「守りを固める」前に、まず問うべきこと
情報漏えい対策というと、暗号化、アクセス制御、監視の強化といった「守る」話に目が行きがちです。
しかし、どれだけ守りを固めても、侵入をゼロにすることはできません。そして漏えいが起きたとき、被害の大きさを決めるのは、守りの強さよりも**「そもそも何を持っていたか」**です。
2026年9月、ある大手カーシェアリングサービスで、約660万アカウントの会員情報が第三者に取得される事案が公表されました。第2報（9月28日）の時点で、取得された情報には次のものが含まれるとされています。
- 氏名、住所、生年月日、電話番号、メールアドレス
- 運転免許証画像などの本人確認書類
- パスワード、連携サービスID
- 法人会員の所属部署名
注目したいのは対象範囲です。現会員だけでなく、退会済みの人や、入会手続きが完了していない人まで含まれていました。
なお、原因や侵入経路は続報で公表される予定です。本稿は、この事案の原因を論じるものではなく、**「持ち続けていたデータの量が、被害の大きさに直結する」**という一般的な教訓を整理するものです。
「持っているだけ」で、リスクは積み上がる
本人確認のために預かった免許証画像を、確認が終わった後も保管し続けている。退会した人のデータが、削除されないまま残っている。入会手続きが途中で止まった人の情報も、そのままになっている。
こうしたデータは、日々の業務ではほとんど使われません。ところが、漏えいが起きた瞬間に、最も深刻な被害を生む種類のものに変わります。
- 免許証画像：顔写真、氏名、住所、生年月日が一枚にそろうため、なりすましや不正な契約申込みに使われるおそれがあります
- 退会者のデータ：本人は「もう関係ない会社」だと思っているため、漏えいに気づきにくく、通知も届きにくくなります
- 法人会員の部署名：実在の部署名を使った、もっともらしい標的型メールの材料になります
使っていないデータは、会社にとって売上も価値も生みません。一方で、漏えいした場合の賠償、信用低下、対応コストだけは、保有している限り発生し続けます。
これは大企業だけの話ではありません。むしろ中小企業のほうが、「いつか使うかもしれない」と保管を続け、削除ルールも棚卸しの担当者もいない、というケースが多いのではないでしょうか。
解決策は「守る」より先に「持たない」こと
個人情報保護法第22条には、利用目的の達成に必要な範囲内でデータを正確かつ最新に保つとともに、利用する必要がなくなった個人データは、遅滞なく消去するよう努めるという定めがあります（努力義務）。
つまり、「持たない」ことは、セキュリティ対策であると同時に、法の趣旨にも沿った取り組みです。ここでは、中小企業が今日から始められる5つのステップをご紹介します。
ステップ1：預かっているデータを洗い出す
まず、どんな個人情報を、どこに、何のために持っているかを一覧にします。
システムだけでなく、メールの添付ファイル、共有フォルダ、担当者のパソコン、紙の書類のスキャンデータも対象です。意外な場所に、本人確認書類が眠っていることがあります。
ステップ2：データごとに「利用目的」と「保持期間」を決める
洗い出したデータごとに、「何のために使うのか」と「いつまで持つのか」を決めます。
保持期間が決められないデータは、そもそも持つ理由が曖昧なデータです。法令で保存期間が定められているもの（会計書類など）は、それに従ってください。
ステップ3：本人確認書類は「確認したら消す」を基本にする
免許証などの画像は、確認が済んだら削除し、必要な項目（確認日、確認方法、確認者など）だけを記録に残す運用を検討します。
業種によっては、法令上の確認記録の保存義務があります。その場合も、「画像そのものを持つ必要があるのか」「記録だけで足りるのか」を、専門家や所管官庁の情報で確認してください。
ステップ4：退会者・未完了者のデータを定期的に棚卸しする
退会後、あるいは手続きが途中で止まってから一定期間が過ぎたデータは、削除または匿名化します。半年に一度でもかまいませんので、棚卸しの日をカレンダーに入れておくことをお勧めします。
ステップ5：どうしても残すデータは「分離」して「守る」
業務上、どうしても残す必要があるデータは、通常の業務データとは分けて保管します。
暗号化、アクセスできる人の限定、アクセス記録の取得といった、従来の「守る」対策は、ここで初めて効いてきます。持たないデータを増やし、残すデータを絞り込んだうえで、守るという順番が大切です。
今日から使える「持たない」データ管理チェックリスト
自社の現状を、次の項目で確認してみてください。
① 把握
- [ ] 個人情報を保管している場所を、一覧で説明できる
- [ ] メール・共有フォルダ・個人PC内の書類も把握している
② ルール
- [ ] データの種類ごとに、保持期間を決めている
- [ ] 保持期間を過ぎたデータを、誰がいつ消すか決まっている
③ 本人確認書類
- [ ] 確認後の画像を残す必要があるか、見直したことがある
- [ ] 残す場合は、通常データと分けて保管している
④ 退会者・未完了者
- [ ] 退会後、手続き中断後の削除ルールがある
- [ ] 半年〜1年に一度、棚卸しを実施している
⑤ 委託先
- [ ] 業務を委託している先に、同様の削除ルールを求めている
1つでもチェックが付かない項目があれば、そこが「持ちすぎ」の入口かもしれません。
私見：自分が利用者の立場になって見えたこと
私自身、損害保険会社のシステム部門で、個人情報を大量に扱うシステムの企画や統合に長く携わってきました。その経験から感じるのは、データの削除は**「やるのが難しい」のではなく、「誰の仕事でもない」から進まない**ということです。
保管するときには「いつか使うかも」という声が上がります。しかし、削除するときには、「消して問題ないか」を誰も保証できません。結果として、消さないという判断が、最も安全に見えてしまうのです。
ところが、漏えいが起きる側に立つと、事情は逆になります。利用者としては、「なぜ画像まで残していたのか」「なぜ退会した後のデータまで持っていたのか」という疑問が、真っ先に浮かびます。
「消さない」ほうが安全に見えるのは、会社の内側から見たときだけです。データを預けた側から見れば、不要なデータを持ち続けることこそが、最大のリスクです。
セキュリティの専門的な対策は、専門会社に任せるのが現実的です。しかし、「何を持つか、何を持たないか」という判断は、自社にしかできません。ここは、経営と情報システム部門が自ら決めるべき領域だと考えています。
まとめ
- 漏えい時の被害の大きさは、守りの強さだけでなく、保有しているデータの量と種類で決まる
- 本人確認書類、退会者データ、手続き途中のデータは、「持ち続けるリスク」が特に大きい
- 「洗い出し → 保持期間 → 確認後に消す → 棚卸し → 残すものを分離して守る」の順で進める
- 「守る」より先に「持たない」。これは、費用をかけずに始められる対策である
まずは、自社の共有フォルダに、免許証やマイナンバーカードの画像が残っていないか、確認することから始めてみてはいかがでしょうか。
出典
- タイムズカー「不正アクセスに関する調査結果および今後の対応について（第2報）」2026年9月28日 https://share.timescar.jp/news/2026/0928/1815.html
- ITmedia NEWS 2026年9月28日 https://www.itmedia.co.jp/news/article/2609/28/2000001808/
- 個人情報の保護に関する法律 第22条（データ内容の正確性の確保等） https://laws.e-gov.go.jp/law/415AC0000000057
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（データ内容の正確性の確保等〔法第22条関係〕） https://www.ppc.go.jp/files/pdf/temp260614_guidelines01.pdf
※本稿は、公表されている情報にもとづく一般的な解説です。個別の法令対応は、専門家にご相談ください。
関連記事（内部リンク候補）
- 「委託したら終わり」は通用しない——個人情報保護法が問う、委託元の監督責任（2026年6月12日）
- AIは「ゴミ」も高速で量産する──生成AI時代のGIGOと、入力の質を上げる12のチェックリスト（2026年9月18日）
コメント