RIKENTOKYOはオフィス環境と仕組みのご提案で「情報漏洩対策をしてください」と言われても、何から手をつければよいか分からない総務・情シス担当者は少なくありません。
実は個人情報保護法のガイドラインには、対策を4つの観点で整理する考え方があります。
この記事では、安全管理措置の基本用語と、中小企業がどこから着手すべきかを解説します。
安全管理措置とは、個人情報保護法ガイドライン（通則編）が示す、個人データの漏えい・滅失・毀損を防ぐために事業者が講じるべき措置のことです。
個人情報保護委員会は、この措置を「組織的」「人的」「物理的」「技術的」の4分類で整理しています。
「情報漏洩対策」というと、ウイルス対策ソフトやファイアウォールといった技術面だけをイメージしがちです。
しかし実際の漏洩事故は、退職者のアカウント削除忘れや、書類の誤廃棄など、技術以外の要因で起きるケースも多くあります。
4分類を押さえておくことで、対策の抜け漏れに気づきやすくなります。
| 分類 | 主な内容 | 中小企業で見落としやすい点 |
|---|---|---|
| 組織的安全管理措置 | 責任者の設置、規程整備、点検体制 | 規程はあるが運用が形骸化している |
| 人的安全管理措置 | 従業者教育、誓約書、監督 | 教育が入社時の一度きりになっている |
| 物理的安全管理措置 | 入退室管理、書類・機器の管理 | 来客動線と執務スペースが分かれていない |
| 技術的安全管理措置 | アクセス制御、認証、通信の保護 | 退職者アカウントが削除されずに残っている |
組織的安全管理措置とは、個人データを取り扱う体制やルールを整備し、実際に運用・点検する仕組みのことです。
具体的には、管理責任者の設置、取扱規程の策定、アクセス権限の記録、漏洩時の報告連絡体制などが含まれます。
中小企業でよくあるのは、「規程は数年前に作ったが見直していない」という状態です。
組織図や取扱業務が変わっても規程が更新されていないと、実態と乖離し、事故が起きたときに機能しません。
人的安全管理措置とは、従業者に対する教育・監督を通じて、人為的なミスや内部不正を防ぐ取り組みです。
入社時の誓約書取得だけでなく、定期的な研修や、退職者への対応（アカウント削除・資料回収）も含まれます。
情報漏洩の原因は、外部からの攻撃よりも、メールの誤送信や書類の紛失といった従業者側のミスが多いのが実情です。ルールを作るだけでなく、従業者が理解し実践できる状態にすることが重要です。
物理的安全管理措置とは、個人データを扱う区域や機器・書類を物理的に保護する取り組みです。入退室管理、施錠管理、書類の持ち出しルール、廃棄時のシュレッダー利用などが該当します。
オフィスのレイアウトを変更する際は、この観点が抜けやすいポイントです。来客スペースと執務スペースの動線が分かれていないと、来訪者から画面や書類が見える状態になり、物理的な情報漏洩リスクが高まります。
RIKEN TOKYOの視点
RIKEN TOKYO自身が東京支店をWeWork丸の内へ移転した際も、来客動線と執務スペースの分離、書類のペーパーレス化、施錠可能な収納の配置を合わせて検討しました。
オフィス移転は、物理的安全管理措置を見直す良いタイミングでもあります。
技術的安全管理措置とは、システム面からアクセスや通信を制御し、不正アクセス・情報漏洩を防ぐ取り組みです。
アカウント管理、アクセス権限の設定、多要素認証（MFA）、通信の暗号化、ログの取得・監視などが含まれます。
中小企業では、UTM（統合脅威管理）による通信の監視や、退職者・異動者のアカウント整理が後回しになりがちです。
特にMicrosoft 365などクラウドサービスを利用している場合、アカウントが残ったままだと、社外から不正にアクセスされるリスクが残り続けます。
安全管理措置を検討する際、次のような失敗がよく見られます。
何から始めるべきか迷っている方へ
4つの安全管理措置をすべて同時に整えようとすると、途中で止まってしまうことがあります。RIKEN TOKYOでは、現状の弱点を伺ったうえで、優先順位をつけた進め方をご提案します。
安全管理措置は、次の順番で進めると失敗しにくくなります。いきなり機器やツールを導入するのではなく、現状把握から始めることが重要です。
RIKEN TOKYOでは、安全管理措置の4分類それぞれについて、現状整理から導入・運用まで支援しています。
オフィス環境とIT環境を分けずに相談できる点が特長です。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | 個人データの取扱状況、4分類ごとの弱点整理 |
| 組織的・人的対策 | 取扱規程の見直し、従業者教育の支援 |
| 物理的対策 | オフィスレイアウト、入退室・施錠管理の設計 |
| 技術的対策 | UTM・MFA・アクセス権限の設定、機器選定 |
安全管理措置で押さえるべきポイントを整理します。
情報漏洩対策の進め方でお悩みの方は、RIKEN TOKYOにお気軽にご相談ください。現状の困りごとを伺ったうえで、無理のない進め方をご提案します。
導入したい機器・ライセンスがすでに決まっている場合は、スピードお見積りを依頼することも可能です。
必要です。個人情報保護法は、個人データを取り扱う事業者に対して、規模を問わず安全管理措置を求めています。ただし、事業規模やリスクに応じて、講じるべき措置の内容は変わります。
対策できます。組織的・人的安全管理措置は、専任の情シス担当者がいなくても、経営者や総務担当者が中心になって進められる部分が多くあります。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいよう、現状整理から支援しています。
まずは、自社がどの個人データを、どこで、誰が扱っているかを洗い出すことから始めるのがおすすめです。現状把握をせずに機器やツールを導入すると、対策の抜け漏れに気づけないまま進んでしまいます。
十分とは言えません。技術的対策は有効ですが、規程が整っていない、従業者への教育が不十分といった状態では、人為的なミスによる漏洩を防ぎきれません。4分類をバランスよく整えることが重要です。
