個人情報の保護に関する法律についてのガイドライン（通則編）改正案、不正アクセス対策例を追加
原文のタイトル: 個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）等に関する意見募集について
原文を開くAIによる要約
- 個人情報保護委員会が、安全管理措置を定めた3つのガイドラインの改正案について意見を募集
- 多要素認証、ログの保管と分析、特権アカウントの限定、許可した端末だけの接続などを例として追加
- 委員会は、主に「手法の例示」の追加等であり、新たな規律を設けるものではないと説明
- 大量の個人データ漏えい事案を受け、当初2027年4月としていた施行を可能な限り前倒しする方針
- 意見の締切は2026年11月27日。e-Gov、郵送（同日必着）、電子メールで受け付ける
重要な日付
- 2026年9月16日(水)第369回個人情報保護委員会で見直しの方向性を示す
- 2026年10月29日(木)改正案の公示・意見受付開始
- 2026年11月27日(金)意見提出の締切（e-Govは23時59分まで、郵送は同日必着）
解説
背景
個人情報保護法第23条は、個人情報を扱う事業者に対し、個人データの漏えいなどを防ぐための安全管理措置を義務づけています。その具体的な内容は、ガイドライン（通則編）の別添と、マイナンバーを扱う際の2つのガイドライン（事業者編・行政機関等編）の別添で示されています。委員会は、事業者や行政機関等を狙うサイバー攻撃が高度化・巧妙化し、攻撃対象も広がり続けていることが漏えいの大きな要因になっているとしています。そこで、関係省庁・機関と四半期ごとに開いている連絡会で得た知見や、委員会が対応した個別の事案などを踏まえて見直しを検討し、2026年9月16日の第369回委員会で方向性を示しました。当初は2026年12月頃に意見募集、2027年4月に施行する予定でした。しかし、広く普及し大量の個人情報を扱う事業者が外部から不正アクセスを受け、大量の個人データが漏えいした（またはそのおそれが生じた）事案を受けて、施行を可能な限り前倒しすることにしました。
何が決まった・変わるのか
改正案は、安全管理措置のうち主に「手法の例示」（義務ではない対応の例）を追加・整理するもので、柱は4つです。(1)取扱いの多様化への対応として、責任部署の設置、同じIDとパスワードの使い回しの原則禁止、指紋・静脈・顔認証、フィッシングに強いものを含む多要素認証（複数の確認方法を組み合わせる認証）、クラウド上のデータを暗号化消去など復元しにくい方法で消すことを例示しました。(2)ゼロトラスト（組織の内外を問わず何も信頼せず、全てを検証する考え方）の導入として、アクセスのたびに場所・時間・端末の安全状態を評価する仕組みや、組織が許可した端末からだけアクセスを認める方法を加えました。(3)侵入された後の被害拡大を防ぐ対策として、管理者権限（特権アカウント）を持つ人や端末の限定、侵害された機器の停止・隔離、アカウントの無効化を例示しました。(4)記載の明確化として、既存の例示を整理し直し、「講じなければならない措置」に「不正アクセス等の検知等」の項目を設けました。ログの一定期間の保管・保護・定期的な分析や、検知の仕組み（IDS/IPS、EDR等）を例示しています。あわせて、研修を「少なくとも年1回程度」行うこと（行政機関等編は「おおむね一年ごと」）や、人事異動・退職時のアクセス権限の変更、Q&Aにある例示のガイドライン本体への一本化も盛り込みました。
誰に関係するか
個人情報を扱う企業・団体（個人情報取扱事業者）、マイナンバーを扱う事業者、行政機関等が対象です。源泉徴収票の作成などで従業員のマイナンバーを扱う企業には、事業者編の改正も関係します。手法の例示は義務ではありませんが、事業の規模や性質、扱うデータの性質や量などのリスクに応じて、必要かつ適切な内容にすべきとされています。中小規模事業者向けの例も示されています。施行日は「令和9年○月○日」とされているだけで、まだ決まっていないため、今後の発表に注意してください。
運営者コメント
懸念される点・課題
例示の項目が大きく増え、IDS/IPSやEDR、アクセスのたびの動的な評価など専門性の高い内容も含まれるため、人材や予算が限られる事業者には負担に感じられる可能性があります。委員会は「新たな規律ではない」としていますが、義務と例示の境目は読み手には分かりにくい面があります。ログを保管する「一定の期間」の目安や施行日は資料からは読み取れず、前倒しによって準備期間が短くなるおそれもあります。
注目点・留意点
資料には、最終的な内容が案から変わる可能性があると明記されています。施行日、寄せられた意見に対する委員会の考え方、同じ趣旨で改訂するとされる行政機関等向けの事務対応ガイドや特定分野のガイドラインの内容は、今後確認が必要です。例示はリスクに応じて必要かつ適切な内容を選ぶものとされています。すべてを一律に導入すべきかどうかは、自社の規模や扱うデータの量・性質に照らして判断することが求められます。
よくある質問
例示されたセキュリティ対策は、すべて実施しないと違反になりますか。
資料では、「講じなければならない措置」は義務で、従わない場合は法違反と判断される可能性があるとされています。一方、「手法の例示」は義務ではなく例であり、個人データが漏えいした場合に本人が受ける被害の大きさや、事業の規模・性質、扱うデータの量などのリスクに応じて、必要かつ適切な内容にすべきとされています。
改正はいつから適用されますか。
改正案では「令和9年○月○日から施行」とされており、具体的な日付は決まっていません。当初は2027年4月施行の予定でしたが、可能な限り前倒しする方針が示されています。確定した日付は資料には記載がありません。
中小企業にも関係しますか。
関係します。ガイドラインには中小規模事業者向けの手法の例示欄があり、今回新しく設けた「不正アクセス等の検知等」では、情報システムの使用状況やアクセス状況のログ等を一定の期間保管することが示されています（事業者編では「望ましい」という表現です）。保管期間の具体的な長さは資料には記載がありません。
意見はどのように出せばよいですか。
e-Govの意見提出フォーム、郵送（2026年11月27日必着、封書の表面に「ガイドライン改正案に関する意見提出」と記入）、電子メール（guidelines.bangou@ppc.go.jp、件名は「ガイドライン改正案に関する意見提出」）のいずれかで提出します。電話では受け付けず、日本語のみ、個別の回答はないとされています。改正内容に関係のない意見には対応できないとされています。
前倒しのきっかけとなった漏えい事案は、どの事業者のものですか。
資料には、広く普及し大量の個人情報を扱う事業者が外部から不正アクセスを受け、大量の個人データが漏えいした（またはそのおそれが生じた）事案があったとだけ書かれています。事業者名や詳しい内容は資料には記載がありません。
このページの要約・解説・よくある質問は、公表資料(原文)をもとに作成したものです(作成日時: 2026/10/29 20:06)。内容の正確さには注意を払っていますが、制度の詳細や最新の情報は必ず原文で確認してください。
評価できる点
ゼロトラストの考え方や、侵入された後の被害拡大防止、フィッシングに強い多要素認証など、近年の攻撃手口に合わせた具体的な例が示された点は評価できます。Q&Aに分かれていた例示をガイドライン本体にまとめ、義務の項目と例示の関係を整理したことで、事業者が何をすべきかをつかみやすくなると考えられます。大規模な漏えい事案を受けて施行を前倒しする判断からも、対応を急ぐ姿勢がうかがえます。