情報漏えいは経営の責任。経営者が知っておきたい3つの原則

お客さまの情報を預かる会社にとって、情報漏えいは、経営の問題です。IT担当者にまかせきりにして、よいのでしょうか。

IPA(情報処理推進機構)が、経営者に向けて示している「3つの原則」と、いま確かめたいことを整理します。

経営者が認識すべき3つの原則

サイバーセキュリティのリスクは、会社のリスク管理の重要な課題。経営者のリーダーシップのもとで、対策を進める。
自社だけでなく、サプライチェーン全体に目を配る。国内外の拠点、ビジネスパートナー、委託先まで。
ふだんも、緊急のときも、関係者と積極的にコミュニケーションをとる。

経済産業省の「サイバーセキュリティ経営ガイドライン」に、くわしい考え方があります。

なぜ「経営の責任」なのか

大量の個人情報を扱うオンラインサービスが、不正侵入される事案が、相次いでいます。情報を盗まれると、悪用されるだけでなく、「公開する」と脅されたり、不正に売買されたりといった、二次被害が広がりやすい、とされています。情報漏えいを起こさないための対策の点検や見直しは、経営責任として、至急行うことが求められています。

経営者が、まず確かめたいこと

確認	中身
外に公開しているアプリ・サービスはあるか	あれば、ログに異常がないか、修正プログラム(パッチ)の未適用がないか。
使っている外部サービスの全体	クラウド、VPNなど。ログと、アカウントに異常がないか。
持っている情報の量	不要な情報は持たない。必要最小限にする。
認証の強さ	多要素認証を使っているか。パスワードは強いか。
委託先の管理	委託先も含めて、対策を徹底しているか。
異常があったときの動き	インシデントとして対応し、専門事業者に調査を頼む。

サプライチェーン全体の備え

自社のシステムだけでなく、情報を共有する取引先や委託先と、連携した取り組みが必要です。IPAは、サプライチェーンを構成する企業のセキュリティ対策の状況を、共通の基準で評価・可視化する「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」を、2027年3月の制度開始に向けて準備しています。

相談できるところ

IPAの企業組織向けサイバーセキュリティ相談窓口(初動対応などの相談。個別のシステムの質問には、答えられない場合があります)。
中小企業向けの支援は、情報漏えいを防ぐ事業者の点検リスト。IPAが示した3つの点検と対策にまとめています。

まとめ

情報漏えい対策は、経営責任です。リスクを会社の課題として捉え、自社と取引先・委託先まで見渡し、関係者と声をかけ合う。この3つが、土台になります。

出典

IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026年10月9日公開。2026年10月31日に確認)