの性質及び量を含む。
）、個人デ漏えいした個人情報を用いて本人に接触するータを記録した媒体の性質等に起因するリス等）の有無等、個別の事情によって左右されクに応じて、必要かつ適切な内容とすべきもるが、１人あたりの損害賠償金額は数千円かのであるため、必ずしも次に掲げる例示の内ら数万円となる可能性が高い１。多数の個人容の全てを講じなければならないわけではな

情報が漏えいするようなケースでは、合計のく、また、適切な手法はこれらの例示の内容

損害賠償金額は多額になりうる。に限られない。」旨を述べている点に留意が⑶必要である。

レピュテーションの毀損

上記⑴の措置や⑵の賠償責任の有無にかか

２

安全管理措置に不備があった場合に企業が負うリスク

わらず、安全管理措置の不備が報道等によっ企業の安全管理措置に不備があった場合、が毀損される。特にクレジットカード情報等て公になった場合、企業のレピュテーションの支払に関する情報や機微な個人情報が漏え企業は以下のようなリスクを負う。

いした場合や、企業のサービスを利用するた⑴

個人情報保護法上の措置

めに個人による個人情報の入力が必要なＢ to

企業が安全管理措置を講じることなく、個Ｃ企業において個人情報の漏えいが生じた場

人情報保護法23条に違反した場合、当該企業合においては、企業の信用や事業価値が大きは個人情報保護法148条が定める個人情報保く毀損されることとなる。

護委員会による勧告・命令及び公表の対象と違反した場合、違反者には１年以下の懲役刑

安全管理措置の不備が問題になった実際の事例

又は100万円以下の罰金刑が科される可能性

企業や公共団体の安全管理措置の不備が問があり（同法178条）、法人の代表者又は法人題になった実際の事例としては、以下のよう若しくは人の代理人、使用人その他の従業者なものがある。

なり得る。個人情報保護委員会による命令に（個人情報保護法は、従業員だけでなく取締

３●

退職者が退職後も個人データのデータベ役や派遣社員を含めた「従業者」という概念ースにアクセスできる状態が維持され、を用いている）が、その法人又は人の業務にかつ特定のＰＣ以外からのアクセスを禁関して当該命令違反を行った場合には、当該止するアクセス制限が設定されていなか

１

特定非営利活動法人日本ネットワークセキュリティ協会発表の「インシデント損害額調査レポート 2021年版」によると、2016年から2018年までにおける１人あたり平均想定損害賠償額は２万8308円

50

月刊監査研究2023. 9（No.598）

研究会報告●●●った企業において、退職者がインターネ措置に関する内部監査を検討・実施する前ットカフェからシステムにアクセスしてに、その前提として、自社における安全管理故意に大量の個人データを取得した措置に関連するリスク評価を実施することが外部者が申込みを行うシステムにおい必要不可欠である。自社の業態及び規模、取て、複数人に同一の識別用ＩＤが付与さり扱っている個人データの種類・量、個人デれるというシステム設計のミスにより、ータをどのように取り扱っているかだけでな他人の個人データが閲覧できる仕様にな

く、外国の個人データを取り扱っているか、っていた外部委託をしているか等、自社の具体的な状

個人データの入った記憶媒体を従業員が況に基づき、自社の安全管理措置に不備があ

紛失し、その後も発見できなかった

った場合にリスク事象が生じうる頻度と自社従業員が操作するＰＣがフィッシングサへの影響の大きさを検討しなければならな

イトからマルウェアに感染したことによい。

り個人情報が流出した

２

メールを誤送信しメールアドレスが流出

●

した
●

安全管理措置の項目ごとの検討

下記表は、ガイドラインが定める安全管理受託先が委託時の取り決めに反してクラ措置の項目（「基本方針の策定」を除く）ごウドサーバーで個人データを管理していとに、①ガイドラインで例示されている主なた手法を記載した上で、②当研究会で議論を行い取りまとめた、当該項目の不備によって想第３ 安全管理措置に関する内部監査の手法及び留意点定される個人情報に関連するリスク事象、及１留意点を整理したものである。

び、③同じく当研究会で取りまとめた、当該項目に関し内部監査を実施する際の手法及び自社の状況に即したリスク評価の重要性監査資源が有限であることから、安全管理個人データの取扱いに係る規律の整備
安 全 管 理 措 ①ガイドラインで例示されて ②不備によって想定されるリ ③内部監査の手法及び留意点
置の項目

いる主な手法スク事象

個 人 デ ー タ ・個人データの取扱いの段階 ・責任者や担当者が不明にな ・規 程の存在の確認（マイナンバーを含め、取り扱ってるの取扱いにごとに取扱方法、責任者・係る規律の担当者及びその任務等につ ・以下の各安全管理措置が防いる個人データの種類に応整備いて定める個人データの取ごうとしているリスクが、じた規程があるか確認する）

扱規程を策定する

ルールの不存在によって生 ・規 程が法令、ガイドライン・具体的に定める事項についじてしまうと整合しているかの確認ては、以下に記述する各安 ・グループ内の企業間でルー ・事 業団体が制定している指全管理措置の内容を織り込

ルが統一されない針も参考にする
・グ ループ内の企業で規程をむ統一するか、整合性は保ちつつ各企業の実態に合わせた調整をするかも検討する

月刊監査研究2023. 9（No.598）

51

研究会報告組織的安全管理措置
安 全 管 理 措 ①ガイドラインで例示されて ②不備によって想定されるリ ③内部監査の手法及び留意点
置の項目

いる主な手法スク事象

組 織 体 制 の ・個人データの取扱いに関す ・役職員が個人データに対す ・関連する規程の有無の確認
整備る責任者の設置及び責任のる不適当なアクセス権限を ・規程の内容がガイドライン

明確化

持つ

・個人データを取り扱う従業 ・個人データの機密区分指定者及びその役割の明確化、を誤って設定してしまうに沿っているか、自社の過去事例や同業他社の事例に照らして不合理でないかの検証

当該従業者が取り扱う個人・規程に従った体制が取られデータの範囲の明確化ているかの確認

・問題事象を把握した場合の責任者への報告連絡体制
・個人データを複数の部署で取り扱う場合の各部署の役割分担及び責任の明確化

個 人 デ ー タ ・個人データの取扱いに係る ・個人データに関するインシ ・台帳の実査の取扱いに規律に従った運用を確保す

デントが発生した際にその ・自社の事業内容からみて当係る規律にるため、システムログその経緯や記録を確認できない

従った運用

他の個人データの取扱いに ・個人情報の本人からの開示係る記録の整備や業務日誌請求等に対応できない

然あるべきデータが保管されているかの確認
・廃棄の証票の確認（ミスだの作成等を通じて、個人デけではなく、ルール通りのータの取扱いの検証を可能

時期・範囲の廃棄を現場判とすること

断で意図的に行っていない事象に注意する）

個 人 デ ー タ ・個人情報データベースの種 ・役職員が個人情報について ・ガイドラインで列挙されていの取扱状況

類、データの項目、責任者、そもそも個人情報であるとる、個人情報データベースのを確認する

利用目的、アクセス権の範いう旨を認識しない

種類、データの項目責任者、利手段の整備

囲を明確にすることで個人 ・個人情報の目的外利用
データの取扱状況を把握す ・個人情報を直接取得する際に目的を明示しない

る・意図せず個人情報の第三者提供を行ってしまう

用目的、アクセス権の範囲の明確化がされているかの確認・台帳及びデータベースの項
目設定が本社主導で統一的に行われているか・項目が適切に入力・記入されているか

漏 え い 等 事 ・漏えい発生時に事実関係の ・インシデント発生時の社内 ・規程の有無
における情報把握の遅れ

・規程が法令及びガイドライ案に対応す

調査、本人への通知、個人る体制の整

情 報 保 護 委 員 会 等 へ の 報 ・インシデント発生時の報告

備

告、再発防止策の検討及びの不備、不適切な公表・公 ・自社の過去事例において、決定、公表等を行うための表遅れ及び対応の遅れンに沿っているか規程に従った処理ができていたか体制の整備

・ ストレステストやシミュレーションの実施有無及び結果の確認。実際の漏えい等事案では通報に時間がかかることが多いので、 通 報まで 含めて訓 練をすることが 望ましい52

月刊監査研究2023. 9（No.598）

研究会報告取 扱 状 況 の ・個人データの取扱状況につ ・ 問 題 改 善 の 機 会 を 持 て な ・自社チェック（ガイドライ
把握及び安いて、定期的に自ら行う点

い、法令アップデート対応

ンでいうところの「監査」
）

全管理措置

検又は他部署等による監査の機会を持てない、技術アのルールが作成されているを実施する

ップデート対応の機会を持の見直し

・外部の主体による監査活動てないかの確認
・自社チェックの実施状況の確認と合わせて、監査を実施する※ガイドラインにおける「監査」
は内部監査の趣旨ではない点に注意する

人的安全管理措置
安 全 管 理 措 ①ガイドラインで例示されて ②不備によって想定されるリ ③内部監査の手法及び留意点
置の項目

いる主な手法スク事象

従 業 者 の 教 ・定期的な研修等の実施
育・個人データについての秘密

・従業者のコンプライアンス ・教育実施のルールの確認
意識不足・法令知識の欠如

保持に関する事項を就業規 ・従業者の社内規程及びマニュアルの違反則等に盛り込む・従業者による不適切なソフト等の利用や不審なメール

・教育の実施記録、参加記録の確認
・社内規程における、個人情報に関する従業者の義務の存否の確認

添付ファイルを開いてしまう事象の発生

物理的安全管理措置
安 全 管 理 措 ①ガイドラインで例示されて ②不備によって想定されるリ ③内部監査の手法及び留意点
置の項目

いる主な手法スク事象

個 人 デ ー タ ・ＩＣカードやナンバーキー ・権限を持たない者の侵入・ ・入退室管理及び持ち込み機を取り扱う等による入退室管理、持ち持ち出し・改ざん、覗き込区域の管理

込み機器の制限、物理的なみによる情報取得

器に関するルールの有無
・入退室管理実態の確認（Ｉ配 置（ 覗 き 込 み 防 止 を 含 ※個人情報を紙の台帳で管理しＣカードやキーの管理状態む）

実査）ているかや個人情報が含まれる紙媒体の多寡、社外の人物 ・入退室記録の確認のマイナンバーを集めるか否 ※どの個人情報が、どの部門のかによってリスク程度は変わどの場所に集まっているのかるを把握する点が重要

機 器 及 び 電 ・機器や書類等を施錠できる ・個人情報が保存された機器 ・どの個人情報が、どの部門子媒体等のキャビネット・書庫等に保盗難等の防管したり、機器をセキュリ

止ティワイヤー等で固定するや媒体の盗難、紛失のどの場所に集まっているのかの把握に注意・ルールの有無の確認。情報セキュリティ規程のような上位規程で一元的に定められている場合もある
・管理方法の実査

月刊監査研究2023. 9（No.598）

53

研究会報告電 子 媒 体 等 ・暗号化、パスワードによる ・盗難、紛失、暗号化が不十 ・ルールの有無の確認
を持ち運ぶ

保護等を行った上で電子媒分な場合に漏えい等が発生 ・管理方法の実査

場合の漏え体に保存するしやすいい等の防止・封緘、目隠しシールの貼付※利便性のためにルール通りの管理がなされていない場合がけを行うままある（極端な例では、モ・施錠できる搬送容器を利用バイルＰＣにそのＰＣのログするインパスワードが付箋で貼られていることすらある）

個 人 デ ー タ ・書類等の廃棄では復元不可 ・破棄が不十分、不適切な場 ・ガイドラインを満たすルーの削除及び能な手段で廃棄をする

機 器、 電 子 ・ 個 人 デ ー タ を 削 除 す る 場
媒体等の廃合、容易に復元できない手棄段を採用する

合は廃棄対象の個人情報がルの確認

利用や復元されるおそれが ・委託先の基準の有無の確認
ある・実査※保有期間を過ぎてもルール通・個人データが記録された機り廃棄せずに個人情報を保持器、電子媒体等を廃棄するしている例がままある

場合、専用のデータ削除ソ
フトウェアの利用又は物理的な破壊等の手段を採用する
技術的安全管理措置
安 全 管 理 措 ①ガイドラインで例示されて ②不備によって想定されるリ ③内部監査の手法及び留意点
置の項目

いる主な手法スク事象

ア ク セ ス 制 ・個人情報を取り扱うシステ ・不適切（不必要）な内部者 ・ルールの確認（従業者・委御によるアクセスや退職者・託先のリストとアクセス制

・個人情報を取り扱うシステ

契 約 終 了 後 の 契 約 先（ 法限のリストがリアルタイムムを使用できる従業者の限人・個人）によるアクセスで連動するようになってい定及び当該アクセスによる個るのかに注意する）

ムの限定

人情報の漏えい、盗難、改 ・アクセス制御がルール通りざん等になっているかの実査
・従業員の入れ替わりに伴うアクセス制御のアップデートができているかの確認。ア
クセス権限を持っている者のリストをＩＴ部門から入手し、当該リストと従業者・委託先のリストを照合するという手法も考えられる

ア ク セ ス 者 ・ＩＤ、パスワード、ＩＤカ ・なりすましによる個人情報 ・ルールの確認（なりすましの識別と認ード等の使用の漏えい、盗難、改ざん等が困難な識別手法が取られているか、当該手法は自社証の状況に鑑みて十分といえるかを検討）
・ルール通りの識別がなされているかの実査・ルールが定期的に見直しされているかの確認

54

月刊監査研究2023. 9（No.598）

研究会報告外 部 か ら の ・ 外 部 か ら の ア ク セ ス の 制 ・不正アクセスを受ける・ルールの確認

不正アクセ

限、ウイルスソフト、ログ ・自社への不正アクセスを検 ・制限の実査ス等の防止

分析、ソフトウェアのアッ・ログの実査（内部監査部門知できないが直接異常を発見するといプデート

うよりも、事業部門や管理部門が適切にログの確認を行っているかどうかをチェックする）
情 報 シ ス テ ・システム設計時の安全性確 ・不正アクセスを受ける・暗号化や移送する個人デー
タの保護に関するルールのムの使用に保と見直し（攻撃対策を含 ・役職員の故意や過失があっ伴う漏えい

む）、通信の暗号化、移送た際に、個人情報の漏えい、等の防止する個人データのパスワー

盗難、改ざん等が容易に発 ・暗号化や移送する個人デー

ド等による保護生してしまう

確認
タの保護に関する実査・システムのアップデートや見直しの有無の確認

第４

おわりにた議論を行うことが容易ではない分野でもある。本研究は、様々なバックグラウンドを持前述の通り、個人データに関連するリスクつ当研究会の各メンバーが、議論を重ねた末事象やリスクの大きさ、そして実施すべき安にたどり着いた最大公約数的な認識を示すも全管理措置（人的・物的リソースをどれだけのである。本研究が、安全管理措置に関する割くか、という点も含め）は企業によって様々企業の責任と内部監査の手法及び留意点に関であり、一定の正解があるものではない。他する、読者の皆様に対する一定の指針となれ方、本問題点はその性質上、企業間におけるば幸いである。

意見交換、特に自社の経験や問題意識を交え＜ＣＩＡフォーラム研究会No.ａ13（グローバル・リーガル・リスクマネジメント研究会）メンバー＞
（氏名五十音順・敬称略）
阿部寛、犬塚堂山政行、林田重夫、井上 智哉、加藤正人、森居 達郎、安田雅之、川添

健一、吉田博司、川端武史、渡邉真一、酒井宙志、渡辺太郎、忠則（メンバーの氏名は、2023年７月現在）

月刊監査研究2023. 9（No.598）

55