生成AIサービスは、登録から使用開始までのハードルが大きく下がりました。個人のアカウントで即座に使い始められるため、会社として方針を定める前に現場での使用が先行するケースが増えているようです。報告書の下書き、議事録の要約、メールの文面作成。こうした作業を手早く済ませようとした社員が、業務データをAIサービスに入力するという経路は、特別な状況ではなくなっています。

2026年9月3日、RIZAPグループは、子会社であるライザップの社員が、会社として業務利用を認めていない外部の生成AIサービスに顧客情報をアップロードしていたと発表しました。対象には氏名・生年月日・メールアドレスだけでなく、高血圧症・糖尿病・脂質異常症といった疾患情報も含まれており、委託元となる複数の健康保険組合の公表を通じて、影響は合計で約1万9,996人分に及ぶことが明らかになっています。

社内で何のデータが、どのAIサービスに入力されているかについて即答できる企業は、現時点ではほとんどないのが実情ではないでしょうか。

この記事では、ライザップの事例を起点に、シャドーAIとはどのような状態か、なぜ中小企業こそ先に手を打つべきかを整理した上で、具体的な対策をお伝えします。

ライザップ事例が明らかにしたこと

事故の概要

社員個人が会社の承認を得ていない生成AIサービスを業務に使用し、顧客の個人情報および疾患情報をアップロードしていました。影響は1万9,996人分に及び、複数の健康保険組合の加入者データが含まれていました。

このような状態を「シャドーAI」と呼びます。会社が使用を認めていないAIサービスを社員が個人の判断で業務に使う状態であり、シャドーIT（会社非公認のITツール・サービスの業務使用）のAI版として位置づけられます。

特記すべき点として、ライザップ自身の公表では影響人数が示されておらず、規模を明らかにしたのは委託元の各健康保険組合でした。全国土木建築国民健康保険組合は1万9,996人分のうち同組合分が1,167人と公表し、IHIグループ健康保険組合はライザップより一日早い9月2日に、対象者210人と委託先がライザップであることを明記した上で公表しています。

情報を預かる立場が負うリスク

この点は、単なる情報開示の姿勢の問題ではなく、委託関係における責任の所在という観点から見る必要があります。個人情報保護法のもとでは委託元も監督責任（法25条）を負っており、委託先での漏えいはそのまま委託元の問題にもなりえます。

この構図は、中小企業にとっても無縁ではありません。取引先の設計図面を保持している製造業の下請け、患者情報を扱う医療・介護施設、顧客データを処理する業務委託先のサービス業者など、これらはいずれも情報を預かる側の立場にあります。社員がシャドーAIを使って入力した情報の中に取引先から預かったデータが含まれていた場合、自社だけの問題では済まなくなります。管理体制が手薄になりやすい中小企業では、このリスクを大企業特有の話として読み流すことは難しいでしょう。

シャドーAIはなぜ起きるのか

便利さの先行＆ルールの後回し

生成AIサービスは登録ハードルが低く、個人のアカウントで即座に使い始められます。顧客管理・報告書作成・議事録整理など、データを扱う業務での活用が進みやすく、入力内容のリスクは後から考える傾向があります。その結果、機密情報が意図せずAIサービスに渡る経路が生まれます。

ただし、AIサービスに情報を入力すること自体が、直ちに個人情報の漏えいに当たると一概に言えるわけではありません。一方で、無料プランや個人向けの契約形態では、入力内容がAIモデルの学習に利用される設定になっている場合があり、その場合は学習データを通じて第三者に情報が渡る可能性を否定できません。入力した情報がどのように扱われるかは利用するAIサービスの契約内容・設定次第であり、それを確認しないまま利用を続けている状態そのものがリスクだといえます。

ここで押さえておきたいのは、シャドーAIによる情報流出が「外部からの攻撃」ではなく「内側からの流出」であるという点です。ウイルス対策ソフトやファイアウォールは外部の侵入を防ぐために設計されており、社員が自ら情報を外部サービスに入力するという行為には機能しません。技術的な防御だけでは対応できない種類のリスクです。転職時に顧客データを持ち出すといった内部不正と、構造的には同じ経路をたどるという点でも、人を起点とした情報流出への備えは、外部攻撃対策とは別に検討する必要があります。

「禁止すればよい」では実態は変わらない

業務利用を全面禁止にしても、確認手段がなければ実態は変わりません。生産性向上の観点から、適切なツールの活用自体を否定しにくい局面が増えているのも事実です。必要なのは使わせないという方針ではなく、何をどのAIに入力してよいか、何はいけないかを明文化することです。

個人情報保護法は事業者に対して個人情報の安全管理措置を義務づけています（法23条）。その義務を果たすには、前提として自社が何のデータを保有しているかを把握することが求められます。禁止するだけではこの義務を履行したことにはなりません。ルールを文書化し、実態に即した運用に落とし込むことが、法的な義務の履行と一致します。

中小企業が先に着手できる対策

まず「何のデータを持っているか」を把握する

AIに入力してはいけないデータを定めるには、自社が保有するデータの種類を先に把握する必要があります。顧客の氏名・連絡先・決済情報・健康情報・取引履歴など、業種によって扱うデータは異なります。存在を把握していないデータは管理のしようがなく、漏えいの後に初めて「あのデータもあった」と気づくケースは少なくありません。

データの棚卸しはセキュリティ対策全体の出発点であり、費用をかけずに着手できる作業でもあります。自社が保有する情報を一覧にするという一歩が、後続の対策をすべて支える土台になります。

AIツール利用ルールを文書化し、実態と照合する

「情報セキュリティ基本方針」や「生成AI利用ガイドライン」として、A4一枚程度にまとめるだけでも実務上の効果があります。最低限盛り込む内容は、利用可能なAIサービスの範囲、入力禁止データの種類（個人情報・取引先情報・機密情報等）、違反時の対応方針の三点です。外注先・委託先の利用状況も確認対象に含めることが重要であり、業務委託契約にAIツール利用の取り扱いを明記しておくことも有効な手段となります。
独立行政法人 情報処理推進機構（IPA）のSECURITY ACTIONの取り組みとも連動させることができ、取引先からのセキュリティチェックシートへの回答材料としても機能します。情報セキュリティポリシーの作成手順については、こちらの記事で詳しく解説しています。

ただし、ルールを作るだけでは文書と実態が乖離したままになるおそれがあります。業務端末の利用状況を確認できる管理ツールの活用や、社員が現在使用しているAIサービスを申告させる承認済みリストの運用など、実態を把握する手段を合わせて整えることが対策の実効性を左右します。シャドーAIは内側からの流出であるため、外部攻撃対策とは別に、この確認の仕組みを用意する必要があります。

まとめ

シャドーAIの問題は、悪意のある行為よりも、ルール不在の状態で便利なサービスを使い始めたという経路で発生することが多く見られます。対策の出発点は高度な技術導入ではなく、自社が何のデータを保有しているかを把握し、何をどのAIに入力してよいかを文書化するという二点にあります。

文書化と実態確認の両方を整えた事実を記録として残すことが、取引先や顧客からの信頼の根拠になります。外部からの攻撃対策を強化しても、内側からの流出が手つかずのままでは対策の全体像は完成しません。この観点から着手する企業がまだ少ないうちに、整えておく価値があります。

以下の項目で現状を確認してみることをお勧めします。

1. 社員が業務で使用しているAIサービスを会社として把握しているか
2. 生成AIへの入力を禁止するデータの種類が明示されているか
3. AIツール利用に関するルールが文書化され、社員に周知されているか
4. 外注先・委託先のAI利用状況を確認・契約で整理しているか
5. 承認済みリストや管理ツール等、実態を把握する手段が整っているか

社内でAIがどのように使われているかを確認した上で、ルールの文書化や実態把握の進め方にお困りの場合は、まずご相談ください。生成AIの利用ガイドライン策定から、データの洗い出し、実態確認の方法の整理まで、一緒に進めることができます。

情報セキュリティに関する規程整備やセキュリティチェックシートへの対応については、こちらのページもご参照ください。

こども家庭庁は、こども性暴力防止法（通称：日本版DBS）に関して、従事者向けの研修標準教材を公開しています。

法律が定める研修事項は8項目あり、こどもの権利や性暴力が生じる背景といった基礎知識から、不適切な行為の範囲、疑いの早期発見、相談・報告への対応、被害児童等の保護・支援、犯罪事実確認への対応、防止措置の基礎、そして厳格な情報管理の必要性まで、幅広い内容を動画と演習の形式でカバーしています。この教材を使って研修（演習・確認テストを含みます）を実施すれば、法律が求める研修の要件は満たされます。

ただし、法的な要件を満たすことと、実際に情報管理や漏えい防止に役立つことは、必ずしも同じではありません。8項目の大半は、施設の業種や規模にかかわらず共通する内容で対応でき、標準教材が有効に機能します。

ところが、とりわけ厳格な情報管理の必要性は、施設ごとの実態を前提にしなければ、従業員にとって「自分事」として響きにくいという性格を持っています。

こども性暴力防止法の対象は幅広く、学校や保育所のように犯罪事実確認が義務となる事業者から、学習塾やスポーツクラブのように認定取得を検討する事業者まで含まれます。法律は、規程の整備と研修の実施を別々の義務として定めています。これは、ルールが書いてある状態と、従業員がそのルール通りに動ける状態を同一視しないためともいえます。規程は判断の基準を定めるものであり、研修は従業員の行動を変えるものですので、両者は役割が異なります。

とりわけ情報管理の1項目は、施設の実態を把握せずに研修内容を組み立てると、知識は伝わっても行動には結びつかない、いわば他人事の研修になりかねません。「自分の施設では具体的にどうするか」を明確にできるかどうかが、法的要件を満たす研修と、実際に漏えいを防げる研修の分かれ目になります。

情報管理の研修事項が、もっとも施設の実態を左右される

「不適切な行為」を含む7項目は、大部分が共通教材で足りる

こどもの権利や性暴力が生じる背景といった基礎知識、疑いの早期発見の視点、相談・報告への対応、被害児童等の保護・支援、犯罪事実確認への対応、防止措置の基礎という6項目は、施設の業種や規模によって内容が大きく変わるものではありません。こども家庭庁が作成した標準動画教材は、こうした「共通化できる知識」を届けることを目的としており、意図した通りに機能する領域です。

残る1項目である「不適切な行為」の範囲についても、こども家庭庁は「不適切な行為」の例を挙げており、これは業種ごと大きく異なるものではないため、大部分は事業者を問わず共通する内容で定義できると考えられます。ただし着替えの補助、水泳や体操指導のような身体接触を伴う指導、個別面談など、業務上必要な場面と紙一重になり得る一部の行為については、事業者が自施設の業務内容に即して具体的に定め、服務規程や就業規則等に明示して従事者に周知することが求められています。とはいえ、これも業種ごとにある程度共通化できる部分は多いかと思います。

情報管理の1項目は、施設ごとに変数が違う

一方、「厳格な情報管理の必要性」を研修で伝えるには、前提となる情報が必要になります。犯罪事実確認記録を誰が、どんな環境で、どの程度の情報リテラシーを持つ人が取り扱うか。こども家庭庁のシステム内だけで管理が完結するか、書類として保管もしているか。こうした実態は施設によって大きく異なります。

たとえば園長・主任・事務職員など複数名で情報を分担管理している保育園もあれば、教室長1名が採用から犯罪事実確認の実務までほぼ一人で担っている学習塾や音楽教室もあります。

取扱う環境にも差があります。事務職員専用の個室で確認作業ができる施設もあれば、他の職員が常駐する事務室で確認せざるを得ない施設もあります。取扱者の情報リテラシーも一様ではなく、日常的にパソコンを扱う担当者もいれば、紙の書類が中心でシステム操作に不慣れな担当者もいます。

取扱者が1名の施設と複数名の施設では、「誰に見せてはいけないか」という話が変わります。個室で確認できる施設と、他の職員がいる場所で確認せざるを得ない施設では、画面の見え方や声の大きさへの注意点が変わります。システム内だけで管理が完結する施設と、書類として保存している施設では、気をつけるべき対象がまったく異なります。情報リテラシーの高い担当者と、システム操作に不慣れな担当者とでは、同じ説明でも伝わり方が変わります。従業員が自分の業務で具体的に何をすべきかをイメージできない研修になりやすいのは、ここに理由があります。

施設の実態を把握せずに組んだ研修は、「厳格に管理してください」という言葉を伝えることはできても、従業員が自分事として捉えられず、行動を変えるところまで届かない可能性があります。

では、「システムで管理しているから安全」という前提は、どこで崩れるのでしょうか。権限設定が適切に行われていても制御しにくい、具体的な経路を示します。

システム内管理でも起きる、見落とされやすい漏えいの経路

画面と口頭を経由する情報の流出

アクセス権限が適切に設定されていても、制御しきれない行動経路があります。スクリーンショットによる持ち出しは、その一つです。手元で確認したい、後から見返したいという実務上の理由で発生することが多く、悪意がなくても起こり得ます。システムの設計だけで防ぐことには限界があり、画面を撮影しない、記録を印刷しないという行動規範を、従業員が自分の行動として具体的に理解している状態を作ることが必要になります。

口頭による開示も、見落とされやすい経路です。閲覧権限のない上司や同僚から「あの確認結果はどうだった？」と聞かれて反射的に答えてしまう場面、退勤後の居酒屋での会話で無意識に話が出てしまうケースなどが考えられます。こども性暴力防止法39条は、業務に関して知り得た情報をみだりに他人に知らせてはならないと定めており、業務外の会話で第三者に話した場合も対象になり得ます。違反した場合は45条2項により1年以下の拘禁刑または50万円以下の罰金（併科されることもあります）が科され得ます。技術的なアクセス制御と、その法的な意味を従業員が理解していること。この両方が揃って初めて、管理の仕組みとして機能します。

なお、情報が漏えいした、またはそのおそれがあると判断した場合は、こども家庭庁への報告が義務となります。法律上は「直ちに」の速報が求められ、ガイドラインではその目安が事態を知った日から3〜5日以内と示されています。確報は原則30日以内、不正の目的による漏えい等の場合は60日以内です。インシデント対応の流れについて事前に確認しておきたい場合は、セキュリティインシデント60分相談もご参考にしてください。

離職・配置転換にともなうアクセス権限の見直し漏れ

学習塾チェーンや保育所を複数運営する事業者において、特に見落とされやすいのがこのケースです。担当者が離職した場合はもちろん、対象業務から外れる配置転換があった場合も、システムの権限設定を見直す必要があります。施設が1か所であれば手順は単純ですが、複数施設にまたがると、どの施設のどのシステムの権限を誰がいつ見直すかという責任の所在が曖昧になりやすくなります。

法律は、従事者の離職等から30日以内に犯罪事実確認記録の廃棄・消去を行うことを義務付けており（法38条）、怠った場合は罰則の対象となり得ます（法46条3号）。権限の見直しと記録の廃棄・消去は連動する作業ですが、対象となる場面や期限の考え方が異なるため、それぞれの手続きを整理しておく必要があります。権限を見直す仕組みを作ること（技術的な権限管理の手順）と、行った対応を記録に残すこと（規程上の文書管理）はセットで設計しておく必要があり、どちらか一方だけでは義務を果たしたとは言いにくい面があります。

こうした手順の設計は規程の文言に落とし込む作業でもあり、技術的な管理と文書上の整備を分離して考えると、どちらかが宙に浮いた状態になりやすいといえます。

まとめ

動画を視聴し、法律が求める研修の要件を満たしたことと、従業員が自施設での行動を変えたことは、同じではありません。標準教材がカバーする部分と、施設ごとに補足しなければならない部分を区別することが、研修義務を実態として果たす出発点になります。研修の内容が、自分の施設で今日から何をすべきかに落とし込まれているかどうかが、この差を分ける分かれ目です。

規程の整備が完了したタイミングにあわせて研修内容の検討に着手すると、規程に書かれた手順と研修で伝える内容が自然に一致する形で組み立てやすくなります。

自施設の情報管理の状況が現在の研修内容でどこまでカバーできているか確認したい場合や、規程の整備と研修の内容をあわせて検討したい場合は、まずご相談ください。施設の実態をお聞きした上で、規程面・技術管理面の両方から状況を整理します。

情報管理の規程と研修を同一の窓口で相談できることで、規程に書かれた手順と研修で伝える内容のずれを防ぎやすくなります。まずは状況の確認だけでも、お気軽にどうぞ。

【無料・3分】自施設の対応状況をチェックする

取引先からセキュリティチェックシートへの回答を求められ、SECURITY ACTIONの宣言を済ませたばかりという事業者の方も多いのではないでしょうか。実はこれとは別に、IPA（独立行政法人 情報処理推進機構）がもう一段階踏み込んだ評価制度を新たに用意しています。名称は「SCS評価制度」（サプライチェーン強化に向けたセキュリティ対策評価制度）。まだ運用が始まっていない制度ですが、仕組みを知っておくと、取引先対応の先読みができます。

この記事では、SCS評価制度がどのようなものか、SECURITY ACTIONとは何が違うのか、そして中小企業が今の段階で何をしておけばよいのかを整理します。

SCS評価制度とは

SCS評価制度は、IPAが運営する新しいセキュリティ評価の仕組みです。★3・★4という段階があり、企業が自社のセキュリティ対策状況を評価し、その結果を対外的に示せるようにすることを目的としています。

2026年8月、制度の土台となる規程（SCS-100基本規程など）がIPAから公表・施行されました。運用開始は2026年度下期（10月〜2027年3月）を予定しており、今後さらに詳細が固まっていく段階です。

★3と★4は何が違うのか

★3は、自社のIT基盤への初期侵入や、侵入後の被害拡大への対応など、一般的なサイバー脅威への基本的な対策を対象とします。取得の流れも「専門家確認付き自己評価」というシンプルな形です。事業者自身が評価し、外部の専門家がその内容を確認する、という位置づけになります。

★4はさらに範囲が広く、被害拡大や攻撃者の目的遂行リスクの低減、サプライチェーン全体の強靭化まで含む、より包括的な対策が求められます。取得の流れも「第三者評価と技術検証」を伴う実地審査が必須とされており、★3より厳格です。

多くの中小企業がまず検討することになるのは、実務対応の負荷が現実的な★3の方だと考えられます。

「取得しないと不利になる」という営業トークにご注意ください

2026年4月、経済産業省と内閣官房国家サイバー統括室は、SCS評価制度を巡る不適切な勧誘について連名で注意喚起を出しています。「評価を取得していないと商取引が規制される」「今すぐ取得しないと入札から除外される」といった不安を煽る形で製品・サービスを売り込む営業活動が報告されている、という内容です。

公式の説明によれば、SCS評価制度はあくまで任意の制度であり、個社間の商取引を規制するものではありません。評価基準を満たすために特定のセキュリティ対策製品の導入が必須とされているわけでもありません。制度の詳細は今後IPAが構築・周知していくとされているため、不安を煽るような営業を受けた場合は、まずIPAの公式発表で内容を確認することをお勧めします。

SECURITY ACTIONとの違い

SECURITY ACTIONとSCS評価制度は、どちらもIPAに関わる制度ですが、性質が異なります。

SECURITY ACTIONは、事業者自身が「情報セキュリティ対策に取り組みます」と宣言する仕組みです。宣言する側が自己申告するだけで完了し、外部の第三者による確認は入りません。

一方でSCS評価制度の★3は、事業者が行った自己評価の結果を、外部の専門家が確認・助言するという工程を含みます。自己申告で終わるSECURITY ACTIONに対し、SCS★3は「専門家の目を通す」という一段階先の仕組みです。取引先から見れば、より客観性の高い評価として受け止められる可能性があります。

★3で求められる「専門家による確認」とは

IPAが公表している情報によると、SCS★3の要求事項は26項目あり、これを事業者自身がまず自己評価します。その結果を確認・助言するのが「セキュリティ専門家」です。

この専門家になるには、情報処理安全確保支援士（登録セキスペ）、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの資格を保持したうえで、指定の研修を受講し、IPAに登録する必要があるとされています。資格を持っているだけでは足りず、研修受講が条件になっている点は押さえておきたいところです。

なお、この研修を提供する事業者の指定・公表は2026年12月末頃を予定しているとIPAは案内しています。つまり、現時点ではまだ研修そのものが始まっておらず、実際に★3の確認業務を行える専門家も存在しません。制度の骨組みは固まりつつありますが、運用の実態はこれから、という段階です。

★3取得の大まかな流れ

IPAが示す流れを整理すると、次のようになります。

1. 事業者が26項目の要求事項に沿って自己評価を記入する
2. セキュリティ専門家が内容を確認し、必要に応じて修正の助言を行う
3. 専門家が署名した評価結果をもとに、経営層の宣誓を含めて事務局へ申請する
4. 台帳に登録され、対外的に公開される

「専門家が確認する」という工程が入る分、SECURITY ACTIONの自己宣言よりも準備に時間がかかることが見込まれます。早めに自社の状況を整理しておくことが、いざ制度が始まったときの負担軽減につながります。

当事務所としてのサポート

当事務所は行政書士と情報処理安全確保支援士（登録セキスペ）の両方の資格を持っています。SCS★3の「専門家による確認・助言」は登録セキスペ等の限られた資格保持者にしかできない業務として制度上位置づけられており、行政書士としての規程整備支援と組み合わせられる点は、当事務所ならではの強みになり得ると考えています。

ただし、前述の通り研修事業者の指定はまだ先の話です。現時点では、研修の詳細が明らかになり次第すぐに対応できるよう準備を進めている段階とご理解ください。

中小企業が今できる準備

SCS評価制度はまだ運用開始前の制度のため、今すぐ何かを申請する必要はありません。ただし、SECURITY ACTIONの宣言は、SCS評価制度に取り組む際の土台になると考えられます。まずはSECURITY ACTIONの一つ星・二つ星から着手し、自社の対策状況を棚卸ししておくことが、結果的にSCS評価制度への備えにもつながります。

一つ星と二つ星の違いについては、SECURITY ACTIONの一つ星と二つ星の違いは？で詳しく解説しています。

本記事は2026年8月時点でIPA・経済産業省が公表している情報を前提としています。SCS評価制度は今後、評価ガイド（2026年秋頃公表予定）や研修事業者の情報が順次公表される見込みのため、内容が更新される可能性があります。最新情報はIPA・経済産業省の公式発表をご確認ください。

SECURITY ACTIONの宣言やセキュリティチェックシート対応について相談したい場合は、お気軽にお問い合わせください。

▶SECURITY ACTION・制度対応の無料診断はこちら

こども性暴力防止法(いわゆる「日本版DBS」。以下「法」といいます。)の施行まで4か月を切り（※記事執筆時点）、情報管理措置について調べ始めた担当者の方も増えているかと思います。

ガイドラインを読むと、「組織的」「人的」「物理的」「技術的」という分類が出てきますが、これは個人情報保護法が求める安全管理措置と対応する形で整理されたものです。プライバシーマークを取得していたり、個人情報保護方針を整備済みの事業者であれば、見たことがあると感じるのではないでしょうか。

ただ、この「見慣れた型」であることが、かえって落とし穴になりかねません。対応関係にあることと、水準まで同じであることは別の話だからです。ガイドラインを読み込むと、「標準的措置」として示されている水準も、性犯罪歴という情報の特殊性から生じる要求も、決して軽いものではないことがわかります。

この記事では、情報管理措置がなぜ「見慣れた型なのに侮れない」のか、その構造を整理します。

情報管理措置は、個人情報保護法の「安全管理措置」と対応関係にある

個人情報保護法ガイドラインが事業者に求める安全管理措置は、基本方針の策定に加えて、組織的・人的・物理的・技術的・外的環境の把握という規律の整備を求めています。こども家庭庁が公表したガイドラインは、この個人情報保護法ガイドラインとの整合性を踏まえて、法に基づく情報管理規程に盛り込むべき組織的・人的・物理的・技術的情報管理措置を整理しており、両者の策定項目は対照表の形で示されています。

それぞれの分類に、具体的にどのような措置が対応するかを見てみます。

• 組織的情報管理措置:組織体制の整備、情報管理規程に基づく運用、取扱記録の記載項目の整理、漏えい等事案への対応体制、取扱状況の把握と見直し(監査を含む)
• 人的情報管理措置:取扱者への周知・研修
• 物理的情報管理措置:区域の管理、機器・電子媒体等の盗難防止、持ち運び時の漏えい防止、廃棄・消去
• 技術的情報管理措置:アクセス制御、アクセス者の識別・認証、不正アクセス等の防止、情報システム使用に伴う漏えい防止

個人情報保護の実務に触れたことがある方であれば、この並びに既視感を覚えるかと思います。実際、多くの施設がすでに個人情報保護方針や安全管理措置の体制を一定程度持っていると思いますので、この既視感が「うちはある程度対応できている」という安心感につながりやすい構造になりやすいです。

「標準的措置」と「最低限求められる措置」、水準の違いを取り違えない

情報管理規程に盛り込む措置は、ガイドラインが示す次の2つの水準から選択します。

• 標準的措置:実施に困難をきたすなどの特別な事由がない限り、相応に実施されるべき基本的水準の措置
• 最低限求められる措置:小規模事業者等の負担に配慮し、標準的措置の水準を一部緩和した措置。全ての事業者が、施設・事業単位で満たすべきもの

この2つの水準のうちどちらかを選択することになりますが、ガイドラインは最低限求められる措置を一律の推奨水準としているわけではなく、可能な限り標準的措置に基づく規程を選択し、その水準を満たすよう努めることを求めています。これを踏まえて、どちらを採用するかは自施設の事情を踏まえて判断する必要がある、という点をまず押さえておく必要があります。

物理的情報管理措置を例に、両者の違いを具体的に見てみます。
犯罪事実確認記録等を保管する「管理区域」(サーバー等の重要な情報システムを管理する区域)については、施錠・鍵の管理・入退室管理(ICカード・生体認証・ワンタイムパスワード等)は標準的措置・最低限求められる措置の双方に共通して例示されています。両者の主な違いは、警備システムの導入や警備員の配置が標準的措置のみに含まれる点です。

違いがより明確なのは、犯罪事実確認記録等を取り扱う事務を行う「取扱区域」です。
標準的措置では「区域を限定」した上で、管理手法の例として施錠・入退室管理・警備システム等が示されているのに対し、最低限求められる措置では「区域を特定」し、権限を有しない者による閲覧等を防止する適切な管理を行うことが求められます。最低限求められる措置における管理手法の例として、間仕切りの設置、座席配置の工夫、のぞき込み防止措置などが示されています。区域の限定が難しい場合には、時間帯で利用を区切るといった工夫も挙げられています。「限定」と「特定」、そこに紐づく管理手段の幅の違いが、両者の実質的な差です。

組織的情報管理措置についても、標準的措置には、責任者・担当者の設置に加えて「犯罪事実確認記録等の管理に関する監査を行う者を設置する」という項目があります。加えて、情報管理措置の運用状況を定期的に見直す場面でも、標準的措置では自己点検に加えて他部署等による監査を行うことが求められており(最低限求められる措置では自己点検又は監査のいずれか)、その監査の方法の例として、部署を分けた内部監査・外部監査と並んで「情報処理安全確保支援士等のセキュリティ資格を保有する者が実施」することが挙げられています。
規程を作って終わりではなく、取扱部署から一定の独立性を持った立場から定期的に確認する体制まで含めて「標準的」とされている、という点は見落とされやすい部分ですが、適切かつ安全な情報管理のためにはとても重要です。

「入退室管理システムを入れ、規程を1本作ればよい」という単純な話ではなく、複数の措置を組み合わせて、実際に機能する状態を作ることが求められている、という点が実務上のハードルになります。

性犯罪歴という情報だからこそ上乗せされる要求

情報管理措置がさらに侮れない理由は、一般的な個人情報保護の実務だけでは足りない点にあります。

犯罪の経歴や刑事事件に関する手続が行われたことを含む個人情報は、個人情報保護法上の要配慮個人情報に該当します。特定性犯罪事実がある旨の情報や、その詳細を含む特定性犯罪事実関連情報は、こうした極めて機微性の高い情報です。加えて、本法は犯罪事実確認記録等そのものについて、個人情報保護法とは別に厳格な情報管理を求めています。そのため、通常の安全管理措置に加えて、次のような固有の規制が課されています。

要配慮個人情報についてはこちらのブログもご参照ください
https://privacy.beans-g.jp/2024/07/sensitive-personal-information

業務外での口頭開示も違反になり得る
法第39条は、業務に関して知り得た情報を「みだりに他人に知らせてはならない」と定めています。これは職場の中だけの話ではありません。たとえば懇親の場で「先日面接に来た人が性犯罪歴のある人だった」と話してしまうことも対象になり得ます。違反した場合、1年以下の拘禁刑または50万円以下の罰金という刑事罰の対象です。仕事の話として何気なく話すということが罰則につながる可能性がある、という点は、一般的な情報管理研修では扱われにくい内容です。

異動・退職時は、アクセス権の解除と記録の廃棄を分けて考える
技術的情報管理措置は、異動又は退職する者等が発生した際には、即時に法関連システム及び情報システムからアクセス権を解除する手続を求めています。これは標準的措置・最低限求められる措置の双方に共通する要求で、「即時」がキーワードです。

これとは別に、法第38条は、犯罪事実確認記録等について、離職等の日から起算して30日を経過する日までに廃棄・消去しなければならないと定めています(このほか、確認日から5年後の年度末から30日、対象事業者に該当しなくなった日から30日という起算点もあります)。なお、これに違反すれば罰則（50万円以下の罰金）の対象です。

漏えい時の報告期限は、原則と例外を分けて押さえる
漏えい等が発生した場合、法律上は「速報」と「確報」をこども家庭庁へ報告することが求められており、ガイドラインはこの速報については、事態を知った日から起算しておおむね3〜5日以内(重大性が特に高い事案は可能な限り早く)という目安で示しています。
確報については、知った日から起算して原則30日以内ですが、不正の目的をもって行われたおそれがある行為による漏えい等の場合は60日以内とされています。個人情報保護法上の報告対象にも該当する場合は、個人情報保護委員会への報告もあわせて必要になります。

これらは、個人情報保護法の一般的な安全管理措置だけを整えていても、そのままではカバーしきれない部分です。「型」を知っていることと、この特有の要求まで織り込んで運用できることの間には、相応の距離があります。

情報管理規程の提出・変更届は、こども家庭庁が窓口になる

情報管理規程の提出タイミングは、事業者の立場によって異なります。認定を受けようとする民間教育保育等事業者の場合、情報管理規程は認定申請時の添付書類の一つです。一方、犯罪事実確認実施者等(国公立を除く)は、一人目の従事者の犯罪事実確認までに、作成した情報管理規程をこども家庭庁に提出することになっています(規則第12条第4項)。

情報管理規程の提出を怠ったまま交付申請が行われた場合、規程が提出されるまでの間は犯罪事実確認書が交付されません。また、認定を受けようとする(または認定を受けた)民間教育保育等事業者については、情報管理措置の基準(第二十条第一項第六号)に適合していないと認められる場合、是正命令や適合命令の対象となり、その措置が講じられたと認められるまでの間は犯罪事実確認書の交付が留保されます(法第35条第3項)。
「規程さえ提出すればそれで終わり」ではなく、特に認定事業者については内容が法令に適合していることまで求められている、という点は押さえておく必要があります。

内容を変更した場合には、あらかじめ届出書をこども家庭庁に提出しなければなりません(規則第12条第6項)。ただし、次の場合は軽微な変更として届出は不要です。

• 部署名・役職名の形式的な変更など、実質的な変更を伴わないもの
• 例示されている手法の変更など、情報管理措置の水準を維持したまま具体的な手法だけを変えるもの
• 最低限求められる措置から標準的措置への変更など、水準を向上させるもの

実態と合わない規程を後から実質的に変更するたびに、届出が必要となり得ると考えると、最初から自施設の実情に即した内容で整備しておくほうが、後々の手間を減らせます。情報管理規程のひな型は取扱者数やシステム外保存の有無によって別紙8〜10の3パターンが用意されていますが、テンプレートをそのまま使う場合も、自施設の保存形態や担当体制に合わせた調整が欠かせません。

情報管理規程の整備をどこから手をつければよいかについては、別の記事（こども性暴力防止法対応で必須の情報管理措置、規程ひな型選定後に整える3つの柱）でも整理していますので、あわせてご覧ください。

情報管理規程と、既存の「基本方針」の関係

民間の義務対象事業者や認定事業者等では、情報管理規程の整備・提出が必要であり、これは既存の文書があるかどうかにかかわらず変わりません。では、施設がすでに個人情報保護の体制を持っている場合、その体制はどう扱われるのでしょうか。

ガイドラインは、施設が個人情報保護法に基づいてすでに「基本方針」(個人情報の取り扱いに関する基本的な考え方を示す文書)を策定している場合の扱いについて、次のように整理しています。

なお、既に施設・事業所内における個人情報保護法に基づく基本方針を策定している場合は、法に基づく基本的事項が漏れなく含まれるよう、既存の基本方針を改定する等の対応が求められる(別途、法に基づく情報管理規程を定める場合の改定等は不要)。

つまり、情報管理規程を別途整備すれば、その中に法が求める基本的事項(取扱者を必要最小限にすること、記録・保存を極力避けること等)が盛り込まれるため、既存の個人情報保護の基本方針まで重ねて改定する必要はありません。整備の手間が二重にならないよう配慮された整理です。

ここで注意したいのは、これが「情報管理規程を作らなくてよい」という意味ではない点です。民間の義務対象事業者や認定事業者等にとって、情報管理規程は省略できるものではありません。既存の個人情報保護の体制があることで軽減されるのは、その体制自体を作り直す手間ではなく、周辺文書との重複整備の手間です。

整備の進め方と専門家の活用場面

情報管理規程の整備を始めるに当たって、まず取り組むべきことは、犯罪事実確認書に関してどのような情報を持つことになるかを棚卸しすることです。保存する書類の種類、形態(紙か電子データか)、使っているクラウドサービスの有無、現時点で閲覧できる状態にある人の範囲を確認することで、規程に書くべき内容の輪郭が見えてきます。セキュリティ文書の整備に不慣れな施設には、別記事（中小企業が情報セキュリティポリシーを作る手順）も参考になります。

ここまで見てきた内容を踏まえると、対応は大きく2つの専門性に分かれます。
一つは、規程に何を書くべきかという文書整備で、これは弁護士や行政書士などに依頼することができる業務です。もう一つは、前述のとおりガイドラインが監査の実施者の例として挙げている情報処理安全確保支援士等のセキュリティ資格保有者による確認で、規程の作成にとどまらず、監査など通じて、その運用状況を定期的に確認する役割も想定されています。

なお、もう一つ見落とされがちなのが、規程の文言と実際のシステム環境が一致しているかという点です。ガイドラインはアクセス制御の方法として、サーバの物理的・論理的分離やネットワークの分離、電子ファイルの暗号化、クラウドサービスを利用する場合はISMAP基準を満たすサービスの選定といった、かなり具体的な技術的措置や、その実現手法にまで踏み込んでいます。
規程に「アクセス制御を行う」と書けても、実際のアカウント設定・クラウドの設定・端末・アクセスログ・ネットワーク構成がその記載どおりに機能しているかは、文書だけを見ていては判断できませんので、情報処理安全確保支援士などのセキュリティ専門家の知見が、ここで判断のよりどころになります。
規程に何を書くかだけでなく、それを実際に機能させる仕組みが整っているかまで同時に確認できる体制が、要件を満たす整備への近道になります。

まとめ

情報管理措置は、個人情報保護法の安全管理措置と対応する形で、組織的・人的・物理的・技術的に整理されています。この既視感が安心感につながりやすい一方、標準的措置の水準や、特定性犯罪事実に関する情報の機微性まで踏まえると、漏れなく整備することは見た目以上にハードルが高いのが実情です。

「型」を知っていることと、その型を自施設の実情に合わせて漏れなく機能させることの間には距離があります。情報管理規程の作成やアクセス制御の技術的な確認をあわせて相談したいという場合は、こちらの専門サイトからお気軽にお問い合わせください。

情報漏えいと聞くと、外部からのサイバー攻撃を思い浮かべる方が多いのではないでしょうか。ニュースで報じられるのも、ランサムウェアや不正アクセスといった外部脅威が中心です。しかし、実際に企業から重要な情報が流出する経路を調べてみると、様相は少し異なります。

独立行政法人情報処理推進機構（IPA）が公開した「企業における営業秘密管理に関する実態調査2024」報告書では、営業秘密の漏えいルートとして外部からのサイバー攻撃等が36.6%と最も高い割合を占める一方、現職従業員等のルール不徹底（32.6%）、金銭目的等の具体的な動機によるもの（31.5%）、誤操作・誤認等（25.4%）という、内部の従業員に起因するルートが僅差で続いています。単純に合算できる性質の数値ではありませんが、内部に起因する漏えいが決して例外的な事象ではないことは、この調査結果からも見て取れます。

この記事では、内部不正の一形態として近年話題になる「手土産転職」を切り口に、中小企業が知っておきたい内部不正のリスクと、その考え方の基本を整理します。

「手土産転職」とは何か

「手土産転職」とは、従業員が転職する際に、在籍していた企業の営業秘密や技術情報を、転職先へ持ち出してしまう行為を指す言葉です。

ここで重要なのは、「手土産転職」が必ずしも明確な悪意を伴う行為とは限らないという点です。本人にとっては「これまで自分が作り上げてきた資料を、次の職場でも活用したい」「自分のこれまでの業績を端的に示したい」という程度の感覚であっても、それが営業秘密の持ち出しに該当し、法的な問題に発展する可能性があります。

なぜ悪意なく情報を持ち出してしまうのか

情報の持ち出しが悪意のない形で起きてしまう背景には、雇用環境の構造的な変化も一因にあると考えられます。

終身雇用が前提だった時代には、従業員が転職すること自体が少なく、「会社の情報を外部に持ち出す」という発想そのものが生まれにくい環境でした。しかし転職が当たり前になった現代では、個人が自身のキャリアを主体的に形成していく中で、「自分が携わった仕事の成果は、自分自身のスキルや実績の一部である」という意識を持ちやすくなっています。この意識のズレが、悪意のない情報持ち出しにつながる土壌になっていると考えられます。

さらに、退職時の対応が不十分な企業では、この傾向が強まる可能性があります。入社時にはオリエンテーションや研修を通じて情報管理のルールを丁寧に説明する企業でも、退職時には事務手続きのみで済ませてしまうケースが少なくありません。退職という区切りの場面でこそ、情報管理に関する説明を改めて行うことが、持ち出しの抑止につながると考えられます。

転職先・転職元、双方が負うリスク

手土産転職は、情報を持ち出された転職元企業だけの問題ではありません。持ち出された情報を受け取る形になる転職先企業にとっても、看過できないリスクとなります。

転職元企業にとっては、営業秘密の漏えいという事態そのものが経営上の損失であり、場合によっては不正競争防止法上の対応を検討する必要が生じます。一方、転職先企業にとっては、意図せず他社の営業秘密を利用してしまうことになれば、転職元企業から損害賠償請求や差止請求を受けるリスクを負うことになります。

採用面接の段階で「前職の資料やノウハウを持ち込める」ことを前向きに評価してしまうと、結果として自社が法的リスクを抱え込む可能性がある、という点には注意が必要です。

つまり手土産転職は、転職する本人だけでなく、転職元・転職先双方の企業に不利益が生じうる構造を持っています。

「不正のトライアングル」という考え方

内部不正がなぜ発生するのかを考える際の枠組みとして、「不正のトライアングル」と呼ばれる理論があります。これは、不正行為が「動機」「機会」「正当化」という3つの要素が揃ったときに発生しやすくなる、という考え方です。

• 動機：金銭的な事情、待遇への不満、転職先での評価を高めたいという思いなど
• 機会：情報にアクセスできる権限があり、かつ持ち出しても発覚しにくい環境があること
• 正当化：「自分が作った成果だから問題ない」「みんなやっている」といった、自分自身の行為を正当なものと納得させる理由づけ

つまり、この3つの要素を取り去ることで、不正な情報の持ち出しを防ぐことにつながるわけです。

とはいっても、この3つの要素のうち、「動機」を組織側の努力だけで完全に取り除くことは容易ではありません。従業員個人の事情や心理に関わる部分が大きいためです。一方で、「機会」と「正当化」については、組織側の取り組みによって削減できる余地があります。アクセス権限を必要最小限に保つこと、情報の持ち出しが記録・検知される体制を整えること、退職時に情報管理の意味を改めて説明することなどが、この2つの要素を減らす方向に働きます。

なお、内部の従業員に対する向き合い方には、外部の第三者への警戒とは異なる難しさもあります。明確な証拠がない段階で従業員を疑うような対応を取れば、それ自体が従業員のプライバシーや信頼関係を損ない、組織にとって別のリスクを生む可能性があります。内部不正への対策は、監視を強めることと従業員との信頼関係を保つことの、両立を意識して設計する必要があります。

中小企業が今日からできること

手土産転職を含む内部不正への対策は、大掛かりなシステム投資から始める必要はありません。まず取り組みの方向性として、次のような観点を確認しておくことが出発点になります。

• 退職予定者・異動予定者に対する、情報管理に関する説明の実施
• アクセス権限の棚卸しと、業務上必要な範囲への見直し
• 退職時のアカウント・権限削除に関する運用ルールの確認
• 情報の持ち出しが起きた場合に、どのような経路で検知・把握できるかの確認

これらをどのような手順で、どこまでの水準で整備すべきかは、企業の規模や取り扱う情報の性質によって異なります。まずは自社の現状がどのあたりにあるのかを確認するところから始めてみてください。

情報管理体制の整備や、退職時の運用ルールの見直しについてご相談されたい場合は、まずご相談ください。現状の整理から、優先して着手すべき点の洗い出しまで、一緒に確認します。

大企業と取引を始めるにあたって、「個人情報取扱特約書」「安全管理措置に関する覚書」といった書類を突きつけられ中小企業は増えているようです。
営業担当者から「ハンコください」と言われたまま、よく内容を確認せずにサインしてしまう企業も少なくないのではと感じますが、その契約書に書かれた「安全管理措置」が、本当にあなたの会社で実装可能なのか、検討したことはありますか？

後から「契約違反だ」「法律要件を満たしていない」と指摘されるリスクを避けるために、行政書士と情報処理安全確保支援士の視点から、確認すべきポイントを整理します。

委託元企業が要求する理由

大企業に限らず、業務委託元となる企業が、業務委託先となる下請け企業に対してこのような契約を求めるくるようになった背景の１つとして、法律によって強制されているの点が挙げられます。

その強制とは、個人情報保護法（法）による「漏洩報告義務」です。（法26条）

下請け企業による個人情報取扱いの過程において個人データが漏洩したことを委託元企業が知った場合、個人情報保護委員会へ「概ね3〜5日以内」（個人情報保護法ガイドライン通則編3-5-3-3より）という極めてタイトな期限内に「速報」を報告しなければなりません。報告が遅れたら、漏洩させた下請け企業ではなく、委託元企業自身が法律違反になってしまうおそれがあります。

また、委託元企業としては、個人情報の取扱いを委託した場合は、その委託先を監督する義務（法25条）がありますので、委託元企業としては、その監督業務の一環という意味も含めて、契約書の中に「漏洩が発覚したら何時間以内に報告しろ」というような条文を入れざるを得なくなっています。

つまり、委託元企業の法務部は、法の規定やガイドラインを忠実に守って契約書を作っているだけだといえます。この必然性を理解することが、対応の第一歩になります。

押印する前に確認すべき3つのポイント

では、実際に契約書が届いたら、何を確認すれば良いのでしょうか。
行政書士と登録セキスペの視点から、3つに絞りました。

ポイント1：安全管理措置は、自社で実装可能か

契約書に書かれる「安全管理措置」が”大企業のスタンダード”になっているケースはよくあるようです。例えば以下のような要求がされる場合です。

• 専任の情報セキュリティ責任者を配置すること
• 年1回以上の情報セキュリティ監査を実施すること
• 従業員向けセキュリティ研修を年2回以上実施すること
• 24時間体制での監視・監控体制を構築すること

実際問題として、仮に従業員10人の会社が、これらをすべて実行可能でしょうか？
・・・多くの場合、不可能と言わざるを得ないと思います。
ここが重要なポイントで、多くの企業は「大企業の標準要求だから応じなければならない」と思い込んでいますが、実は交渉できる場合も多いです。

■確認すべき点：

1. 自社の現在の体制で実装可能な項目は何か
2. 実装できない項目は何か
3. 実装できない項目について交渉の余地があるのか

契約書をもらったら、まずはこれを一覧にして、自社の実装状況とのギャップを確認できるようにしてください。

ポイント2：再委託・クラウド利用は許可されているか

自社がシステム開発会社やデータ処理会社の場合を想定してください。

委託元企業から個人データを預かり、その個人データを「クラウドサービス（SalesforceやSmartHR、Microsoft 365など）に預ける」という日常的なことが、契約書上どう扱われるのでしょうか。

クラウドサービスへのデータ送信や保管について明確な規定を設けている契約書も存在しますが、一方でこの部分が曖昧に書かれているケースも少なくありません。
例えば「再委託は事前承認が必要」という条文があるのに、「クラウドサービスへの預託が再委託に当たるのか当たらないのか」が明記されていない場合です。

※法律上、個人データの取扱いの委託になるのか否かについては、いわゆる”クラウド例外”（ガイドラインQ&A Q7-53より）という考えがありますが、それとは別の、契約上のルールとしてのクラウド利用可否です。

その結果、後から「あの個人データをクラウドに預けるのは規約違反です」と言われるリスクが生じます。

■確認すべき点：

1. 「再委託が認められている範囲」が明記されているか
2. クラウドサービス利用は「再委託」に当たるのか
3. 不明な場合は事前承認の手続きが定められているか

ポイント3：漏洩報告と監査のルールが現実的か

冒頭で説明した「3〜5日以内報告義務」は法律に基づく要件ですが、契約書によっては「漏洩を知った後、24時間以内に詳細を報告しなければならない」といった要求がされていることもあります。

実務的には、”漏えいしたおそれ”という事実は報告できると思いますが、さすがに詳細を報告するためには、一般的には24時間では不可能です。
ただ、委託元企業としても、速報を出すにはある程度の情報が必要になりますので、その情報を委託先企業に求めるというのも理解できますので、どの程度の情報を報告する必要があるのかは認識を合わせておく必要があります。

また、「委託元企業は毎月監査を実施する権利を有する」といった規定も、中小企業にとっては準備コストが大きくなります。

■確認すべき点：

1. 報告期限は自社で対応できる範囲か
2. 「速報」と「確定報」が分かれているか
3. 監査の頻度はどの程度か
4. 監査費用は誰が負担するのか

委託元企業からの要求で注意するポイント

委託元企業から届いた契約書やチェックリストなどを確認するなかで、以下のようなパターンに気づいたら注意が必要です。

要注意ポイント1：安全管理措置の内容が漠然としている

「適切な安全管理措置をとること」と書いてあるだけで、「具体的に何をやるのか」が明記されていない契約書があります。
一見、委託先に過剰な要求をせず優しい印象を受けますが、何らかの事故やトラブルが発生した後に「足りない」と言われるリスクが高く、意外とこういったケースは危険です。必ず「何をやるのかを可能な限り具体的に」契約書に明記するよう注意が必要です。

要注意ポイント2：委託元企業が「一方的に」監査を実施できる

「いつでも監査に行く権利を有する」という条文があると、事前通知なしに急に監査が来るおそれが生じます。人員が限られている中小企業には準備期間が必要ですので、「事前通知」「監査スケジュールの協議」といった条件を入れるよう交渉することが大切です。

要注意ポイント3：事故発生時に「違約金」が求められる

契約書によっては「漏洩1件につき100万円の罰金を支払う」といった、実損害の賠償とは別に一律の違約金が定められていることがありますので、これは交渉を検討すべき対象だといえます。また、報告が1日遅れただけで違約金が発生する、といった条項も現実的ではありません。

契約書締結までのフロー

抽象的な確認項目を列挙するだけでは、実際には動けません。具体的なステップを示します。

Step 1：契約書の「要求」を一覧化する

安全管理措置、監査、報告義務、再委託ルール、損害賠償など、契約書に書かれている「自社がやるべきこと」をすべて羅列し、まずは”見える化”してください。

Step 2：「現在の実装状況」を把握する

実際に、自社でやっていることは何か、セキュリティシステムは何を導入しているのか、従業員研修はやっているのか、監査体制はあるのか、といった点を一覧にします。

Step 3：ギャップを「実装可能 / 不可能 / グレーゾーン」に分類する

Step 1 と Step 2 を比較して、契約要求と現実のズレを整理します。実装可能な項目なら契約書そのままでいいですが、実装不可能な項目は交渉が必要です。判断がつかない項目（グレーゾーン）は法律と実装の両方から判定が必要です。

Step 4：交渉すべき項目を整理する

「ここは無理です」という一方的な主張だけでなく、「代替案として、これならできます」という提示をすることが大切です。例えば「24時間監視は無理だが、営業時間内（9-18時）の監視なら可能」などです。

Step 5：法的リスクの確認

交渉結果が「法律上問題ないのか」を確認してください。実装は可能だが、法律要件を満たしていないという状況は、自社にも委託元にもコンプライアンス面でのリスクが生じますので避ける必要があります。この段階で、法律専門家のチェックが求められます。

押印する前に、一度チェックしませんか

契約書が来たまま、内容をよく確認せずに押印すると、後から「実装できません」「法律違反です」という指摘がされるリスクがあります。

中小企業のみなさまがこういったリスクをできるだけ回避できるよう、行政書士と情報処理安全確保支援士として、以下をサポートします。

• 契約書の「法的リスク」の確認
• 自社にとって「現実的な実装可能性」の判断
• 「どこを交渉すべきか」の整理（※先方との交渉は行いません。整理のみです。）
• 交渉時の「代替案提示」のサポート

まずはお気軽にご連絡ください。
→お問い合わせフォーム

2026年12月25日から施行される、こども性暴力防止法（通称：日本版DBS。以下「法」）。法では事業者に対して適切な情報管理措置を講じる義務を課しています。

これに関して、

”ガイドラインで示された3種類のひな型から自施設の状況に合うものを選び、必要事項を記入した。これで情報管理の義務を果たしたので問題無い。”

と考えていませんか？

法が定める情報管理義務は、学校・保育所・放課後等デイサービスなどの義務対象事業者と、認定取得を目指す学習塾・スポーツクラブなどの認定対象事業者、いずれにも課されます。義務対象事業者は施行と同時に情報管理体制の整備が求められ、認定対象事業者は申請要件として情報管理規程の提出が必要です。

しかし申請の有無にかかわらず、規程はひな型を選んで記入した段階で終わりではありません。

権限設定・漏えいリスク対策・研修が伴わなければ、書類の上では整備が完了しているように見えても、実態として機微性の高い情報の漏えいリスクを抱えたまま運用を始めることになります。

このような状態の場合、行政上の是正措置や罰則の問題にとどまらず、犯罪事実確認で得た情報が実際に外部に流出した場合は、損害賠償請求を受けるリスクだけでなく、施設への社会的信用の失墜という取り返しのつかない結果を招くおそれがあります。

この記事では、情報管理規程のひな型を選択した後に具体的に整備・運用すべきことを、権限設定・漏えいリスク対策・研修という三つの軸に沿って整理します。

ひな型の3区分と、その後に求められる整備

別紙8・9・10の区分と選択の基準

こども性暴力防止法施行ガイドライン（令和8年2月更新版）が示す情報管理規程のひな型は3種類あります。別紙8は取扱者が1名で、こども性暴力防止法関連システム（通称：こまもろうシステム）外への情報保存がない場合が対象です。別紙9は取扱者が複数名で、システム外保存がない場合。別紙10は取扱者が複数名で、システム外への保存が生じる場合を対象とします。
※別紙7から別紙10という番号は、いずれもガイドラインに添付された書類番号を指しています。

多くの施設・事業所はシステム内のみで管理する想定であることから、別紙8または別紙9が対象になるケースが多いと考えられます。ただし、これはあくまで管理の形を選ぶ作業であって、その形に合わせて実態を整備する作業はここから始まります。

規程の整備は義務の完結ではなく、起点に過ぎない

義務対象事業者には、施行後に情報管理措置を実際に運用していることが求められます。認定対象事業者は、作成した情報管理規程に沿った情報管理体制を実際に整備・運用することが法令上の義務となります（法27条1項）。

いずれの場合も、規程を書類として整えることと、実態として機能させることは別の問題です。ひな型を自施設の実態に合わせてカスタマイズしていても、権限設定・研修・廃棄手順が現場で運用されていなければ、義務を履行しているとは言えません。書類の上では整備が完了しているように見えても、実運用が伴っていない場合は是正を求められるリスクが残ります。

権限設定表の作成と継続的な維持

閲覧権限者を文書で限定する理由

犯罪事実確認記録等へのアクセスは、最小限の取扱者に限定することが情報管理規程の基本要件となっています。

具体的には、誰がどの情報にどの範囲でアクセスできるかを記載した権限設定表（別紙7）を作成・管理することが求められます。施設内で誰でも閲覧できる状態と、閲覧権限者を文書で定めている状態とでは、万一情報漏えいが発生した際の法的評価が大きく異なります。

採用・退職・異動のたびに更新が必要な理由

アクセス権限の管理で重要なのは、こまもろうシステム上の実際のアクセス設定と、それを記録する権限設定表の内容を常に一致させることです。

取扱者が変わった際にシステム上のアクセス権限を適切に削除・変更しなければ、権限を持つはずのない者が情報を閲覧できる状態が生じます。

権限設定表はその実態を記録・管理するための内部文書であり、システム上の設定と乖離しないよう維持することが求められます。人事上の退職手続きとシステム上の権限削除が連動していない場合にこのリスクは起きやすく、規程に退職時の対応手順を明記し、担当者・期限・確認者を定めた運用フローとして整えておくことが実効的な対策となります。

退職時にはアクセス権限の管理とは別に、犯罪事実確認記録等の廃棄・消去という法令上の義務も発生します。
法38条は、従事者が離職等した日から30日以内に犯罪事実確認記録等を廃棄・消去することを定めており、違反には刑事罰（50万円以下の罰金）が科されます（法46条3号）。

システム外に記録を保存している場合（別紙10）は特に、廃棄・消去の手順と証跡を規程の中で明確にしておく必要があります。

システム管理だからこそ見えにくいリスク

物理的な施錠管理では捉えきれないデジタル漏えいのパターン

多くの施設は、性犯罪歴情報をこまもろうシステム内のみで管理し、ダウンロードや複製は原則として行わない方針をとることになると思います。そのため、USBメモリの持ち出しや書類の物理的な鍵管理が中心的なセキュリティ課題になるわけではありません。

しかし、システム内管理であっても現実に起こりうる漏えいとして、スクリーンショットによる持ち出し、権限のない者にシステムを操作させる行為、退職後も削除されていないアクセス権限の残存といったパターンが存在します。これらはファイルを施錠するという発想では見えにくく、対策が手薄になりやすい領域です。

デジタルデータを扱う感覚として鍵をかけた実感を持ちにくい環境ほど、こうした経路からの漏えいリスクは高まります。システム内管理を選択した施設こそ、デジタル特有の漏えいパターンを念頭に置いた対策設計が必要となります。

業務外・社交の場での口頭開示が違反になる

法39条が定める秘密保持義務は、業務時間外・職場外での発言にも適用されます。
飲食の席で「先日面接に来た人が性犯罪者だった」と話す行為も、法45条2項の情報漏示等罪（1年以下の拘禁刑もしくは50万円以下の罰金またはその併科）の対象となりうるおそれがあります。業務外の発言であることや、仕事の愚痴として話したという事情も、義務の範囲を狭めることにはなりません。

この点は、通常の情報セキュリティ教育では十分に扱われないシナリオです。一般的なセキュリティ研修はシステムや書類の取り扱いを中心に構成されるため、口頭による開示が法的に同じ義務の対象であることが伝わりにくい傾向があります。従事者向け研修で明示的に取り上げることが、この種のリスクを減らす上で特に重要となります。

こまもろうシステム以外で収集した情報も厳格な管理が必要

情報管理の対象は、こまもろうシステムを通じて確認した犯罪事実確認記録等だけではありません。施行ガイドラインは、安全確保措置等を通じて収集した以下の2種類の情報についても、犯罪事実確認記録等に準じた厳格な情報管理が必要であると明示しています。

• 特定性犯罪事実関連情報：性犯罪歴が確認された従事者について、防止措置を実施する過程で面談等を通じて取得した詳細情報
• 児童等から聴取した情報：安全確保措置（早期把握・相談対応等）を通じて、園児・児童等から直接聴取した性暴力等のおそれに関する情報

これらは法律上「犯罪事実確認記録等」には該当しないため、法38条の廃棄・消去義務や刑事罰が直接適用されるわけではありません。しかしガイドラインは準じた管理を求めており、誰が保管するか・どこに保存するか・誰がアクセスできるかを規程の中で明確にしておく必要があります。

また、特定性犯罪事実関連情報が漏えいした場合には、原則としてこども家庭庁や個人情報保護委員会への報告が必要ですし、児童等から聴取した情報に要配慮個人情報が含まれる場合は個人情報保護委員会への報告が必要になります。

この観点から、「こまもろうシステムのデータだけ管理すればよい」という理解は不十分だといえます。とりわけ児童から性暴力の訴えを聴取した記録は、漏えいした場合の被害が取り返しのつかないものになりえます。情報管理体制の設計においては、こうした記録の存在を最初から想定しておくことが重要です。

研修や監査なしでは情報管理規程は機能しない

研修の実施が認定基準の要件になっている理由

情報管理規程を整備することと、規程の内容が従事者に伝わり理解されていることは別の問題です。

たとえば、研修の実施は、法20条1項5号に定める認定基準の要件の一つでもありますし、規程に禁止事項を明記しても、従事者がその内容を知らなければ規程は機能しません。

施行ガイドラインは、規程を作るだけでは義務を完結したとは言えず、研修によって従事者の行動を変えることで初めて義務が完結するという考え方を示しています。

実効性を高める研修内容の組み立て

施行ガイドラインが例示する研修内容は、以下の5点です。

• 犯罪事実確認記録等の管理の重要性
• 情報管理措置の基本原則と具体的措置の内容
• 漏えい等の事実・兆候を把握した場合の責任者への報告連絡体制
• 禁止事項と罰則
• 法令・規程に変更があった場合の対応

なお、ガイドラインはこども家庭庁や情報処理推進機構（IPA）など公的機関が無料公開する情報セキュリティ研修資料の活用も可能としています。ただし、これらは一般的な情報セキュリティを対象にしており、各施設ごとに最適化されているものではなく、具体的に施設としてどのように行動すべきかといった点は汎用資料だけでは伝えきれません。

また「禁止事項と罰則」を正確に説明するには法律の条文の読み解きが、「報告連絡体制」の整備には施設の実態に合わせた手順設計が必要です。これらは規程の作成とは別の専門性を要します。

情報処理安全確保支援士として情報セキュリティの実務を、行政書士として法的義務の根拠を正確に押さえた上で、各施設の体制に合わせた研修を設計・実施することが当事務所の対応範囲です。「既製の資料を読み上げる研修」ではなく、自施設で実際に起きうる場面に即した内容で実施します。

専門家による監査の実施

加えて、事業者に求められる「組織的情報管理措置」の１つとして、ガイドラインでは「犯罪事実確認記録等の取扱状況の把握及び情報管理措置の見直し」が挙げられており、法や情報管理規定の遵守状況について定期的に自己点検と監査を実施することが必要です。
特に監査については、情報処理安全確保支援士等のセキュリティ資格を保有する者が実施することが望ましいとされています。

弊所では規定策定・研修実施・監査などセキュリティ関連サービスを提供していますので、法の施行日直前になって慌てるのではなく、事前にしっかり準備することをお勧めいたします。
こちらからお問い合わせ（無料）ください。

整備状況のセルフチェックリスト

情報管理体制が適切に整備されているか、以下の項目で確認できます。

1. 情報管理規程のひな型を選択し、自施設の実態（取扱者数・システム利用状況等）に合わせてカスタマイズしているか。
2. 情報管理規程を、施行時点（義務対象事業者）または認定申請前（認定対象事業者）に運用を開始できる状態になっているか。
3. 権限設定表（別紙7）を作成し、犯罪事実確認記録等の閲覧権限者を最小限に限定して明記しているか。
4. 採用・退職・異動のたびに権限設定表を更新する手順を定めているか。
5. 退職した従事者のこまもろうシステムへのアクセス権限を、退職と連動して速やかに削除する運用が確立しているか。
6. 退職した従事者の犯罪事実確認記録等を、離職日から30日以内に廃棄・消去する手順を定めているか（法38条）。
7. 従事者に対して情報管理に関する研修を実施し、禁止事項および関連する罰則について伝えているか。
8. 情報管理上、留意すべき点や違反になるおそれのある行為といった点について研修等で明示的に伝えているか。
9. インシデント発生時の報告手順（速報・確報の期限と報告先）を全ての従事者が把握しているか。

1つでも「まだ対応できていない」と感じた項目があれば、それは書類の不備ではなく、運用体制の課題として残っている状態です。

情報管理規程の作成だけであれば、こども家庭庁が公開しているひな型を選んで記入する作業で形式上は完結します。
しかし権限設定表の整備・廃棄手順の運用フロー化・研修の組み立ては、法令の正確な読み解きとセキュリティ運用の両方を要する作業です。この二つを一体で見ることができる専門家は、この領域では限られています。行政書士として規程・文書を整え、情報処理安全確保支援士として運用設計まで担当できることが、当事務所に依頼する実質的な理由になります。

まとめ

情報管理規程のひな型を選択し提出した段階は、情報管理体制整備のスタートラインに過ぎません。情報管理体制が実態として機能するためには、権限設定表の整備状況・定期的な更新・従事者への研修という三つの軸が必要不可欠です。

注目すべきは、これらの課題がいずれも法令上の問題であると同時に、ITと運用の問題として現れる点です。退職者の権限削除漏れも、スクリーンショットによる持ち出しも、業務外での口頭開示も、法令を正確に読んだだけでは見えにくく、セキュリティ運用の視点が加わって初めて対策が立てられる領域でもあります。

加えて、性犯罪歴に関する情報は個人情報保護法上の要配慮個人情報に該当する場合が多いため、漏えい事案によっては個人情報保護委員会への報告と本人への通知という手続きが、こども性暴力防止法固有の対応と並行して求められるケースがあります。法令と情報セキュリティの両面を俯瞰する視点が、この領域では特に重要となります。

書類上の整備と実際の運用との差を施行前に埋めておくことが、情報漏えいと行政処分のリスクを遠ざける最短経路となります。

情報管理規程の作成（ひな型のカスタマイズ）・権限設定表の整備・従事者向け研修の設計と実施を、行政書士および情報処理安全確保支援士（登録セキスペ）として一括して担当します。

施行まで残り8ヶ月を切った今（※記事執筆時点）、書類と運用体制の両方を確実に整えたい場合は、まずお問い合わせください。費用は内容をお聞きした上で事前にお見積もりし、ご承認後に作業を進めます。

お問い合わせ・ご相談はこちら

一度セキュリティ対策を整えたあと、見直すタイミングがないまま来ている企業は少なくありません。担当者が本業と兼務している状況では、なおさらです。

大企業や官公庁との取引にあたってセキュリティ対策の証明を求められた、あるいはセキュリティチェックシートへの回答を迫られたことで、初めてガイドラインを調べ直したという企業も増えています。取引先からチェックシートが届いたときの基本的な対応の流れについては、こちらの記事もあわせてご参照ください。

独立行政法人 情報処理推進機構（IPA）が公開している「中小企業の情報セキュリティ対策ガイドライン」が、3年ぶりに改定され第4.0版になりました。これまで中小企業のセキュリティ対策の出発点として広く参照されてきた情報セキュリティ5か条が、6か条に変わっています。

この記事では、今回の改訂で何が変わったか、特に新たに加わったバックアップ対策とSCS評価制度の概要を整理します。個人情報保護法の安全管理措置との関連性も含め、中小企業として今確認しておくべきポイントをお伝えします。

今回の改訂で何が変わったか

第3.0版から4.0版への主な変更点

今回の改訂は、ここ数年でセキュリティを取り巻く環境が大きく変化したことへの対応として行われています。特に影響が大きかったのは、ランサムウェア被害の深刻化、業務でのクラウド利用の普及、そしてサプライチェーンを経由した攻撃の顕在化という三つの変化です。

IPAが毎年公開している「情報セキュリティ10大脅威」では、ランサムウェアによる被害が組織向け脅威の上位に複数年にわたって挙げられ続けています。また、大企業を直接狙うのではなく、セキュリティ対策が手薄になりやすい取引先の中小企業を経由してシステムに侵入するサプライチェーン攻撃も増加傾向にあります。こうしたサプライチェーンを経由した攻撃の実態については、こちらの記事で詳しく整理しています。

参考として、2026年版の組織向け10大脅威は以下のとおりです。

順位	脅威	初選出年
1	ランサム攻撃による被害	2016年
2	サプライチェーンや委託先を狙った攻撃	2019年
3	AIの利用をめぐるサイバーリスク（※初選出）	2026年
4	システムの脆弱性を悪用した攻撃	2016年
5	機密情報を狙った標的型攻撃	2016年
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	2025年
7	内部不正による情報漏えい等	2016年
8	リモートワーク等の環境や仕組みを狙った攻撃	2021年
9	DDoS攻撃（分散型サービス妨害攻撃）	2016年
10	ビジネスメール詐欺	2018年

出典：IPA「情報セキュリティ10大脅威 2026」

今回の改訂は、形式的な更新ではなく、被害が実際に増加している現状を踏まえた実態対応として理解しておく必要があります。

5か条から6か条への変更の概要

第3.0版まで中小企業の対策基準として広く知られていた情報セキュリティ5か条は、OSやソフトウェアを最新の状態に保つこと、ウイルス対策ソフトを導入すること、パスワードを強化すること、共有設定を見直すこと、そして脅威や攻撃の手口を知ることの5項目で構成されていました。

第4.0版ではこれらを継承しつつ、新たに「重要データのバックアップ」が独立した対策項目として加わりました。「すでに5か条は対応済み」という企業にとっても、追加の確認が必要になる理由はこの点にあります。5か条が不十分だったということではなく、脅威環境の変化に合わせて対策の基準が見直されたと捉えるのが適切です。

また、今回の第4.0版への改訂は、経済産業省および内閣官房国家サイバー統括室が検討を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の考え方を踏まえた内容となっています。詳しくは後述しますが、セキュリティ対策の取り組み状況を外部に示すための手段として位置づけられています。

6つ目に追加された「バックアップ」の意味

なぜバックアップが独立した対策項目になったか

バックアップは、セキュリティ対策の中でも「すでにやっている」と答える企業が多い項目のひとつです。しかし今回、独立した対策項目として明示されたのには理由があります。

ランサムウェアによる被害では、攻撃者がシステム内のファイルを暗号化するだけでなく、同じネットワーク上にあるバックアップデータも同時に暗号化・削除するケースが増えています。「バックアップは取っていたが、復旧できなかった」という事例が現実に積み重なっているわけです。

ここで重要なのは、バックアップを取ること（手段の有無）と、バックアップが機能すること（復旧可能な状態の維持）は、別の問題だという点です。設定だけして一度も復元テストをしていない状態では、実際にインシデントが起きたときに役立たない可能性があります。この区別が、今回バックアップが独立した項目として明示された背景といえます。

中小企業がおさえておくべきバックアップの要件

IPAのガイドラインでは、バックアップについていくつかの要件が示されています。ポイントとなるのは、オフライン環境での保管、世代管理、そして復旧テストの実施です。

よくある誤解のひとつが、クラウドストレージへの自動同期をバックアップと同一視するケースです。クラウドへの同期は、端末の紛失や誤削除に対しては有効ですが、ランサムウェアによる暗号化が発生した場合、同期先のデータも暗号化済みのファイルで上書きされます。
ただし、OneDriveやDropboxなど主要なクラウドサービスにはバージョン履歴機能があり、一定期間内であれば暗号化前の状態に戻すことが可能です。クラウド同期をバックアップとして頼る場合は、利用しているサービスのバージョン履歴の保持期間を事前に確認しておくことが重要です。

実務的な考え方として参考になるのが、「3-2-1ルール」と呼ばれる方法です。3つのコピーを、2種類の異なる媒体に保存し、そのうち1つはオフサイト（社外や別のネットワーク環境）に保管するというものです。中小企業にとってすべてを完璧に整備するのは容易ではありませんが、インターネットから切り離したバックアップを少なくとも1つ持つことが、ランサムウェア対策としての現実的な起点になります。

自社のバックアップは機能する状態か

以下のチェックポイントで、自社のバックアップの現状を確認してみてください。

1. バックアップは定期的に自動取得されているか、また取得後に正常完了を確認しているか
2. バックアップデータはインターネットやメインのシステムから切り離した場所に保管されているか
3. 複数の時点のデータが保存されているか（世代管理ができているか）
4. バックアップからの実際の復元を、一度でも試したことがあるか

「設定した」という事実が対応済みの認識に固まりやすいのが、中小企業のバックアップ管理の実態です。担当者が本業と兼務している状況では、設定後に見直す機会を確保すること自体が難しいこともあります。しかし、復元テストを一度も行っていないバックアップは、実際のインシデント時に機能しないおそれがあり、リスクの観点ではバックアップがない状態に近い場合もあります。

SCS評価制度の意味と活用

SCS評価制度の概要と位置づけ

既存のSECURITY ACTIONが中小企業の自己宣言型の取り組みとして広く知られていますが、SCS評価制度はそれとは異なる位置づけで検討されています。SECURITY ACTIONの一つ星・二つ星の違いと選び方については、こちらの記事で整理しています。

この制度が生まれた背景には、「取引先ごとにバラバラなセキュリティチェックシートが届き、対応に追われている」という中小企業の実態があります。SCS評価制度は、★マークを取得することで自社のセキュリティ対策状況を共通の基準で可視化し、発注元への説明や取引先からの要求への対応を効率化することを目的としています。

評価は段階別に設計されており、★1・★2は既存のSECURITY ACTIONに相当します。
新たに設けられる★3（Basic）はセキュリティ専門家による確認を経た自己評価で有効期間1年、★4（Standard）は第三者機関による審査で有効期間3年という構造です。
★3は基礎的な組織対策とシステム防御（83項目）、★4はインシデント対応や取引先管理を含む包括的な対策（157項目）が求められます。
（※最もハイレベルな★5については令和8年度以降検討予定）

なお、本制度は令和8年度下期の運用開始を目指して準備が進められており、記事執筆時点では制度構築方針（案）が公表されたところです。詳細な評価基準や申請手続きについては、今後経済産業省・IPAから情報が公開され次第ご案内いたします。

取引先への証明・チェックシート対応での活用可能性

大企業や官公庁との取引時に求められるセキュリティチェックシートでは、「情報セキュリティに関する認証・取り組みの有無」を問う設問が設けられていることがあります。ISMSやプライバシーマークを取得していない場合、「認証なし」としか記載できない状況が続いている企業も少なくありません。

SCS評価制度への参加実績は、こうした場面での回答の根拠として活用できる可能性があります。ISMSやプライバシーマークの取得には相応のコストと期間が必要ですが、SCS評価制度はそれらの取得前の段階として現実的な入口になりえます。あくまで「活用できる可能性がある」という段階であり、すべてのチェックシートで有効に機能するとは限らない点は留意が必要です。

個人情報漏洩が発生したとき、安全管理措置の証明として機能するか

ここは、セキュリティ対策の整備を「取引先への証明」という観点だけでなく、別の視点から捉え直してほしいポイントです。

個人情報保護法は、個人情報を取り扱う事業者に対して安全管理措置を義務づけています（法23条）。ただし、何をどこまでやれば義務を果たしたことになるかの具体的な基準は、事業者の規模や取り扱う情報の性質によって異なります。

問題が表面化するのは、多くの場合、情報漏洩等のインシデントが発生し、個人情報保護委員会への報告対応が求められる場面です。その際に「どのような安全管理措置を講じていたか」を説明する根拠として、IPAのガイドラインに基づく対応状況やSCS評価制度への参加実績が機能しうると考えられます。

つまり、こうした取り組みは取引先への事前の証明ツールとしてだけでなく、万が一インシデントが発生した際に安全管理措置を講じていたことを説明する根拠のひとつとして捉えられる側面もあります。「証明できる対策を整備していたかどうか」が問われる場面は、取引の開始時だけではないわけです。この点は、対策の断言としてではなく「こうした観点での活用が考えられます」という理解としてお持ちいただければと思います。

セキュリティ対策の消極的な経営者が法的にどのようなリスクを抱えうるかについては、こちらの記事でもまとめています。

自社の対策状況を確認する

6か条の対応状況を確認する

以下の6項目を、対応の有無だけでなく「いつ設定したか・最後に確認したのはいつか」という視点で確認してみてください。

1. OSやソフトウェアを常に最新の状態に保っているか（自動更新の設定と定期確認）
2. ウイルス対策ソフトを導入し、定義ファイルが最新の状態になっているか
3. パスワードを強化し、使い回しを防ぐルールが運用されているか
4. クラウドや社内ネットワークの共有設定を必要最小限に絞っているか
5. 脅威や攻撃の手口に関する情報を定期的に確認し、社内で共有しているか
6. 重要データのバックアップを取得し、復旧できる状態で保管しているか

「すでに5か条は対応済み」という企業ほど、6つ目のバックアップ項目と実際の運用状況の間にギャップが生じやすい傾向があります。経営者・担当者の双方が、この機会に現状を確認しておく価値があります。

「やっている」と「機能している」のギャップを確かめる

セキュリティ対策における実態上のリスクは、対策がないことよりも、対策が形骸化していることに潜む場合があります。

たとえば、更新が止まったウイルス対策ソフト、設定時のまま一度も見直されていないパスワードポリシー、一度も復元テストを行っていないバックアップデータ。導入した時点では適切だった対策も、環境の変化や時間の経過とともに機能しなくなっているケースがあります。

これはセキュリティチェックシートの回答においても同様です。「対策あり」と回答した項目が実際には形骸化している状態は、回答の信頼性に関わるリスクを含む場合があります。中小企業向けのセキュリティポリシーの整備については、こちらの記事でまとめています。

対策の有無よりも、対策が現在も機能しているかどうか。今回の改訂を、その確認のきっかけとして活用することが実務上の最短経路となります。

ガイドラインの改訂は、中小企業が直面する脅威環境の変化を対策基準という形で示したものです。
バックアップが独立した対策項目として加わった背景には、ランサムウェア被害の深刻化があります。攻撃者はファイルを暗号化するだけでなく、同じネットワーク上のバックアップデータも同時に標的にするケースが報告されており、「バックアップを取っていたが復旧できなかった」という事例が現実に生じています。
SCS評価制度への参加は、取引先への証明としての機能にとどまらず、万が一インシデントが発生した際に安全管理措置を講じていたことを説明する根拠のひとつにもなりえます。
対策の整備は「やっているかどうか」から「機能しているか・証明できるか」へと問われ方が変わりつつありますので、今回の改訂をその確認の機会として活用することをお勧めします。

何から手をつければよいかわからない、という段階でのご相談でもかまいません。セキュリティ対策は技術の問題だけでなく、事業継続・法的リスク・取引先からの信頼にも関わる複合的な課題です。自社の現状が第4.0版の水準を満たしているかを確認したい場合、またはセキュリティチェックシートへの対応でお困りの場合は、まずご相談ください。現状の整理から対応の優先順位付けまで、一緒に確認します。

取引先からセキュリティチェックシートが届いた際、「情報セキュリティポリシーを添付してください」と指示されたことはありませんか？
大企業や官公庁との取引において、セキュリティ体制の証明を求められる機会は着実に増えており、「うちは小さい会社だから関係ない」という状況ではなくなっています。

官公庁の案件に応募しようとした段階で、情報セキュリティ体制を証明する文書の提出を求められ、自社にはそういった文書がないことに初めて気づくケースも珍しくありません。

この記事では、情報セキュリティポリシーをゼロから整備したい中小企業の経営者・担当者に向けて、作成の5つのステップと、テンプレートを活用する際に押さえるべき点をお伝えします。

ISMSやプライバシーマークなどの認証制度への対応を目指すものではなく、自社の取り組みを正確に言語化するための実務的な手順です。

情報セキュリティポリシーとは何か、どんな役割を持つのか

「情報セキュリティポリシー」を簡単にいえば「社内のセキュリティルールを文書化したもの」という説明になるのですが、ただそれだけではその実態と必要性が伝わりにくいと思います。
そこで、なぜ今この文書が必要なのか、何をカバーするものなのかを整理します。

ポリシー・規程・手順書の違いを整理する

「情報セキュリティポリシー」という言葉は、文脈によって指す範囲が異なります。実務的に望ましいのは、経営方針を示す「基本方針（ポリシー）」、具体的なルールを定める「規程」、実際の操作手順を記した「手順書」という三層構造で整理するのが大切です。

取引先への提出を求められる「情報セキュリティポリシー」は、多くの場合この基本方針の文書を指しています。３つを混同したまま作業を始めると、求められている文書と実際に作るものがずれるという事態が起きます。整備を始める前に、この三層構造を頭に入れておくことが、作業全体の見通しをよくします。

社内向けと対外向け

情報セキュリティポリシーには、社内の従業員に対する行動指針としての役割と、取引先や審査機関への証明文書としての役割の二つがあります。セキュリティチェックシートや入札要件で「添付してください」と求められるのは後者の文脈です。

この二つの機能を最初に整理しておくことが、実効性のある文書設計の前提になります。「対外提出のために作った文書が社内では誰も読んでいない」という状態や、逆に「細かすぎる社内向け手順書を取引先に提出してしまった」という状態は、どちらも目的とずれた使い方です。

中小企業に求められるのは大企業並みの文書ではない

ISMSのような認証体制を前提とした文書と、「取引先に提出できる基本的な方針文書」とは、求められる水準が異なります。後者であれば、従業員数名の企業でも整備は十分に可能です。

「情報セキュリティポリシーを作る」と聞くと、分厚いマニュアルを作成しなければならないという印象を持つ方もいますが、そうではありません。この記事では、中小企業が現実的に着手できる範囲に絞って手順を示します。

ポリシーがないことで生じる、具体的な場面と影響

なぜ今整備する必要があるのかを、実際に起きていることとして示します。

取引・入札の場面で「提出できない」ケースが増えている

大企業のサプライチェーン管理強化と、官公庁のセキュリティ要件の厳格化は、着実に進んでいます。数年前であれば問われなかった場面でも、今は情報セキュリティポリシーの提出が前提になっているケースが増えています。

「文書がないから提出できない」という状況が、新たな取引機会の喪失に直結するという経営上のリスクとして認識しておく必要があります。「いつかは作ろう」という判断が、「この案件では間に合わなかった」という結果になることが、実際に起きています。

インシデントが起きたとき、対応の根拠がない状態になる

個人情報漏洩や不正アクセスが発生した際、「どう対応すべきか」の基準がなければ、対応は担当者のその場の判断に委ねられます。後から「ポリシーに従った対応をした」と説明できない状態は、法的責任と対外的な説明責任の両面で問題が生じます。

個人情報保護法の規定により、漏洩等が発生した場合に個人情報保護委員会への報告義務が生じるケースがあります。その際に「社内にどのようなルールがあり、どう対応したか」を示せるかどうかは、事後対応の質に直結します。

社員に「何をしてはいけないか」を正式に伝える根拠がない

ポリシーがなければ、社員への周知・教育の根拠が曖昧になります。「言った・言わない」という属人的な運用が続く状態は、インシデント発生時の内部責任の所在を不明確にします。

組織として取り組んでいたことを証明する手段がない、という問題でもあります。
「社員がSNSに業務関連の情報を投稿してしまった」
「個人のUSBメモリを業務端末に挿した」
という事案が起きたとき、禁止されていることを知っていたか否かを問う根拠となる文書の存在が、対応の出発点になります。

情報セキュリティポリシーを作る5つのステップ

各ステップの意味と、特に留意すべき点を順に説明します。手順の列挙ではなく、なぜそのステップが必要なのかを理解した上で作業を進められるよう、補足を加えながら整理します。

ステップ1：自社が扱う情報を棚卸しする

まず「どのような情報を、誰が、どのような形で扱っているか」を一通り書き出します。顧客の個人情報、取引先との契約情報、社内の財務データ、従業員の給与情報など、情報の種類と重要度を整理することが出発点です。

この棚卸しを省くと、ポリシーの適用範囲が曖昧なまま文書化が進むことになります。「何を守るべきか」が明確でなければ、どれだけ体裁の整った文書を作っても、実態との乖離が生じます。クラウドストレージに保存しているファイルの種類、メールで送受信する情報の内容なども、この段階で洗い出します。

ステップ2：適用範囲と対象者を決める

「全社員を対象とする」という記述だけでは、現代の多様な就労形態には対応しきれません。派遣・パート・業務委託など、雇用形態の異なる関係者がいる場合、誰が対象に含まれるかを明確にする必要があります。

また、クラウドサービスの利用状況や在宅勤務の有無、個人端末での業務利用の実態など、自社の業務環境に応じた範囲設定が求められます。特に「個人のスマートフォンで会社のメールを確認している」「業務に関する連絡をLINEで行っている」といった状況がある場合は、それを前提とした適用範囲の設計が必要です。

ステップ3：基本方針を策定する

「基本方針」は、経営者が情報セキュリティに対してどのようにコミットするかを表明する文書です。分量は1〜2ページ程度が一般的で、取引先への提出や入札要件の充足を目的とする場合は、この基本方針が主な提出対象になる場合が多いようです。（※例外もあります）

重要なのは、経営者自身がこの文書の内容をしっかり把握した上で、自身の名の下で発行することです。実務上は担当者が作成した文書であっても、最終的には経営者名で発行することが、対外的な証明力を持たせる条件になります。

「情報セキュリティの確保は経営課題である」という認識を、経営者が文書の形で示すということがこのステップの核心です。
こちらの記事も参考にしてください→セキュリティ対策に消極的な経営者が問われる責任とは？任せるだけでは守れない法的リスク

ステップ4：規程を文書化する

「規程」は基本方針を具体的なルールとして落とし込んだものです。情報の取り扱い方法、システム利用のルール、インシデント発生時の対応手順など、社員が実際の業務で参照できる内容に仕上げます。

この段階でテンプレートを活用する企業が多いですが、そのまま流用することで生じる問題については、次の章で詳しく扱います。なお、基本方針と規程を別文書として管理すると、対外提出用と社内運用用の使い分けがしやすくなります。取引先には基本方針のみを提出し、具体的なルールを記した規程は社内で管理するという運用が実務的には機能します。

ステップ5：経営者による承認と社員への周知

作成した文書は、経営者が正式に承認した上で社員に周知する手続きが必要です。承認のないポリシーは単なる案に過ぎず、対外的な証明力を持ちません。作っただけで満足してしまうという状態を防ぐ最初の関門がこのステップです。

承認の記録（署名や日付入りの決裁文書）を残しておくと、取引先や審査機関への説明の際に有効に機能します。周知については、全社会議での説明、イントラへの掲示、入社時オリエンテーションへの組み込みなど、規模に応じた方法で行います。社員全員がルールが存在することを知っている状態を作ることが、最初の目標です。

テンプレートの使い方と、カスタマイズが必要な理由

情報セキュリティポリシーの作成に限られませんが、文書作成にあたってテンプレートを探すこと自体は合理的な判断だといえます。ただし、そのまま使うことで生じる問題については、具体的に把握しておく必要があります。

公的機関のテンプレートをまず確認する

IPA（独立行政法人 情報処理推進機構）や中小企業庁が無償で公開しているテンプレートは、作成の出発点として有用です。ゼロから書き起こすよりも、これらを土台として活用することで作業時間を大幅に短縮できます。

ただし、「活用できる部分」と「そのままでは使えない部分」を区別することが、効果的な利用の前提です。テンプレートはあくまでも骨格であり、自社の状況に合わせて肉付けしていく作業が必要になります。

テンプレートをそのまま使ってはいけない２つの理由

一つ目は、法令対応の問題です。

テンプレートは汎用的に設計されているため、最新の法令改正に追いついていない場合があります。
個人情報保護法は2022年に大きく改正されましたが、古いテンプレートではこの改正に対応しておらず記述が不十分なものが少なくありません。
また、特定の業種に適用されるガイドライン（金融・医療・EC事業者向けなど）の要求事項は、一般向けテンプレートには通常含まれていません。

二つ目は、自社のシステム・業務環境との不整合です。

どのクラウドサービスを使っているか、社員が個人端末で業務メールを確認しているか、在宅勤務の仕組みはどうなっているかといった具体的な環境は、テンプレートには当然反映されていません。「クラウドストレージの利用ルール」「個人端末での業務利用の可否」が明記されていないポリシーは、作成した時点で実態と乖離した文書になります。

さらに言えば、実態と乖離したポリシーは、ポリシーがない状況より問題が大きくなる場合があります。たとえば、インシデント発生時に「ポリシーには毎日バックアップすると書いてあるが、実際はしていなかった」という状態が明らかになれば、自社のポリシー違反として対外的な説明責任が生じます。形式を整えることと、実態に即した内容にすることは、切り離せない問題です。

最低限カスタマイズすべき項目

テンプレートを土台にする場合でも、以下の項目は必ず自社の情報に置き換えることが必要です。

• 経営者名・会社名・作成日・版番号
• 適用範囲（対象者・対象システム・対象情報の具体的な列挙）
• インシデント発生時の連絡先と対応フロー
• 利用するクラウドサービスや業務システムに関するルール
• 個人情報の取り扱いと、外部委託先への管理に関する記述

これらが「テンプレートのまま」になっている文書は、実態との乖離が生じやすい箇所です。特に連絡先や対応フローが架空の情報のままになっているケースは、実際のインシデント対応時に文書が機能しないことを意味します。

将来的な認証取得を見据えた構造設計という考え方

現時点でISMSやプライバシーマークの取得を目指していない企業でも、最初から「認証に対応できる構造」で文書を作っておくことには、実際的なメリットがあります。

ISMSの要求事項に沿った三層構造（基本方針・規程・手順書）で整備しておくと、将来的に取引先からISMS取得を求められた際に、文書を一から作り直す必要がなくなります。中小企業でよく見られる「取得を求められてから慌てて整備する」という状況は、コストと時間の両面で非効率です。今の段階で「認証に耐えうる骨格」を持たせておくことが、中長期的には合理的な選択です。これは文書設計と技術要件の両方を理解していないと判断しにくい領域であり、専門家への相談が特に効果を発揮しやすい部分です。

作成後に必要な運用の最低ライン

作っただけで放置されているという状態を防ぐために、いくつか留意しておくべき点があります。高度な仕組みではなく、中小企業が現実的に続けられる最小限の運用を示します。

年1回の見直しと版管理を習慣にする

法改正・業務環境の変化・インシデントが見直しのタイミングです。文書には「版番号」と「最終改定日」を記載することで、取引先への提出時に「最新の文書です」と説明できるようになります。

年1回を目安としつつ、大きな変化、たとえば新しいクラウドサービスの導入、在宅勤務の開始、スタッフの大幅な入れ替えなどがあった際に随時更新する体制が望ましいです。

見直しの記録自体が、ポリシーを実際に運用している証拠にもなりますし、「定期的に見直している」という事実は、取引先への説明においても信頼の根拠になります。

形式より「社員も知っている状態を作ること」が目的

全社会議での読み合わせ、入社時オリエンテーションへの組み込み、定期的な研修実施、イントラへの掲示など、規模に応じた方法で社員全員に周知させることが大切です。

重要なのは、精緻な研修体制を構築することよりも、まず社員全員が「情報セキュリティに関するルールが存在することを知っている」状態を作ることです。

署名や確認票などにより確認した記録を残せると、万が一の際の内部説明に有効に機能します。ただし、小規模な組織においては周知の事実が確認できれば、最初の一歩としては十分です。完璧な体制を最初から構築しようとするよりも、まず動かすことが先決です。

まとめ

情報セキュリティポリシーの整備は、大企業だけが取り組むべき話ではなくなっています。取引要件として求められる機会が増えている現状は、これからもその方向に進み続けると見るのが現実的な判断です。

同時に、「完璧なものを一度に作ろうとしない」という姿勢も大切です。
最初は基本方針と最低限の規程からでも十分です。
大切なのは、テンプレートを流用して形式を整えたり、生成AIでそれっぽい文書をつくることよりも、自社の実態に即した内容になっているかどうかです。そしてできれば、将来の拡張を見据えた構造で最初から作っておくことが、後からの手間を省くことにつながります。

5つのステップを順に踏めば、専門知識がなくても骨格となる文書は作れます。ただし、法令への適合性と技術環境との整合性を同時に確認するためには、両方の視点を持つ専門家に見てもらうことが、後から手直しするよりも結果的に効率的です。

情報セキュリティポリシーの作成・見直しについてご不明な点があれば、まずはご相談ください。

法令への適合性という行政書士の視点と、自社のIT環境に即した内容かどうかという登録セキスペの視点。この両面から確認することで、取引先への提出にも社内運用にも機能する文書に仕上げます。具体的なサービス内容については、セキュリティ支援サービスのページをご覧ください。

取引先からセキュリティチェックシートが届いた場合の具体的な対応手順については、こちらの記事で詳しく解説しています。

・セキュリティチェックシートとは？届いたときの見方・よくある項目・対応の流れ

「自分たちの規模では、大きな攻撃を受けることはないだろう」と考えている中小企業の経営者や担当者は、今も少なくないと思います。

コスト・人手・専門知識の不足を理由にセキュリティ対策が後回しになっているケースも、現実として多く見受けられます。

しかし、「中小企業だからこそ被害に遭いにくい」という認識は、残念ながら現在の攻撃実態とは一致していません。

IPA（独立行政法人 情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では、ランサムウェアによる被害は規模を問わず組織全体の問題として継続的に上位に挙げられており、中小企業が狙われないという根拠はどこにもありません。
むしろ、セキュリティへの投資が限られ、対応体制が整っていない事業者こそが、攻撃者にとって効率のよい標的になっています。

実際に、警察庁の資料によれば、2025年度のランサムウェア被害のうち、63%が中小企業です。（「令和７年におけるサイバー空間をめぐる脅威の情勢等について」警察庁サイバー警察局）

そして、被害企業のうち50%以上が、その被害の調査・復旧に1,000万円以上費やしています（同上）。

特に近年は、大企業ではなくその取引先である中小企業を経由して侵入を図る「サプライチェーン攻撃」が増加しており、自社の規模に関わらず無関係でいられない状況です。
加えて、大企業や官公庁との取引では、セキュリティ対応の証明を求められる場面が増えており、セキュリティは「ITの問題」から「取引関係の問題」へと性質が変わりつつあります。

この記事では、中小企業が直面しているリスクの実態と、対処の優先順位を整理します。

なぜ中小企業でも狙われるのか

攻撃者は「侵入しやすい相手」を選ぶ

攻撃者が標的を選ぶ基準は、企業の規模ではなく「守りの薄さ」です。

専任のセキュリティ担当者がいない、OSやソフトウェアのアップデートが後回しになっている、フィッシングメールへの対処方法が社員に周知されていない・・・こうした条件が重なる事業者は、攻撃者にとって手間をかけずに侵入できる相手として映ります。

「自分たちには盗まれるものがない」という認識も、実態とは異なります。顧客の個人情報、取引先との契約情報、自社のシステムへのアクセス権限といった情報は、攻撃者が転売・悪用・侵入の足がかりとして利用できる情報です。
企業規模に関わらず、事業を続けている限り何らかの情報を保有しているという事実を、まず認識しておく必要があります。

大企業への「踏み台」にされるサプライチェーン攻撃

サプライチェーン攻撃とは、標的とする大企業のシステムに直接侵入するのではなく、その取引先である中小企業を経由して侵入を図る手法です。

いわば、中小企業をただの「踏み台」としか考えないようなもので、大企業本体のセキュリティが強固であっても、取引先との接続経路が存在する以上、そこが弱点になりえます。

この構造において、中小企業は「被害者」であると同時に「侵入経路の提供者」になります。自社のデータよりも、「接続された先の大企業」が本来の標的である場合が多く、自社には実害がなかったとしても、取引先に損害を与えた経路になったという事実は残ります。

取引先からの信頼失墜や、損害賠償責任が問われる可能性も否定できませんので、「自分たちには関係ない」という認識こそが攻撃を受けるきっかけにもなりかねません。

ランサムウェア被害が中小企業にとって深刻な理由

データが暗号化されたとき、事業はどうなるか

ランサムウェアは、感染したコンピューターのファイルを暗号化し、復号と引き換えに身代金を要求するマルウェアです。

顧客情報、受発注データ、会計記録などが一括して使用不能になってしまうと、事業活動に多大な影響を及ぼすはずです。

大手飲料メーカーがランサムウェア被害により長期間にわたり受注が停止した事例も記憶に新しいはずです。

大企業であれば、バックアップシステムの切り替えや別部門による代替対応が可能な場合もあります。しかし、ITシステムを一元的に管理している中小企業では、業務全体が数日から数週間にわたって停止するケースは現実に起こり得ます。

その間の売上機会の損失、顧客対応の停止、取引先への影響といった実害は、「システムが止まった」という技術的な問題としてではなく、事業継続の問題として捉えるべきものです。

身代金を払えばよいというものではない

ランサム攻撃の場合、ファイル復旧やファイルの公開をやめるために身代金を要求してくるケースは多いです。しかし、身代金を支払ったとしても必ずファイルが復元されるわけではありません。支払い後に復号キーが提供されないケース、復号しても一部のデータが破損したままのケースだけでなく、怖いのは「支払った実績がある企業」として再度狙われるケースです。

被害を受けた後の対応にかけるコストを考えれば、事前のバックアップ整備の方が合理的です。

バックアップには「3-2-1ルール」と呼ばれる基本的な考え方があります。データを3つコピーし、2種類の異なる媒体に保存し、そのうち1つはオフサイト（社外または別の場所）に置く、という方法です。

特別な設備は不要で、クラウドストレージと外付けドライブを組み合わせるだけでも実践できますので、最も現実的な備えの一つです。

暗号化しない攻撃も

以上のように、従来ランサムウェアといえばファイルを暗号化して身代金を要求する、というものでしたが、数年前から”暗号化しない”攻撃も増えています。

これは「ノーウェアランサム」と呼ばれます。ファイルを暗号化することなく盗みだし、それを公表するといって脅して身代金を要求するものです。

ファイルを暗号化しないため、利用者は異変に気が付きにくく、またバックアップが整備されていたとしても、データやシステムは破壊されずそのまま利用できる状態であるため、対策としては効果がありません。

被害を受けた後に問われる法的な責任

サイバー攻撃による被害は、技術的な損害にとどまりません。

ランサムウェアなどの攻撃により個人情報が漏洩した場合、それがたとえ1件だけだったとしても、個人情報保護法の定めにより、本人への通知と個人情報保護委員会への報告義務が事業者に課されます。また、取引先のシステムへ被害が波及した場合には、損害賠償責任を問われる可能性もあります。
「被害者であっても、管理責任が問われる」というのが、この問題の核心です。

その管理責任には、事前に相応の対策を講じていたか否かというのが大きく関わってきます。当然、何もしていなければ、管理不十分だとみなされてしまいます。
つまり「後でやる」という判断が想定以上のリスクを持つのです。

中小企業が取るべき”優先順位の整理”

技術的対策の優先順位

「何でもやる」ことは人手の限られた中小企業には現実的ではありません。優先順位をつけて順に整えるアプローチが、確実に前進できる方法です。

まず最初に取り組むべきは、OSとソフトウェアのアップデートです。
既知の脆弱性を放置することは、鍵を壊れたままにしておくようなものであり、コストをかけずに塞げる穴の代表格です。

次に、メールやシステムへのログインに多要素認証を導入することで、パスワード漏洩だけでは侵入できない状態を作れます。

そして、先述の3-2-1ルールを意識したバックアップの定期取得。この三つが、費用をあまりかけずに実施できる基盤となります。

高価なセキュリティ製品を導入する前に、この基盤が整っているかどうかを確認することが先決です。むしろ、中小企業にとっては、高価な製品よりもまずは小さな足固めは非常に重要です。
高度な製品が入っていても、アップデートが放置されていれば意味をなしません。

社内の運用ルールと社員への周知

技術的な対策は、運用する人間の行動が伴って初めて機能します。不審なメールのリンクをクリックしない、パスワードを使い回さない、会社のデータを私用端末で扱わないなど、こうした基本的な判断は社員一人ひとりが日常的に行うものであり、システムが自動的に防げる範囲の外にあります。

「システムを入れたから安全」という誤解は根強くありますが、現実のインシデントの多くは、技術的な欠陥ではなく人的な操作ミスや判断の誤りから始まっている事例も少なくありません。

不審メールへの対応手順、パスワード管理のルール、外部デバイスの取り扱いについて、全社員が共通の認識を持てるよう周知することは、コストをほとんどかけずにできる対策の一つです。技術と運用は両輪であり、どちらか一方では安全は成立しません。

対策は「実施する」だけでなく「記録する」ことに意味がある

セキュリティ対策は、実施することと、それを記録・文書化することの両方が必要です。技術的に適切な対策を講じていても、「何をいつ行ったか」を示せなければ、取引先や監督官庁に対して証明する手段がありません。

この「実施した対策を記録し、定期的に見直す」というサイクルは、たとえISMSなどの認証を取得することが目的でなくても、その考え方を日常的な運用に取り入れることで、外部からの要求に応えられる体制が自然に育ちます。

記録する習慣は、取引先からセキュリティチェックシートが届いたとき、その回答を「過去の記録を確認する作業」として処理できる状態をあらかじめ作ることでもあります。

取引先からセキュリティチェックシートが届いたとき

チェックシート対応は「取引上の信頼証明」である

大企業や官公庁との取引において、セキュリティチェックシートへの回答を求められるケースは年々増えています。その背景には、サプライチェーン攻撃への対策として、発注元が取引先のセキュリティ水準を確認する動きが広がっていることがあります。

チェックシートの全体像を知りたい方はこちら

このチェックシート対応を単なる事務的な書類作業だと捉えている経営者も多いのではないでしょうか。
しかし、ビジネスにおいて「信用」というのは非常に重要です。だから、セキュリティチェックシートというツールを使うことで「自社がセキュリティ上の問題を起こさないよう対策を講じている取引先である」ことを証明するよう求められているということです。

前の節で述べた対策の実施と記録が、ここで初めて「対外的な証拠」として機能します。対策を講じていても記録が残っていなければ、それは「対策していない」と同じ扱いを受けることになります。

回答できない項目が多いほど、取引機会に影響が出る

チェックシートへの回答が不十分な場合、取引の継続や新規契約の審査において不利な評価につながりうるという現実があります。「届いてから対処する」という事後対応では、回答の準備に時間がかかり、その間に取引機会を逃すケースも生じます。

一方、日常的なセキュリティ整備と記録を先に進めておけば、チェックシートへの回答は「すでに実施していることの確認作業」に過ぎなくなります。

事前に整備している事業者と、届いてから慌てて対応する事業者では、回答の質と対応のスピードに明らかな差が出ます。結果として、事前整備の方がコストも手間も少なく、取引上のリスクを最小化できます。

チェックシートの項目は「自社の現状を把握する手がかり」になる

チェックシートをネガティブな外部圧力として受け取るのではなく、「自社のセキュリティ対応状況を棚卸しする機会」として捉え直すことができます。各項目は、取引先が「最低限期待するセキュリティ水準」を反映しており、回答できない項目があるということは、そこに対応できていない領域があるということです。

チェックシートの具体的な構成は業界や発注元によって異なりますが、多くの場合、「パスワード管理とアクセス権限の設定」「定期的なバックアップの実施と確認」「インシデント発生時の対応手順の有無」「ウイルス対策ソフトやOSアップデートの状況」といった領域をカバーしています。これは、この記事で取り上げてきた技術的対策・運用ルール・記録の整備と、ほぼ重なります。

つまり、チェックシートで答えに詰まる項目は、そのまま自社が優先的に整備すべき課題の一覧として読むことができます。

自社だけで対応が難しい場合は、まずは無料相談で現状をお聞かせください。
→ 無料相談を予約する

セキュリティ対応 ＝「事業の信頼資産」

技術だけでなく「規程と文書」の整備が、説明責任を可能にする

ISMSやプライバシーマークの取得を検討していない場合でも、社内のセキュリティポリシーや情報管理に関する規程を整備することは、法令上・取引上の説明責任を果たす上で重要です。
技術的な対策は「実際にやっていること」の実態であり、規程や文書は「それを第三者に証明するもの」です。両者が揃って初めて、「対策を講じている」と外部に示すことができます。

この領域は、セキュリティの専門家に相談しても、法務の専門家に相談しても、単独では完結しません。「現在の技術的な対策状況を把握し、リスクを特定する」作業と、「それを裏づける規程・文書を整備する」作業は、それぞれ異なる専門性を必要とします。

多くの中小企業がセキュリティ整備を進めにくい理由の一つは、この二つが分断されたまま支援を受けられる場所が少ないことにあります。

整えたセキュリティ対応が、新しい取引機会を開く

セキュリティ対応を一定水準まで整えた事業者は、大企業・官公庁・上場企業との取引において、チェックシートへの回答や審査を通過できる状態になります。これは「リスクを減らした」という守りの成果であると同時に、「新たな取引先との信頼構築への第一歩」という前向きな変化でもあります。

官公庁案件や大企業のサプライヤー登録では、セキュリティ対応の水準が参入条件として機能するケースがあります。対策を整備するということは、そのような案件にアクセスできる事業者の側に移ることを意味します。

整備の流れとしては、
現状把握（何を保有し、何を守るべきか）
→ 優先順位の設定
→ 対策の実施と記録
→ 規程・文書の整備
という順序が現実的です。この流れは自力でも始められますが、現状把握の段階で専門家の伴走があると、見落としや誤った優先順位の設定を避けやすく、最初の一歩が確実になります。

まとめ

中小企業がセキュリティを後回しにしてきた背景には、コスト・人手・知識という現実的な制約があるのは理解できます。しかし、優先順位を整理すれば、大きな予算をかけずに着実に対処できる問題でもあります。

ランサムウェアやサプライチェーン攻撃は、企業規模とは無関係に取引関係の中に組み込まれています。自社単独の判断でリスクを完結させることは、もはや難しい状況です。

セキュリティとは守るためにかけるコストだという考えは、まだ多くの中小企業に根強く残っています。しかし取引関係の中でその水準が問われるようになった今、整備されたセキュリティ対応は、事業の信頼性を外部に示す資産として機能します。守りの整備が、そのまま前へ進む基盤になる。そう捉え直すことで、セキュリティへの向き合い方は変わります。

ご相談について

取引先からセキュリティチェックシートが届いている、あるいは近く届きそうだという状況であれば、その項目を手がかりに現状の対応状況を確認するところから始められます。「何が整っていて、何が不足しているか」の把握だけを目的としたご相談も承っています。技術的な対策状況の確認と、規程・文書の整備の両面から対応できますので、まずご連絡ください。
→ 無料相談を予約する