【今日からできる】人的ミスによる情報漏えいを防ぐ初歩的な対策｜メール・パスワード・社内ルールの基本
2026年秋、企業の情報漏えいの公表が相次いでいます。その中には大企業だけでなく、業務を受託する中小企業が入口になったケースも含まれています。
サイバー攻撃と聞くと「システムの専門的な対策が必要」と考えがちですが、実際には不審メールの開封、パスワードの使い回し、メールの誤送信、書類の置き忘れといった、日常業務の中の「うっかり」が被害のきっかけになることも少なくありません。本コラムでは、専門知識がなくても今日から始められる、人的ミスによる情報漏えいを防ぐための初歩的な対策を、要点に絞って解説します。
人的ミスによる情報漏えいの主なパターン
| パターン | よくある例 |
|---|---|
| メールの誤送信 | 宛先の選び間違い（オートコンプリート）、添付ファイルの取り違え、CCとBCCの入れ間違いによるアドレスの流出 |
| 不審メールの開封 | 取引先や宅配業者を装ったメールの添付ファイルを開く、リンク先でIDとパスワードを入力してしまう |
| パスワードの管理不足 | 複数のサービスで同じパスワードを使う、付箋に書いて貼る、同僚とアカウントを共有する |
| 紛失・置き忘れ | ノートPC、スマートフォン、USBメモリ、顧客の書類を外出先や電車内に置き忘れる |
| 共有設定のミス | クラウドのファイルを「リンクを知っている全員」に公開したままにする、退職者のアカウントが残っている |
| 書類・FAXの誤送付 | FAX番号の押し間違い、封入する書類の取り違え |
| 生成AIやSNSへの入力・投稿 | 顧客情報を含む文章を生成AIに貼り付ける、業務中の写真をSNSに投稿して書類や画面が映り込む |
今日からできる初歩的な対策
1. 不審なメールへの対策
「知らないアドレスからのメールは開かない」は基本ですが、それだけでは十分ではありません。最近は実在する取引先や上司、宅配業者、金融機関などを装ったメールが多く、AIによって自然な日本語で書かれたものも増えています。
- 見覚えのない添付ファイルやリンクは開かない。知っている相手からでも、内容に違和感があれば開かない
- 差出人の表示名ではなく、実際のメールアドレス（ドメイン）を確認する
- 「至急」「アカウント停止」「支払先変更」など、急がせる・不安をあおる内容は特に疑う
- 振込先の変更やパスワードの入力を求められたら、メールに書かれた連絡先ではなく、普段使っている電話番号などで本人に確認する
- 開いてしまったら、自己判断で放置せず、すぐに責任者へ報告する
2. メール誤送信の防止
- 送信前に「宛先・CC/BCC・添付ファイル・本文の宛名」の4点を声に出して確認する
- 社外の複数の相手に一斉送信するときは、BCCを使うか一斉配信ツールを使う
- 個人情報を含むファイルは、送る前に「本当にメールで送る必要があるか」を考える
- メールソフトの「送信を数秒遅らせる」「送信前に確認画面を出す」機能を使う
3. パスワードとアカウントの管理
- 英数字と記号を組み合わせた10文字以上にし、名前や誕生日など推測されやすい語句は使わない
- サービスごとに違うパスワードにする（使い回しをしない）
- メールやクラウドサービスでは、多要素認証（スマートフォンへの確認コードなど）を設定する
- アカウントを複数人で共有しない。異動・退職時はすぐにアカウントを停止する
4. 持ち出し・紛失への備え
- 個人情報を含む書類やUSBメモリの持ち出しは、許可制にして記録を残す
- ノートPCやスマートフォンには画面ロックを設定し、私物端末で業務データを扱うルールを決めておく
- 移動中や飲食店では、端末や書類を手元から離さない
5. オフィス内でのルール
- 帰宅時は机の上に書類を残さない（クリアデスク）。離席時はPCをロックする
- 不要になった書類はシュレッダーにかけ、個人情報を含む書類を一般ごみに捨てない
- FAXは送信前に番号を確認し、可能であれば短縮ダイヤルや送信前の再確認機能を使う
6. 生成AI・SNSの利用ルール
- 顧客や従業員の氏名、住所、マイナンバー、健康情報などを生成AIに入力しない
- 会社として利用を認めるAIサービスと、入力してよい情報の範囲を決めておく
- 職場で撮った写真をSNSに投稿するときは、書類、画面、ホワイトボードが映り込んでいないか確認する
システム面は「最低限これだけ」から
「システム対策はどこまでやればいいのかわからない」という場合は、IPAが中小企業向けに示している「情報セキュリティ6か条」から始めるのがおすすめです。2026年3月に公開された「中小企業の情報セキュリティ対策ガイドライン」第4.0版で、従来の5か条に「バックアップ」が加わりました。
| 項目 | 具体的な対策の例 |
|---|---|
| ① OSやソフトウェアは常に最新の状態にしよう | Windows Updateなどの更新を適用する。サポートが終了したOSや機器は使わない |
| ② ウイルス対策ソフトを導入しよう | ウイルス対策ソフトを入れ、定義ファイルを自動更新にする |
| ③ パスワードを強化しよう | 10文字以上で使い回さない。多要素認証を使う。機器の初期パスワードを変更する |
| ④ 共有設定を見直そう | クラウドや複合機、NASなどの共有範囲を限定する。退職者のアクセス権を削除する |
| ⑤ バックアップを取ろう | 重要なデータを定期的にバックアップし、普段はPCから切り離して保管する。復元できるか確認する |
| ⑥ 脅威や攻撃の手口を知ろう | IPAなどの注意喚起を確認し、従業員に共有する。気になることはすぐ報告してもらう |
自社の状況は、IPAの「5分でできる！情報セキュリティ自社診断」で確認できます。診断結果をもとに、専門的な設定はPCやネットワークを導入した業者などに相談するとよいでしょう。
対策を「人任せ」にしないためのルールづくり
注意喚起だけでは、時間が経つと意識が薄れてしまいます。対策を続けるためには、会社のルールとして形にしておくことが大切です。
- 就業規則：秘密保持義務、情報機器の取扱い、私物端末の利用、違反した場合の懲戒について定める
- 情報管理のルール：持ち出し、メール送信、生成AIの利用などのルールを、短くわかりやすい社内ルールにまとめる
- 入社時・退職時の手続き：秘密保持の誓約書を取り、退職時は貸与品の返却とアカウントの停止を確認する
- 定期的な研修：年に1回でも、実際の不審メールの例などを使って全員で確認する
- 報告しやすい雰囲気：ミスを責めるより、すぐに報告したことを評価する。報告が遅れるほど被害は広がります
もし情報漏えいが起きてしまったら
まずは責任者への報告、被害の拡大防止（誤送信先への削除依頼、端末のネットワークからの切断、パスワードの変更など）、経緯の記録を行います。
個人データの漏えい・滅失・毀損（漏えい等）が次のいずれかに当たる場合は、個人情報保護委員会への報告と本人への通知が法律上の義務になります（「おそれ」がある段階も含みます）。
- 要配慮個人情報（健康診断の結果、病歴など）を含む場合
- クレジットカード番号など、財産的な被害が生じるおそれがある場合
- 不正アクセスや盗難など、不正な目的によるおそれがある場合
- 対象となる本人の数が1,000人を超える場合
報告は、発覚から3〜5日以内を目安とする速報と、原則30日以内（不正な目的によるおそれがある場合は60日以内）の確報の2段階です。従業員の健康診断結果など、要配慮個人情報を含む個人データは、少人数の漏えい等でも報告対象になり得ます。なお、マイナンバーを含む特定個人情報については、番号法に基づく別の報告・本人通知の基準を確認する必要があります。
詳しい情報・関連リンク
- 中小企業の情報セキュリティ対策ガイドライン（IPA）：情報セキュリティ6か条、5分でできる自社診断、インシデント対応の手引きなどを掲載
- SECURITY ACTION（IPA）：中小企業がセキュリティ対策に取り組むことを自己宣言する制度
- 情報セキュリティ10大脅威 2026（IPA）：最新の脅威と対策の解説
- 漏えい等の対応とお役立ち資料（個人情報保護委員会）：漏えい等が発生したときの報告方法など
※本コラムの内容は執筆時点の法令・公表情報に基づいています。その後の法改正等により取り扱いが変更される場合がありますので、最新の情報は個人情報保護委員会・IPA等の公式サイトでご確認ください。
就業規則の秘密保持規定や誓約書の整備をご希望の場合はぜひご相談ください。
