個人情報保護委員会は10月7日、大規模な漏えい事案を受けて事業者に向けて注意喚起を行った。公表しているガイドラインの内容を踏まえて、個人情報を扱う事業者が行うべき安全管理措置と、手法の例について示し対策を講じるよう求めた。安全管理措置を行わなかった場合に法違反と判断される可能性があるとした。手法の例については、9月から検討をすすめている個人情報保護法の見直しに向けた議論を踏まえ、改正予定の内容を含め紹介した。

　ガイドラインの講じなければならない措置のうち「技術的安全管理措置」について、手法の例を紹介。「アクセス制御」や「アクセス者の識別と認証」、「外部からの不正アクセス等の防止」、「情報システムの使用に伴う漏えい等の防止」、「不正アクセス等の検知」の5項目を示した。

　このうち「アクセス制御」については、個人情報を扱う情報システムとアクセスできる者を限定する手法を紹介。アクセス権限の定期的な監査や、組織内外からのアクセスについて要求ごとにアクセス元の場所や時間、ディバイスのセキュリティ状況のコンテキストを評価し、リスクに応じてアクセス可否を判断する仕組みの導入などの対策を紹介した。

　「外部からの不正アクセスの防止」についてはセキュリティ対策のソフトウェアで最新状態を保ち、許可していないソフトウェアの導入を防止することを紹介。組織が許可しセキュリティ基準を満たしたディバイスからのみ個人データへのアクセスを許可することなどの手法を示した。

　また、「不正アクセスの検知等」については不正アクセス発生や兆候を早期に検知するための仕組みの導入や、侵害を受けた情報システムの停止や隔離などを行うことで、組織内ネットワークでの被害拡大を防止するなどの手法を示した。

　9月から、個人情報保護法の見直しに向けた検討を始めている。ガイドラインを改訂し、「手法の例示」について現代化を図る。委託先における個人データ等の適正な取り扱いや、漏えい等の報告・本人通知義務の緩和、個人情報保護委員会への報告の合理化などについて関連規則のあり方を検討する。

　今後、団体へのヒアリングを実施し、ECネットワークや消費者団体などが個人の立場から意見を述べる。新経済連盟や日本経済短大連合会などが事業者の立場から意見交換に参加する。来年1月以降、パブリックコメントを募集し来年4月に改正する予定。