中小企業の個人情報漏えい予防チェックリスト｜棚卸し・委託先管理・初動訓練

第1段階：個人情報の棚卸しを一枚にする

部署ごとに、情報の種類、本人の区分、取得目的、取得方法、保存場所、利用者、共有先、保存期間、削除方法を一覧にします。顧客名簿だけでなく、問い合わせメール、録音、監視カメラ、採用応募、従業員の健康情報、本人確認書類、紙の申込書、バックアップ、チャット添付も対象です。

棚卸しでは、正式なシステムだけを聞くと私物端末や表計算、無料クラウド、生成AIが漏れます。現場に『昨日、顧客名をどこへ入力し、誰へ送ったか』を聞き、実際の流れを追います。不要なデータは削除し、保存根拠と期限があるものは責任者を決めます。

• 顧客、見込客、採用応募者、従業員、取引先担当者を分ける
• 紙、メール、端末、クラウド、バックアップ、AI入力先まで記載する
• 要配慮個人情報、口座・カード、認証情報、本人確認書類に印を付ける
• 保有目的が説明できない複製と古い共有リンクを削減する

第2段階：権限と持出しを絞る

退職者・異動者のアカウント、共有ID、管理者権限、外部共有リンク、メール自動転送を点検します。全員が全顧客を閲覧できる状態は、誤送信やアカウント侵害時の被害を広げます。業務上必要な範囲に絞り、管理者操作と大量ダウンロードのログを残します。

多要素認証、端末ロック、OS・ソフトウェア更新、暗号化、USB制御は基本ですが、導入済みかではなく例外が放置されていないかを確認します。共有メールボックス、緊急用アカウント、古い端末、在宅勤務端末は抜けやすい箇所です。

第3段階：委託先とクラウドを契約・運用の両方で見る

給与計算、配送、予約、顧客管理、コールセンター、システム保守など、個人データを委託先が扱う場合、選定、契約、取扱状況の把握、再委託、事故連絡、返却・削除を確認します。契約書に安全管理条項があっても、実際の保存先や再委託先が分からなければ監督は不十分になり得ます。

事故時に『委託先が調査中』で止まらないよう、連絡期限、提供すべきログ、対象人数の算定協力、本人通知の分担、公表内容の調整、調査費用の負担を事前に決めます。クラウドの規約変更やサブプロセッサー更新を誰が確認するかも明確にします。

• 委託する個人データと利用目的を契約別に特定する
• 再委託・国外取扱い・保存期間・削除証明を確認する
• 事故連絡の期限、窓口、調査協力、費用負担を定める
• 年1回などリスクに応じた頻度で運用状況を確認する

第4段階：生成AIの入力ルールを実務に合わせる

生成AIには、議事録、契約書、顧客メール、応募書類を貼り付けやすい特徴があります。サービス名だけで許可・禁止を決めず、組織契約か私用アカウントか、学習利用、保存、共有、国外取扱い、管理者機能を確認します。学習不使用の設定だけで、全ての法的・安全上の問題が解決するわけではありません。

入力可能、匿名化後に可能、責任者承認が必要、入力禁止の四区分を作り、実例を添えます。新機能で設定やデータ利用が変わるため、導入時だけでなく定期確認が必要です。違反を隠させないよう、早期申告を評価する窓口も設けます。

第5段階：初動訓練は判断を含める

連絡網だけの訓練では足りません。『従業員が顧客一覧を誤送信した』『委託先がランサムウェア被害を連絡してきた』『生成AIへ健康情報を入力した』など、具体的な一件を使い、誰が止血し、誰が事実を集め、誰が報告・通知を判断するかを動かします。

報告対象事態では、個人情報保護委員会への速報は事態を知った時点（いずれかの部署が知った時点）から概ね3〜5日以内が目安です。訓練では、全容不明のまま速報案を作り、確定・推定・未確認を分けます。本人通知期限と誤解しないこと、本人通知は状況に応じて速やかに検討することも確認します。

• 最初の30分で、追加送信停止・隔離・証拠保存を選べるか
• 2時間以内に、経営・法務・技術・広報・保険へ連絡できるか
• 対象データと人数を棚卸し表から追えるか
• 本人向けの二次被害防止策を具体的に書けるか
• 訓練後に手順、契約、権限、バックアップの改善担当を決める

90日で進める優先順位

最初の30日で、重大データ、管理者権限、外部共有、退職者アカウント、バックアップを確認します。次の30日で、主要委託先とクラウド、事故連絡条項、AI利用を点検します。最後の30日で机上訓練を行い、発見した不足を経営会議で期限・担当付きにします。

個人情報保護委員会の通則編は、安全管理措置を、事業の規模・性質、個人データの性質・量、媒体などのリスクに応じた必要かつ適切な内容とする考え方を示しています。全項目を一度に満点にするより、重大な情報の所在と事故時の動きを確認し、改善を継続することが実効的です。