相次ぐ情報流出、「注意喚起」に終始する行政の限界、どうして防げないのか
日本で情報流出が繰り返される原因は、攻撃者の技術が高度化していることだけでは説明できない。必要以上の個人情報を保有する慣行、システム更新の先送り、委託先との責任分担の曖昧さ、専門人材の不足、形式的な監査、事故後の検証と救済の不十分さなどが重なり、既知の危険が繰り返し被害につながっている。
現状（2026年10月時点）
情報流出は、もはや一部の企業や特定の行政機関だけに発生する例外的な事故ではない。企業の顧客情報、行政機関が保有する個人情報、医療機関の診療情報、取引先との業務データなど、社会のデジタル化が進むほど、漏えいした場合に影響を及ぼす情報の種類と範囲は広がっている。
情報流出の背景も変化している。外部からの不正侵入だけでなく、従業員の誤操作、電子メールの誤送信、委託先の管理不備、認証情報の窃取、脆弱性を放置したシステムへの攻撃など、複数の要因が絡み合うようになった。さらに、正規の業務権限を悪用する内部不正や、取引先を経由して本来の標的に侵入する攻撃もあり、単純に外部からの侵入を遮断するだけでは防御できない。
日本政府や関係機関は、注意喚起、対策指針の公表、事業者への報告要請、専門機関による相談対応などを進めてきた。しかし、対策の呼びかけが繰り返されることと、実際の被害が継続的に減少することは同じではない。組織が危険を認識していても、予算、人員、技術力、経営判断、委託先の管理能力などの制約によって、必要な対策を実行できない場合があるからだ。
ここで区別すべきなのは、情報流出の発生件数、漏えいした情報の件数、被害を受けた人数、攻撃による業務停止の規模は、それぞれ異なる指標だという点である。1件の事故で大量の情報が流出することもあれば、複数の小規模な事故が長期間にわたって発生することもあるため、単一の統計だけで日本全体の安全性を評価することはできない。
2026年10月時点の状況を厳密に評価するには、個人情報保護委員会の漏えい等報告、警察のサイバー犯罪関連統計、情報処理推進機構の脅威分析、企業の公表資料などを相互に照合する必要がある。公表件数が増えた場合も、実際の事故が増えたのか、報告制度の浸透によって把握される事故が増えたのかを分けて考えなければならない。
したがって、問題の核心は、単に「日本で情報流出が多い」ということではない。重要なのは、事故の発生を完全にゼロにできないとしても、なぜ既知の攻撃手法による被害が繰り返され、事故の教訓が組織横断的な再発防止につながりにくいのか、という点にある。
構造的課題（なぜ防げないのか）
情報流出が繰り返される理由を、従業員の不注意や攻撃者の高度な技術だけに求めるのは適切ではない。問題の根底には、情報を集めて保管する仕組み、システムを調達する方法、組織の責任分担、事故後の検証制度、そして安全対策に投じる費用を誰が負担するのかという、社会全体の構造的な問題が存在する。
第1の問題は、情報を保有する組織と、情報流出によって損害を受ける人が一致しないことである。企業や行政機関は、顧客管理や本人確認、業務効率化のために個人情報を収集する一方、流出による詐欺被害、なりすまし、不安、手続き上の負担は本人に及ぶことが多い。
この構造では、情報を大量に保有することによって得られる利益は組織が享受する一方、情報を長期間安全に保管する費用は経営上の負担として扱われやすい。事故が発生した際の損失を十分に内部化できなければ、組織が安全対策への投資を先送りする誘因が生じる。
第2の問題は、情報システムの複雑化と責任の分散である。サービスの運営企業、システム開発会社、保守事業者、クラウドサービス提供者、決済事業者、再委託先などが相互に接続されると、情報の所在やアクセス権限を一元的に把握することが難しくなる。
各組織が自らの担当範囲だけを管理していても、組織間の接続部分や委託先の管理に欠陥があれば、全体としての安全性は確保できない。契約書に安全管理の義務を記載しただけでは、委託先の実際の運用状況や、事故を検知して報告する能力まで保証されないのである。
第3の問題は、情報システムの導入と更新における短期的な費用優先である。古いシステムを維持し続ければ、既知の脆弱性への対応が遅れ、認証方式や監視機能の更新も難しくなる。しかし、システムの刷新には費用と時間がかかり、移行に伴う業務停止や障害のリスクもあるため、経営側が更新を先送りする場合がある。
とりわけ、売上や業務効率への貢献が直接見えやすい新機能に比べ、事故を未然に防ぐための投資は成果を数値で示しにくい。事故が発生しなかったことを対策の効果として証明するのは難しく、経営判断において安全対策が後回しにされやすいという問題がある。
第4の問題は、セキュリティ対策を実施する人材の不足と偏在である。高度な監視体制や脆弱性管理を継続するには、専門知識を持つ人員、適切な機器、訓練、運用手順が必要となるが、すべての企業や自治体が同じ水準の体制を整えられるわけではない。
大企業であっても、専門人材が特定の部署に集中し、現場の業務システムや委託先まで十分に管理できていない場合がある。中小企業では、情報システム担当者が他の業務を兼任し、定期的な更新や監視を継続する余力が限られることもある。
こうした問題は、情報処理推進機構が2026年に公表した「情報セキュリティ10大脅威」にも表れている。組織向けの上位にはランサム攻撃、サプライチェーンや委託先を狙った攻撃が並び、システムの脆弱性を悪用する攻撃や内部不正も上位に残った一方、人工知能の利用をめぐるサイバーリスクが初めて3位に入った。
この結果が示すのは、攻撃手法が変化しても、組織間の管理格差、基本的な脆弱性対策、内部統制といった従来からの課題が解消されていないという現実である。新しい技術への対応が必要になる一方で、基本的な対策の不備も残っているため、防御側は古い問題と新しい問題に同時に対処しなければならない。
さらに、情報流出の原因が複数の要因にまたがる場合、事故後の責任が曖昧になりやすい。委託元は委託先の管理不備を指摘し、委託先は発注仕様や予算の制約を説明し、システム開発会社は運用主体の責任を主張するという構図では、事故の全体像を解明し、業界全体で再発防止策を共有することが難しくなる。
ここで重要なのは、個別の組織に責任がないということではない。むしろ、責任を明確にしたうえで、事故を引き起こした技術的・制度的な条件まで検証する必要があるということだ。担当者の処分や組織への注意だけで終われば、同じ仕組みを採用する別の組織でも、類似の事故が発生する可能性は残る。
以上から、情報流出の反復は、単なる技術力の不足ではなく、情報保有のあり方、費用負担、責任分担、人材配置、事故検証の仕組みが相互に影響する問題といえる。個人の注意力に依存した対策から脱却し、危険な操作や侵入が発生しても被害を最小限に抑えられる制度と技術を整備することが、今後の改革の出発点となる。
AI等の技術進化による攻撃の自動化・巧妙化
情報流出をめぐる環境は、攻撃者が人工知能を利用することで大きく変化している。従来、自然な日本語による詐欺メールの作成、標的企業の調査、偽のウェブサイトの構築、攻撃対象の選別などには一定の時間と専門知識が必要だったが、生成型の人工知能は、こうした作業の一部を短時間で実行するための障壁を下げている。
特に警戒すべきなのは、攻撃の高度化だけでなく、攻撃を実行するための費用と時間が低下する可能性である。攻撃者は、公開情報から従業員の役職や取引関係を調べ、対象に合わせた文章を作り、複数の相手に異なる内容の詐欺メールを送ることができるため、従来の一律的な迷惑メール対策では見分けにくい攻撃が増える。
例えば、経理担当者に対して取引先を装った請求書を送り、管理職に対しては実際の業務連絡に似せた送金指示を送るといった手口が考えられる。文章に不自然な表現や誤字が少なく、実在する業務情報が含まれていれば、受信者が文面だけで正規の連絡と詐欺を区別することは難しくなる。
音声や映像を合成する技術も、本人確認の信頼性を揺るがしている。経営者や取引先の担当者の声を模倣した音声によって緊急の送金や情報提供を要求する攻撃では、声を聞いて本人だと判断する従来の慣行が通用しない場合がある。
ただし、人工知能そのものが情報流出を引き起こすわけではない。実際の被害は、認証情報の管理不備、アクセス権限の過剰付与、脆弱性の放置、確認手続きの欠落などと結び付いて発生するため、技術の新しさだけに注目しても根本的な解決にはならない。
防御側にも人工知能を利用する余地はある。不審な通信の検知、ログの分析、異常なアクセスの識別、脆弱性情報の整理などを自動化すれば、人間だけでは処理しきれない大量の情報を継続的に監視できる可能性がある。
一方、自動化された検知には誤判定があり、攻撃者が通常の業務通信に紛れ込ませれば見逃す場合もある。人工知能が出した警告を誰が評価し、どの条件でアクセスを停止し、誤検知による業務への影響をどう抑えるかという運用設計がなければ、導入しただけで安全性が高まるとは限らない。
今後の焦点は、人工知能を使った攻撃に対して、人間の注意力だけで対抗しようとする発想を改めることにある。本人確認、送金承認、情報の持ち出し、管理者権限の変更といった重要な操作には、別経路での確認や複数人による承認を組み込み、だまされる人が出ても重大な被害につながらない仕組みを整える必要がある。
「注意喚起」に終始する行政の限界
サイバー攻撃への対策として、政府や関係機関が注意喚起を行うことには意味がある。新たに確認された攻撃手法、悪用されている脆弱性、詐欺メールの特徴などを迅速に周知すれば、組織や個人が危険を認識し、被害を避けるための判断材料を得られるからだ。
問題は、注意喚起が必要であることと、注意喚起だけで被害を防げることは別だという点にある。脆弱性の修正にはシステムの更新が必要であり、監視体制の整備には専門人材が必要となるため、危険を理解していても実際の対策を実施できない組織は少なくない。
行政の対応が情報発信に偏ると、対策を実行できる組織と実行できない組織の格差が残る。大企業は専門部署を設け、外部の専門事業者と契約できる一方、小規模な事業者や自治体では、警告を受け取っても内容を評価し、優先順位を決め、実施状況を検証する人材が不足する場合がある。
また、注意喚起は、誰がどのような対策を実施すべきかという責任の問題を解決しない。政府が危険を知らせ、企業が対策を検討し、委託先が対応を約束しても、実際に脆弱性が修正されたのか、不要な権限が削除されたのか、情報の外部送信が監視されているのかを確認できなければ、対策の実効性は保証されない。
行政に求められるのは、警告の発信に加えて、重大な危険に対する具体的な介入と検証の仕組みを整えることだ。例えば、重要インフラや行政サービスについて、一定の安全基準を設け、重大な脆弱性への対応期限、事故報告、独立した検査、改善計画の提出などを組み合わせる方法が考えられる。
もっとも、すべての事業者に一律の厳しい義務を課せばよいわけではない。組織の規模、保有する情報の機微性、社会への影響、攻撃を受けた場合の被害規模を踏まえ、求める水準と支援内容を変える必要がある。
行政の役割は、危険を知らせることから、危険を減らす仕組みを構築することへと広げられるべきである。注意喚起を実施した回数ではなく、重大な脆弱性の修正率、事故の検知時間、復旧時間、再発率、被害者への救済状況などを評価指標に据えることが重要となる。
過剰な個人情報の保有と「原画像」の長期保管
情報流出の危険を考えるうえで、情報をどのように守るかだけでなく、そもそも何を、どれだけ保有する必要があるのかという問題を避けて通ることはできない。組織が必要以上の個人情報を収集し、長期間保管すれば、侵入や誤操作が発生した際に流出する情報の量も増える。
例えば、本人確認のために身分証明書の画像を提出させるサービスを考える。本人の氏名や生年月日など、確認に必要な属性だけを取得すれば足りる場合でも、身分証明書の表裏の画像をそのまま保存していれば、住所、顔写真、証明書番号、発行情報など、目的達成に必ずしも必要ではない情報まで保管することになる。
ここでいう「原画像」とは、加工や情報の抽出を行う前の、身分証明書や申請書などを撮影した元の画像データを指す。画像を保存しておけば、後日、確認内容を再検証したり、不正利用の疑いを調査したりする際に役立つ場合があるが、保存する必要性が乏しい場合には、漏えい時の被害を拡大させる要因にもなる。
画像データには、文字情報だけでは表現しにくい情報が含まれる。顔写真や署名、書類の背景に写り込んだ情報、画像に付随する撮影日時などが残っていれば、単純な氏名や住所の流出よりも、個人の特定やなりすましに利用される危険が高まる場合がある。
一方で、原画像をすべて直ちに削除すべきだという結論も適切ではない。法令上の保存義務、取引の証跡、紛争時の立証、本人確認に関する規制などによって、一定期間の保存が必要となるケースがあるからだ。
必要なのは、保存する理由と期間を明確にすることである。本人確認が完了した時点で原画像を削除できる業務なのか、画像ではなく確認結果と確認日時だけを保存すれば足りるのか、法令上の保存義務がある場合にはどの範囲が対象となるのかを、業務ごとに検証する必要がある。
また、保存が必要な場合でも、原画像へのアクセスを限定し、通常の業務担当者が自由に閲覧できないようにすることが重要だ。暗号化、アクセス記録、保存期間の自動管理、削除処理の検証などを組み合わせれば、データを保有し続ける場合の危険を一定程度抑えられる。
情報の最小化は、情報流出を防ぐための基本的な考え方である。攻撃者の侵入を完全に防げなくても、侵入先に保管されている情報が少なく、機微な情報へのアクセスが制限されていれば、事故による被害を小さくできる可能性がある。
サプライチェーン全体のセキュリティ格差
現代の企業や行政機関は、自らが管理するシステムだけで業務を完結させているわけではない。情報システムの開発、保守、顧客管理、決済、物流、通信、クラウドサービスなど、多数の外部事業者に依存しており、こうした相互依存関係全体をサプライチェーンと呼ぶ。
この構造では、最も重要な組織が最も弱い防御を持つとは限らない。大企業が高度な認証や監視を導入していても、接続先の委託先が古いシステムを使用し、管理者用の認証情報を適切に保護していなければ、その委託先が侵入経路になる可能性がある。
攻撃者にとって、直接侵入することが難しい標的に正面から攻撃を仕掛ける必要はない。標的との取引関係を持ち、システムへの接続権限や情報の受け渡しを認められている事業者を経由することで、間接的に目的の組織へ到達できる場合がある。
この問題を深刻にしているのが、事業者間の安全対策の格差である。発注側が高度な安全基準を要求しても、受注側が必要な設備や人材を確保できなければ、実効性のある対応は困難となる。さらに、契約金額が低く、納期が短く設定されていれば、受注側は安全対策に必要な費用や作業時間を十分に確保できない可能性がある。
発注側が自らの安全性を高めるために委託先へ義務だけを転嫁すれば、問題は解決しない。安全基準の遵守を求めるのであれば、必要な費用を契約に反映し、技術支援や改善期間を確保し、委託先の実際の運用状況を確認する仕組みが必要となる。
また、委託先の管理は契約締結時の審査だけでは不十分である。契約時には適切な体制を整えていても、その後に担当者が退職したり、システムが更新されなかったり、新たな再委託先が追加されたりすれば、リスクは変化する。したがって、委託関係の継続中も、接続権限、保有情報、脆弱性、事故報告体制を定期的に見直す必要がある。
さらに、事故が発生した場合に、どの組織が何を報告し、誰が被害者に連絡し、誰が復旧費用を負担するのかを事前に定めておくことも重要である。責任分担が不明確であれば、原因調査や被害者への通知が遅れ、結果として被害の拡大につながるおそれがある。
サプライチェーンの安全性は、個々の企業が自社の防御を強化するだけでは確保できない。発注側、受注側、行政、専門事業者が共通の基準と情報共有の仕組みを持ち、弱い部分を継続的に改善する必要がある。
とりわけ、社会基盤を支えるサービスや大量の個人情報を取り扱う業務については、委託先の安全性を単なる調達条件として扱うのではなく、サービス全体の継続性を左右する経営上の責任として位置付けるべきである。
既存アプローチの機能不全と影響
情報流出への対策は、これまでにも法制度の整備、安全管理指針の策定、従業員教育、外部監査、事故報告制度など、複数の方法で進められてきた。しかし、対策の種類が増えていることと、実際の情報流出を防ぐ能力が高まっていることは必ずしも一致しない。
その理由の1つは、対策が個別の規則や手続きに分断され、組織全体の危険を継続的に管理する仕組みになっていない場合があることだ。従業員教育を実施していても、不要な管理者権限が放置されていれば被害は起こり得るし、外部監査を受けていても、監査対象外のシステムや委託先に重大な弱点が残っていれば侵入を許す可能性がある。
また、情報流出を防ぐ対策と、侵入後の被害を抑える対策は区別しなければならない。外部からの侵入を完全に防ぐことが難しい以上、侵入を早期に検知し、情報へのアクセスを制限し、不審な通信を遮断し、被害範囲を特定して迅速に復旧する仕組みが必要となる。
ところが、組織によっては、侵入を防ぐための機器や規則の整備に比べ、侵入後の検知や復旧への投資が不足している。攻撃を受けたこと自体を問題とするあまり、侵入を許した後にどれだけ早く発見し、被害を限定できたかという視点が弱くなれば、実際の危機対応能力は向上しにくい。
さらに、事故の公表と原因分析が十分に連動しないことも課題である。事故を公表して謝罪し、対象者に通知し、システムを復旧させても、どの管理上の判断が被害を招いたのか、同様の事故を他の組織で防ぐには何が必要なのかが明らかにならなければ、社会全体として得られる教訓は限られる。
事故の影響は、漏えいした情報の量だけでは測れない。氏名や住所などの基本情報が流出した場合でも、他の情報と組み合わされれば、詐欺や標的型の勧誘に利用される可能性がある。認証情報や本人確認に使われる情報が流出すれば、本人になりすました不正な申込みやアカウントの乗っ取りなど、二次被害に発展するおそれもある。
情報流出は、事故の発生日に終わる問題ではない。流出した情報は複製され、別の組織や犯罪者の間で共有される可能性があり、流出元がシステムを復旧しても、外部に出た情報を完全に回収することは通常できない。そのため、初動の遅れや情報の不十分な公表は、被害者が必要な対策を取る機会を失わせることにもつながる。
このような状況を改善するには、対策を実施したかどうかだけではなく、その対策が実際に機能しているかを確かめる必要がある。模擬攻撃、復旧訓練、権限の棚卸し、検知時間の測定、事故原因の独立した検証などを組み合わせ、書類上の適合性から実際の防御能力へ評価の軸を移すことが重要だ。
「事後対応型」の限界と個人の負担
情報流出が発生した後の対応としては、事故の公表、本人への通知、原因調査、システムの復旧、再発防止策の策定などが行われる。こうした対応は必要だが、被害者の立場から見ると、情報が流出した事実を知らされた後、自分で危険性を判断し、必要な手続きを進めなければならないという問題が残る。
例えば、個人情報が流出したという通知を受けても、どの情報が実際に外部へ流出したのか、それが悪用された形跡があるのか、今後どのような被害が想定されるのかが明確でなければ、本人は具体的な対策を選びにくい。通知の内容が抽象的であったり、対象者ごとの情報流出の範囲が十分に説明されていなかったりすれば、被害者は不安を抱えたまま対応を迫られる。
その後の負担も小さくない。パスワードの変更、金融機関への連絡、利用履歴の確認、不審な請求への対応、本人確認書類の再発行、関係機関への相談など、必要となる作業は流出した情報の種類によって異なる。複数のサービスで同じ認証情報を使用していた場合には、影響範囲を自分で調べ、関連するアカウントを個別に保護しなければならないこともある。
ここには、情報を保有していた組織と被害者の間の責任の非対称性がある。情報を収集し、保管し、外部事業者に処理を委託する判断をしたのは組織であるにもかかわらず、事故後の具体的な防御作業は本人に委ねられやすい。
しかも、被害者が実際に損害を受けたことを証明するのは簡単ではない。流出した情報が後日、詐欺やなりすましに利用されたとしても、それが特定の事故に由来することを立証するには、記録や技術的な証拠が必要となる場合がある。被害者が専門的な調査能力を持たない場合、疑わしい取引や不審な連絡があっても、原因を特定できない可能性がある。
情報流出の通知を受けたこと自体が、必ずしも金銭的な損害や法的な損害賠償請求の成立を意味するわけではない。一方、実際の損害が確認されるまで何の支援も受けられない仕組みでは、被害を未然に防ぐための対応が遅れるおそれがある。したがって、事後対応は、損害が発生した後の補償だけでなく、二次被害を防ぐための早期支援まで含めて設計する必要がある。
そのためには、事故を起こした組織が、流出した情報の種類に応じて、対象者が取るべき行動を具体的に案内することが望ましい。必要に応じて、認証情報の変更支援、不正利用の監視、本人確認書類の再発行手続き、相談窓口への接続などを一体的に提供すれば、被害者が複数の機関を自力で回る負担を減らせる。
さらに、事故を起こした組織と行政機関の間で情報共有を進め、被害者に何度も同じ説明や本人確認を求めない仕組みも検討すべきである。情報流出後の対応を個人の自己責任に委ねるのではなく、情報を管理していた組織が、被害の抑制と救済に相応の責任を負う制度へ転換することが求められる。
形式的なコンプライアンス（チェックリスト主義）
情報セキュリティ対策を制度として定着させるうえで、規則や確認項目を設けることは重要である。必要な手順が明文化されていなければ、担当者によって対応が異なり、責任の所在も不明確になるため、チェックリストや監査基準そのものを否定する必要はない。
問題は、チェックリストを埋めることが目的となり、実際の危険を減らすという本来の目的が後退する場合にある。研修を実施した記録がある、規程が作成されている、監査項目に回答しているという事実だけでは、従業員が攻撃を見分けられるか、不正アクセスを検知できるか、重大な事故から復旧できるかまでは分からない。
例えば、規程上は定期的なパスワード変更やアクセス権限の確認が定められていても、実際の運用が形骸化していれば効果は限定的となる。退職した従業員のアカウントが残っていたり、複数の担当者が共有する管理者用の認証情報が放置されていたりすれば、規程が存在すること自体は侵入を防ぐ保証にならない。
監査にも同じ問題がある。監査対象となる文書やシステムだけが整えられ、日常の運用が対象外になっていれば、監査を通過していても危険な状態が残る可能性がある。さらに、監査が定期的な確認にとどまり、監査後に発生した設定変更や新たな脆弱性を継続的に把握できなければ、時間の経過とともに安全性が低下する。
こうした形式主義が生まれる背景には、評価制度の設計にも問題がある。組織が達成すべき目標を「規程の整備」「研修の実施」「監査の完了」といった実施件数で評価すれば、担当者は確認しやすい項目を満たすことに集中しやすい。反対に、侵入の検知時間や復旧時間、重大な脆弱性の修正状況など、実際の能力を示す指標は、測定や比較に手間がかかる。
また、形式的な適合を重視する評価は、現場から不都合な情報を報告する意欲を弱める可能性がある。問題を早期に報告して改善した組織よりも、問題が表面化せず監査項目を満たした組織のほうが高く評価されるなら、報告の遅れやリスクの過小評価を招きかねない。
これを避けるためには、規則への適合と実際の防御能力を分けて評価する必要がある。基本的な規程や手順の整備を確認したうえで、模擬攻撃への対応、異常検知の精度、権限管理の実態、バックアップからの復旧能力、委託先を含めた事故対応訓練などを検証することが有効となる。
さらに、事故を起こした組織を一律に失敗と評価するのではなく、事故の原因を速やかに報告し、被害を限定し、検証結果を改善に結び付けたかという点も評価に含めるべきである。事故を隠さず報告し、実効性のある対策を進める組織が不利にならないようにすることは、社会全体の安全性を高めるためにも重要だ。
チェックリストは、安全管理の最低水準をそろえる道具として活用しつつ、それだけで安全性を証明したと見なしてはならない。形式的な遵守から実質的なリスク管理へと転換するには、測定可能な結果、独立した検証、継続的な改善を一体化する必要がある。
体系的な改善・解決に向けたアプローチ（打ち手）
情報流出を減らすためには、個人の注意力、企業の自主努力、行政の注意喚起のいずれか1つに依存するのではなく、制度、技術、運用、救済を一体として再設計する必要がある。目標は事故を完全にゼロにするという実現困難な約束ではなく、攻撃の成功確率を下げ、侵入されても情報の流出を抑え、事故が発生した場合には迅速に検知・復旧し、被害者の負担を軽減することに置くべきだ。
そのためには、対策を4つの層に分けて考えるとよい。第1に、行政が安全基準や報告制度を整え、重大な危険に介入できる仕組みを構築すること、第2に、収集・保管する情報そのものを減らし、流出しても被害が拡大しにくいデジタル基盤を整えること、第3に、人工知能や自動監視を活用して防御を継続的に実行すること、第4に、事故によって損害を受けた人が過大な負担を負わずに済む救済制度を整えることである。
これらの施策を進める際には、導入した設備や制度の数だけで成果を判断してはならない。重大な脆弱性が修正されるまでの時間、攻撃の検知から封じ込めまでの時間、復旧訓練の成功率、事故の再発状況、被害者への通知と支援に要した時間などを共通の評価指標とし、実際の改善につながっているかを確認する必要がある。
また、すべての組織に同じ対策を要求するのではなく、保有する情報の機微性、事業の社会的重要性、接続するシステムの範囲、事故が発生した場合の被害規模に応じて義務と支援を調整することが重要だ。安全性を高めるための規制が、資金や人材に乏しい中小企業に過大な負担を課し、かえって対策の形骸化を招くことは避けなければならない。
行政・制度の抜本的改革（ハード・ソフトの介入強化）
行政の役割は、危険な攻撃手法を周知することだけではない。社会への影響が大きい情報システムについては、最低限守るべき安全基準を定め、重大な欠陥が放置された場合に改善を促し、必要に応じて是正を求められる仕組みを整えるべきである。
ここでいうハード面の介入とは、法令上の義務、監督、検査、是正命令、報告義務などを通じて、組織が対策を実行することを制度的に担保することである。一方、ソフト面の介入には、技術支援、専門家の派遣、共同調達、訓練、相談窓口、実践的な指針の提供などが含まれる。規制だけを強めても実行能力が不足すれば効果は限定されるため、義務と支援を組み合わせる必要がある。
特に、行政機関、医療、金融、通信、電力、交通など、停止や情報流出が社会全体に深刻な影響を及ぼす分野では、最低限の防御水準を明確にすることが望ましい。重大な脆弱性への対応期限、管理者権限の保護、バックアップの分離、事故時の連絡体制、委託先の管理などについて、実施状況を検証できる基準を設けることが考えられる。
ただし、政府がすべての組織のシステムを常時監視することは現実的ではなく、過度な情報収集や監督権限の集中にも注意が必要だ。行政が取得する情報は監督に必要な範囲に限定し、機密情報の取り扱い、監督機関の独立性、異議申立ての手続き、権限行使の透明性を確保しなければならない。
制度改革の成否は、新しい規則をどれだけ多く作ったかではなく、重大な危険が発見された際に、適切な組織が責任を持って対策を実行できるかによって判断されるべきである。
サイバー版事故調査委員会（事故調）の創設
重大な情報流出が発生した際、原因を調査し、責任の所在を明らかにするだけでなく、同種の事故を社会全体で防ぐための独立した調査制度が必要である。そこで検討に値するのが、航空事故や重大な交通事故の調査制度を参考にした、サイバー事故専門の独立調査機関の創設である。
この機関の目的は、警察による犯罪捜査や個人情報保護委員会などによる法執行を代替することではない。犯罪者の特定、法令違反への措置、被害者への救済とは役割を分け、重大事故の技術的・組織的な原因を解明し、再発防止のための勧告を公表することを主な任務とする。
例えば、ある企業から大量の個人情報が流出した場合、調査機関は侵入経路だけでなく、脆弱性が放置された経緯、管理者権限の設定、監視体制、委託先との契約、事故を検知した後の判断、被害者への通知までを一連の過程として調べる。技術上の欠陥だけでなく、予算配分や経営判断、責任分担の不備も検証対象に含めることが重要だ。
事故調査で得られた知見は、個別企業の内部報告書に閉じ込めるべきではない。機密情報や個人を特定できる情報を除いたうえで、攻撃の経路、被害を拡大させた要因、有効だった防御策、復旧を遅らせた問題などを公表すれば、他の組織が同じ失敗を避けるための資料になる。
もっとも、事故調査が実効性を持つには、調査対象から独立した立場、専門人材、証拠を確保する権限、調査結果を公表する仕組みが必要である。調査対象となる組織や監督官庁の意向によって結論が左右されるなら、制度への信頼は失われる。
また、事故を報告した組織が、報告したこと自体を理由に過度な不利益を受けると考えれば、重要な情報が隠される可能性がある。意図的な隠蔽や重大な法令違反には適切に対処しながら、事故の早期報告と誠実な調査協力を促す制度設計が必要となる。
注意喚起のワンストップ化と実効性向上
現在のように、攻撃に関する情報が複数の行政機関、専門機関、業界団体などから個別に発信される状況では、組織側が必要な情報を探し、重要度を判断し、実施すべき対策を整理しなければならない。情報が豊富であっても、受け手が適切な行動に移せなければ、実際の防御には結び付きにくい。
そこで、政府や関係機関が発信する注意喚起を一元的に参照できる窓口を整備し、対象となる組織、危険度、推奨される対策、対応期限、相談先を統一した形式で提供することが考えられる。単に情報を転載するだけでなく、技術的な専門知識を持たない担当者でも、何を確認し、どの順序で対応すればよいか理解できる形にする必要がある。
例えば、広く利用されている製品に重大な脆弱性が見つかった場合、該当する製品名や版の確認方法、修正プログラムの適用方法、適用までの暫定措置、影響を受けた可能性のある情報の確認方法をまとめて提供する。重大な危険については、対応状況を報告できる仕組みや、対応が困難な組織に対する相談・支援窓口を設けることも有効だ。
さらに、注意喚起の効果を測定する仕組みが欠かせない。情報の閲覧数だけでなく、対象となる組織が対策を実施した割合、修正に要した期間、未対応の理由、被害発生後の検知時間などを分析すれば、情報発信の方法や支援策を改善できる。
ただし、一元化によって情報発信を単一の経路に限定しすぎると、窓口の障害や運営上の問題が全体に影響するおそれがある。情報の正確性を担保しながら、複数の配信経路を維持し、緊急時にも情報を受け取れる仕組みを設計する必要がある。
デジタル社会の基盤刷新（データの最小化）
情報流出への対策を根本から見直すなら、保有する情報を守る技術だけでなく、保有する情報の量そのものを減らすべきである。収集する情報が少なく、保管期間が短く、閲覧できる人が限定されていれば、侵入や誤操作が起きた場合でも、流出する情報と被害の範囲を抑えやすくなる。
データの最小化とは、事業や行政サービスの目的を達成するために必要な情報だけを収集し、利用目的に照らして不要になった情報は適切な手続きで削除するという考え方である。これは、情報を保存しないこと自体を目的とするのではなく、保管の必要性を定期的に検証し、不要な情報が無期限に蓄積される状態を防ぐことを意味する。
実施にあたっては、組織が保有する個人情報の種類、保存場所、利用目的、アクセス権限、委託先、保存期限を一覧化する必要がある。情報が複数の部署やシステムに複製されている場合には、原本だけを削除しても複製が残ることがあるため、バックアップや委託先を含めて管理しなければならない。
また、本人確認や属性確認のために情報を取得する場合、必要な情報を一律に集めるのではなく、サービスの目的に応じて取得項目を絞るべきである。年齢条件を満たしていることを確認するだけで足りる場面で、氏名、住所、生年月日、身分証明書の画像をすべて取得する必要があるかを検証することが重要となる。
データの最小化は、情報管理の費用を削減する可能性もある。保存容量や管理対象が減れば、アクセス権限の確認、監視、削除、事故時の影響調査に必要な作業も軽減できるため、限られた予算を重要な情報の保護に振り向けやすくなる。
一方、保存期間を短縮しすぎれば、法令上の義務を果たせなくなったり、不正取引や紛争の検証に必要な記録が失われたりする危険がある。したがって、情報の削減は一律の削除期限を設定するだけでなく、業務目的、法令上の義務、証拠保全の必要性を踏まえて設計しなければならない。
JPKI（マイナンバーカードの電子証明書）の標準化と「属性限定開示API」
個人情報の最小化を実現する方法の1つとして、マイナンバーカードに搭載された電子証明書を活用し、本人確認の方法を標準化することが考えられる。公的個人認証サービスは、電子証明書を用いて電子的な本人確認や電子署名を行うための仕組みであり、オンラインサービスにおける本人確認の信頼性を高める手段となる。
ただし、本人が正当な利用者であることを確認する処理と、本人の属性情報を取得する処理は区別する必要がある。サービス提供者が確認したいのが「本人であること」なのか、「18歳以上であること」なのか、「特定の資格を有していること」なのかによって、必要な情報は異なるからだ。
ここで提案される「属性限定開示API」とは、サービス提供者が必要な属性だけを確認できるようにするための、共通の接続仕様を持つ仕組みを指す。例えば、年齢制限のあるサービスでは、氏名や住所、生年月日そのものを相手に渡すのではなく、年齢条件を満たすかどうかという判定結果だけを提供する設計が考えられる。
こうした仕組みが普及すれば、身分証明書の画像を各事業者が独自に収集し、保存する必要性を減らせる可能性がある。本人確認の方法を共通化することで、利用者がサービスごとに同じ書類を提出する手間を減らし、事業者側の情報管理の負担を軽減する効果も期待できる。
もっとも、電子証明書を導入すればすべての問題が解決するわけではない。端末の安全性、認証情報の管理、利用者の同意、サービス提供者による不正利用、認証記録の保存範囲など、検討すべき課題は残る。電子証明書を利用した場合でも、取得した情報を目的外に利用したり、不要な情報を長期間保存したりすれば、情報流出の危険はなくならない。
また、利用者が電子証明書を保有していない場合や、利用が困難な場合への代替手段も必要である。特定の本人確認方式だけを事実上強制すれば、デジタル機器の利用に不慣れな人や、さまざまな事情でオンライン認証を利用できない人がサービスから排除されるおそれがある。
したがって、目指すべきなのは、電子証明書の一律導入ではなく、本人確認の信頼性とプライバシー保護を両立する共通基盤の整備である。属性の確認だけで目的を達成できる場合には、その結果だけを提供し、原画像や詳細な個人情報を事業者に渡さずに済む仕組みを普及させることが重要だ。
法定保存義務の総点検
情報の長期保管を見直す際には、法律や行政上の規則によって定められた保存義務も点検する必要がある。事業者が情報を削除したくても、法令上の保存期間が定められている場合には、単純に削除することはできないからだ。
一方、法令上の保存義務があることと、業務に関連するすべての情報を無期限に保存することは同じではない。法令が求める記録の種類、保存期間、保存形式を正確に確認し、義務の対象外となる画像や複製データまで慣行的に保管していないかを検証する必要がある。
例えば、取引記録の保存が求められる場合でも、取引の内容を証明するために必要な記録と、本人確認の際に取得した身分証明書の原画像が、同じ期間にわたって保存されなければならないとは限らない。必要な記録と付随的な情報を分離し、保存義務の範囲を明確にすることが重要となる。
政府は、個人情報を扱う主要な業務について、関連法令の保存要件を横断的に整理し、事業者が判断しやすい指針を示すことが望ましい。複数の制度が関係する場合には、保存義務の重複や解釈の不明確さを整理し、必要に応じて法令や運用指針の改正を検討すべきである。
ただし、保存期間を短縮する際には、犯罪捜査、税務、監査、訴訟対応、消費者保護など、記録を保持する公共的な必要性にも配慮しなければならない。制度改革は、保存義務を一律に撤廃することではなく、保存する理由、情報の種類、期間、アクセス権限を明確にし、必要最小限の保管を実現することを目的とする。
技術・運用の自動化（AIを活用した守りの高度化）
サイバー攻撃の自動化が進む環境では、防御側も継続的な監視と対応を自動化する必要がある。人間が定期的にシステムを確認するだけでは、短時間で実行される攻撃や、夜間・休日に発生する異常を見逃す可能性があるためだ。
人工知能を利用した防御では、通常の通信や操作の傾向を分析し、異常なログイン、短時間での大量取得、普段と異なる地域や端末からの接続、権限変更、不審な情報送信などを検知する仕組みが考えられる。検知された異常を重要度に応じて分類し、担当者への通知や一定の条件下でのアクセス遮断につなげれば、対応の遅れを減らせる可能性がある。
ただし、人工知能の判断を無条件に信頼することは危険である。正当な業務操作を攻撃と誤認すれば業務停止を招き、攻撃者が通常の動作に似せた操作を行えば異常を検知できない場合もある。したがって、検知結果を人間が確認する仕組みと、重大な危険に対して迅速に自動遮断する仕組みを、リスクに応じて使い分ける必要がある。
さらに、人工知能を導入する前提として、ログの収集、時刻の統一、端末や利用者の識別、アクセス権限の整理など、基礎的な管理が整っていなければならない。管理対象のシステムが把握できていない組織では、監視対象から漏れた機器やアカウントが攻撃者の侵入口として残る可能性がある。
自動化の目的は、人間の担当者を単純に置き換えることではない。大量の警告を整理し、優先順位を付け、担当者が重要な判断に集中できる環境を整えることである。導入後も誤検知や見逃しを定期的に評価し、攻撃手法の変化に応じて監視規則や対応手順を更新する必要がある。
継続的脆弱性スキャン・自動監視の導入
脆弱性への対応は、年に1回の点検や事故発生後の調査だけでは不十分である。システムの設定変更、新しいソフトウェアの導入、外部サービスとの接続、脆弱性情報の公表などによって、危険な状態は日常的に変化するため、継続的に確認する仕組みが必要となる。
継続的脆弱性スキャンでは、管理対象の機器やソフトウェアを定期的に調査し、既知の弱点、古い版の使用、危険な設定、不要な公開サービスなどを発見する。検知結果を危険度、外部からの到達可能性、保有情報の機微性などに応じて分類すれば、限られた人員でも重要な問題から優先して修正できる。
自動監視では、認証の失敗が急増した場合、通常では考えにくい大量の情報取得が発生した場合、管理者権限が不自然に変更された場合などを検知し、担当者へ通知する。重大な危険が確認されたときには、対象アカウントの一時停止や通信の遮断を自動的に実行する設計も考えられる。
ただし、スキャンを実施しただけで脆弱性が解消されるわけではない。発見された問題を誰が修正するのか、修正による業務への影響をどう確認するのか、修正できない場合にどのような暫定措置を取るのかまで、運用手順を定める必要がある。
また、スキャンの対象から外れた機器や、管理者が把握していないクラウド上のシステムが残れば、監視体制には穴が生じる。資産台帳と脆弱性管理を連携させ、管理対象を継続的に把握するとともに、委託先のシステムについても責任範囲と確認方法を明確にすることが重要だ。
中小企業・サプライチェーンへの直接支援
中小企業や小規模な委託先に対しては、注意喚起や指針の配布だけでなく、実際の対策を実行できるようにする支援が必要である。専門人材の確保が難しい組織に高度な対策を要求しても、具体的な支援がなければ、書類上の対応だけで終わる可能性がある。
支援策としては、専門家による現地診断、危険な設定の修正支援、認証管理の導入、バックアップの整備、従業員向け訓練、事故対応計画の作成などが考えられる。個々の企業が専門家を独自に探して契約するのではなく、地域や業界単位で支援を受けられる仕組みを整えれば、費用と人材の制約を緩和できる。
さらに、発注側の企業にも責任を求める必要がある。委託先に対して高度な安全基準を要求するのであれば、その実施に必要な費用や期間を契約に反映し、改善状況を共同で確認することが望ましい。発注側が低価格と短納期を優先しながら、委託先にのみ安全対策の責任を負わせる仕組みでは、サプライチェーン全体の安全性は向上しにくい。
行政による補助や共同調達を活用し、複数の企業が共通の監視サービスや相談窓口を利用できる仕組みも有効である。重要なのは、支援金の交付や講習の実施を成果とするのではなく、脆弱性の修正、認証管理の改善、復旧能力の向上など、具体的な改善につながったかを検証することだ。
被害者の救済・権利保護の現代化
情報流出を完全に防ぐことが難しい以上、事故が起きた場合に被害者を迅速に支援する制度も必要となる。組織が事故を公表し、謝罪しただけでは、流出した情報の悪用を防ぐことも、被害者の不安や手続き上の負担を解消することもできない。
まず、事故を起こした組織には、流出した情報の種類、想定される危険、対象者が取るべき対策、相談先を、可能な限り具体的に説明することが求められる。情報が不正利用される危険が高い場合には、被害の確認を待つのではなく、早期の認証情報変更支援や不正利用の監視など、予防的な対応を検討すべきである。
また、被害者が複数の組織に個別に連絡しなければならない現状を改善する必要がある。事故を起こした組織、金融機関、関係するサービス事業者、相談機関の間で適切に連携し、本人が同じ情報を何度も提出しなくても支援を受けられる仕組みを整えることが望ましい。
さらに、実際に金銭的損害が発生した場合の補償や、本人確認書類の再発行などに要する費用の扱いも整理すべきである。すべての事故について一律の補償を行うことが適切とは限らないが、情報を管理していた組織の責任、事故との因果関係、被害者の負担を踏まえた、分かりやすい救済基準が必要となる。
情報流出の被害者は、事故を引き起こした主体ではない。したがって、制度の設計においては、本人が自力で専門的な知識を身に付け、被害を立証し、複雑な手続きを完了しなければ救済を受けられない状況をできるだけ減らすことが重要だ。
信用凍結手続きの簡素化・無料化
情報流出後の被害を抑えるための対策として、信用情報の不正利用を防ぐ仕組みの整備も検討に値する。本人の情報が第三者に渡り、なりすましによる融資や契約の申込みに悪用される危険がある場合、本人が信用情報の利用や新たな契約に関して注意を促せる制度は、被害の抑制に役立つ可能性がある。
ただし、日本で「信用凍結」と呼ばれる措置を考える際には、米国などで用いられる信用情報の凍結制度と、日本の信用情報機関が提供する本人申告制度などを区別する必要がある。日本では、本人申告情報の登録などによって、本人確認に注意を要する事情を加盟会社に伝える仕組みがあるが、それがあらゆる融資や契約を自動的に停止するものではない。
したがって、制度を改善する場合には、どの機関がどの情報を受け付け、どの事業者がそれを確認し、どのような取引に警告を適用するのかを明確にする必要がある。手続きが複雑で費用もかかるなら、事故の通知を受けた人が利用をためらい、被害の予防に十分活用されないおそれがあるため、申請手続きの簡素化や無料化を検討すべきである。
一方、本人の申告だけであらゆる取引を一律に停止すると、正当な契約や金融サービスの利用まで妨げる可能性がある。本人が必要なサービスを利用できるようにしながら、不正な申込みを防ぐための確認を強化するなど、利便性と安全性を両立する仕組みが求められる。
従業員1人のワンクリックが致命的な結果につながる現実
情報流出の原因を考える際、従業員の誤操作や不注意が取り上げられることは多い。実際、偽のログイン画面への情報入力、悪意ある添付ファイルの開封、不正な送金指示への対応など、個人の操作が攻撃の成功につながるケースは存在する。
しかし、従業員1人の操作によって重大な事故が発生した場合でも、その責任を本人の注意力だけに帰することは適切ではない。1回の操作で大量の情報にアクセスできる権限が与えられていたこと、送信先を検証する仕組みがなかったこと、不審な操作を検知できなかったことなど、組織側の設計に問題がなかったかを検証する必要がある。
例えば、従業員が偽の認証画面にパスワードを入力してしまった場合でも、多要素認証や不審な接続の検知、端末の管理、アクセス権限の制限が適切に機能していれば、攻撃者がその情報を利用して侵入することを難しくできる。さらに、侵入後の情報取得を監視し、通常とは異なる大量の持ち出しを検知できれば、被害の拡大を防げる可能性がある。
したがって、従業員教育は必要だが、それだけで安全性を確保しようとする発想は改めるべきである。人間は誤りを犯すという前提に立ち、1回の誤操作が即座に大規模な情報流出や送金につながらないよう、複数段階の確認、権限の最小化、自動検知、迅速な停止手順を組み合わせることが重要となる。
今後の展望
2026年の日本の情報セキュリティを考えるうえで、重要なのは、脅威が新しくなっても、被害を引き起こす基本的な弱点が残り続けていることである。情報処理推進機構が2026年1月に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威としてランサム攻撃が1位、サプライチェーンや委託先を狙った攻撃が2位となり、人工知能の利用をめぐるサイバーリスクが初めて3位に入った。新技術への対応が求められる一方、委託先管理や脆弱性対策など、長年指摘されてきた問題も依然として重要である。
個人情報保護委員会の2025年度年次報告では、個人情報取扱事業者等に関する漏えい等の報告件数は17,139件とされ、行政機関等に関する報告の処理件数は2,278件だった。これらは制度上の報告・処理件数であり、すべてが外部からのサイバー攻撃によるものではないが、情報管理上の事故が継続的な監督課題となっていることを示している。
今後、人工知能によって攻撃の準備や詐欺文面の作成が効率化されれば、防御側は、攻撃を受けた後に人手で調査するだけでは対応が追い付かなくなる可能性がある。継続的な監視、自動的な脆弱性管理、アクセス権限の最小化、迅速な封じ込めを組み合わせ、攻撃の発生を前提として被害を限定する設計へ移行する必要がある。
一方、技術の導入だけで問題が解決するわけではない。高性能な監視システムを導入しても、警告を判断する人員がいなければ機能せず、検知された危険を修正する予算や権限がなければ、重大な脆弱性が放置される可能性がある。技術投資、組織運営、責任分担、人材育成を一体として改善することが重要となる。
行政にとっては、注意喚起の回数や指針の公表数を増やすことから、実際の安全性を高めることへ評価の軸を移すことが課題となる。重大な脆弱性がどれだけ早く修正されたか、事故をどれだけ早く検知できたか、復旧までにどれほどの時間を要したか、被害者にどれだけ迅速な支援を提供できたかといった指標を用いれば、政策の効果をより具体的に検証できる。
さらに、事故の原因や再発防止策を業界全体で共有する制度も重要になる。個々の組織が事故を公表しても、その教訓が他の組織に伝わらなければ、社会全体の防御能力は十分に向上しない。独立した事故調査、匿名化された事例の公開、共通の技術基準、実践的な訓練を組み合わせ、個別の失敗を社会全体の改善につなげる仕組みが必要である。
情報流出への対策は、利便性や効率性との両立も求められる。個人情報の収集や保存を必要以上に制限すれば、正当な業務や行政サービスに支障が生じる可能性があるため、情報を一律に削除するのではなく、目的に照らして必要な情報だけを扱い、必要な期間だけ保存し、アクセスを厳格に管理するという原則を徹底するべきだ。
また、事故を起こした組織への責任追及と、被害者への支援を切り離さずに考える必要がある。法令違反や重大な管理不備には適切な措置を講じる一方、被害者が複雑な手続きや専門的な立証を自力で行わなくても、必要な情報と支援にアクセスできる制度を整えることが求められる。
今後の改革に必要なのは、攻撃者を完全に排除できるという前提を捨て、侵入されても重要情報を容易に持ち出せず、異常を速やかに検知し、被害を限定し、迅速に復旧できる社会基盤を築くことである。その実現には、政府、企業、委託先、技術者、利用者がそれぞれの責任を果たしつつ、個人の注意力だけに依存しない仕組みを整備することが不可欠となる。
まとめ
日本で情報流出が繰り返される原因は、攻撃者の技術が高度化していることだけでは説明できない。必要以上の個人情報を保有する慣行、システム更新の先送り、委託先との責任分担の曖昧さ、専門人材の不足、形式的な監査、事故後の検証と救済の不十分さなどが重なり、既知の危険が繰り返し被害につながっている。
行政による注意喚起は、危険を知らせるために必要な手段である。しかし、警告を受けた組織が対策を実行できるとは限らず、実際に対策が機能していることを確認するものでもない。今後は、重大な危険に対する監督と是正、専門人材や資金の支援、独立した事故調査、実効性を測る評価制度を組み合わせる必要がある。
技術面では、人工知能による自動監視、継続的な脆弱性管理、権限の最小化、多要素認証、情報の持ち出しの検知などを組み合わせるべきだ。同時に、情報を収集・保管する段階から必要性を厳しく検証し、原画像や複製データの長期保管を見直すことで、事故が発生しても被害が拡大しにくい構造を作ることが重要となる。
被害者救済についても、事故の通知だけで責任を果たしたと考えるべきではない。具体的な危険の説明、二次被害の防止、相談窓口の連携、必要な手続きの簡素化などを進め、情報を管理していた組織が被害の抑制に積極的な役割を果たす制度へ転換する必要がある。
結局のところ、情報流出対策の成否を決めるのは、注意喚起の回数でも、規程や監査書類の数でもない。危険を実際に減らし、事故を早期に発見し、被害を最小限に抑え、同じ失敗を繰り返さない仕組みを作れるかどうかである。日本が目指すべきなのは、事故のたびに注意を呼びかける社会ではなく、注意を怠った人がいても、単一の誤操作が致命的な被害につながらない社会である。
参考・引用リスト
政府・行政機関の資料
- 個人情報保護委員会『令和7年度個人情報保護委員会 年次報告』
- 警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』
- 警察庁『サイバー空間をめぐる脅威の情勢等』統計・公表資料一覧
専門機関・技術資料
- 独立行政法人情報処理推進機構『情報セキュリティ10大脅威 2026』
- 独立行政法人情報処理推進機構「『情報セキュリティ10大脅威 2026』を決定」2026年1月29日
法制度・デジタル基盤
- 個人情報の保護に関する法律（個人情報保護法）
- デジタル庁マイナンバーカード、公的個人認証サービス、デジタル社会の基盤整備に関する公表資料
- 公的個人認証サービス ポータルサイト電子証明書を用いたオンライン本人確認の仕組み
参考資料の利用に関する留意点
本稿では、2026年10月時点の現状を論じるにあたり、確認できた公表資料を基礎としている。ただし、2026年通年の統計はまだ確定していないため、年度や集計期間の異なる件数を単純に比較してはならない。
また、漏えい等の報告件数には、サイバー攻撃以外の事故や誤送信なども含まれ得る。報告件数の増加を、そのまま攻撃件数や被害人数の増加と解釈しないことが重要である。