株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
情報漏洩とは？
情報漏洩とは、企業や組織が管理する機密情報・個人情報が、権限のない第三者に流出してしまう事態を指します。顧客の個人情報、営業秘密、技術情報などが外部に漏れることで、法的責任、信頼の失墜、金銭的損害など深刻な影響を及ぼします。
事故件数・公表社数・漏えい人数は区別して読みます。東京商工リサーチの2025年調査では、上場企業とその子会社が公表した事故件数は前年より減り、公表社数と漏えい人数は増加しています。全企業の発生件数や生成AIの因果効果を示す集計ではありません。上場企業の個人情報漏洩・紛失事故では、「ウイルス感染・不正アクセス」が約6割という説明は、調査年・公表事故を分母とする範囲を示す必要があります。確認できた東京商工リサーチの2025年集計（2026年1月30日公表）は、上場企業・子会社の自主開示180件中116件、64.4%で、漏えいの可能性や不適切な取扱いも含みます。全企業・全機密情報の事故割合ではなく、下表の3分類への置換もできません（フセラボ）。
情報漏洩の主な原因
| 原因分類 | 具体例 | 割合の傾向 |
|---|---|---|
| 外部攻撃 | ランサムウェア、フィッシング、不正アクセス | 元目安：約60%（対象・時点・分類の原典未確認） |
| 人為ミス | メール誤送信、設定不備、USBの紛失 | 元目安：約20〜30%（対象・時点・分類の原典未確認） |
| 内部不正 | 元従業員による情報持ち出し、不正アクセス | 元目安：約10%（対象・時点・分類の原典未確認） |
1. 外部からのサイバー攻撃
ランサムウェア攻撃、フィッシングメール、脆弱性を突いた不正アクセスが主要な手口です。上表の率は未確認の目安で、東京商工リサーチの「誤表示・誤送信」「紛失・誤廃棄」「不正持ち出し・盗難」とも分類が異なります。原因の重なりや分類方法を確認して使います。2026年はAIを悪用した巧妙なフィッシングメールの増加も報告されています。
2. 人為的ミス（ヒューマンエラー）
メールの宛先間違い、クラウドサービスの公開設定の不備、暗号化なしでの機密データの送信など、従業員のうっかりミスが原因となるケースです。特にクラウドサービスの設定不備による大規模漏洩が増加しています（サクサ）。
3. 内部不正
退職者による営業秘密の持ち出し、権限を悪用したデータの不正取得などです。不正競争防止法の改正により罰則が強化されていますが、技術的な対策も不可欠です。
情報漏洩の5つの対策
1. 多層防御の構築
ファイアウォール、WAF（Web Application Firewall）、EDR（Endpoint Detection and Response）、IDS/IPS（侵入検知・防止システム）を組み合わせた多層防御が基本です。単一の対策ではなく、複数のセキュリティレイヤーで守る考え方が重要です。
2. アクセス制御の徹底
「最小権限の原則」に基づき、各従業員がアクセスできる情報を必要最小限に制限します。特権アカウントの管理、多要素認証（MFA）の導入、アクセスログの監視が有効です。
3. 従業員教育
フィッシングメールの見分け方、パスワード管理のルール、社外への情報持ち出しルールなど、定期的なセキュリティ研修を実施します。人為ミスによる漏洩を防ぐ最も効果的な対策です。
4. データ暗号化
保存データ（At Rest）と通信データ（In Transit）の両方を暗号化します。万が一データが流出しても、暗号化されていれば悪用のリスクを低減できるとされていますが、鍵や認証情報の管理も重要です。
5. インシデント対応計画の策定
漏洩が発生した場合の対応手順（真因分析、影響範囲の特定、関係者への通知、再発防止策）を事前に策定し、定期的に訓練します。元の「発生後72時間以内の対応が被害の大小を分ける」という説明は、対象事案・比較条件の原典が未確認です。初動は発覚直後から必要な措置を講じます。72時間を一律の初動猶予や日本の法定報告・本人通知期限にはしません（個人情報保護委員会の対応指針）（NTTPC）。
情報漏洩発生時の対応手順
ステップ1：検知と初動対応
漏洩を検知したら、まず影響範囲の拡大を防ぎます。該当システムの隔離、アカウントの停止、ネットワークの遮断など、被害の拡散を防止する措置を最優先で実施します。
ステップ2：事実確認と影響評価
何が・いつ・どのように漏洩したかを調査します。漏洩した情報の種類（個人情報、営業秘密等）、件数、影響を受ける人数を特定します。
ステップ3：関係者への通知
民間事業者については、要配慮個人情報、財産的被害のおそれ、不正目的の行為のおそれ、1,000人を超える本人など、報告対象の個人データの漏えい等又はそのおそれを確認します。対象事態を知ったとき、速報は速やかに（目安は概ね3〜5日以内）、確報は知った日から30日以内、不正目的の行為のおそれがある事態は60日以内です。本人への通知は事態の状況に応じて速やかに行い、報告の期限と同一にしません。委託先から委託元への通知による例外など、役割と適用条件も確認します（現行報告案内、通則編3-5）。報告・本人通知義務化は2022年4月1日からの制度です。2026年7月10日成立・7月17日公布の改正法は、一部を除き公布から2年以内の政令日施行と案内されており、公布だけで全変更が施行済みとは扱いません（義務化の案内、2026年改正の公布資料）。
ステップ4：真因分析と再発防止
根本原因を特定し、技術的対策と組織的対策の両面から再発防止策を策定・実行します。外部のセキュリティ専門家によるフォレンジック調査が必要な場合もあります（SKYSEA）。
生成AI時代の新たなリスク
AIへの機密情報入力
従業員がChatGPT等の生成AIに顧客情報や営業秘密を入力してしまうリスクが新たな課題として浮上しています。AIサービスの利用ガイドラインの策定と、DLP（Data Loss Prevention）ツールの導入が対策として有効です。
AIを悪用した攻撃の高度化
AIで生成された精巧なフィッシングメールや、ディープフェイクを用いたなりすまし攻撃が増加しています。従来のセキュリティ訓練に加え、AI生成コンテンツの見分け方も教育する必要があります。
よくある質問（FAQ）
Q. 情報漏洩が発生した場合の損害賠償額はどのくらいですか？
損害賠償額は情報の性質、侵害の態様、実害や対応など、個別事情によって判断されます（裁判所公開判決の例）。元の「総額で数億円〜数十億円」という記載は、該当事案・判決・対象人数と費目の原典が未確認です。判決等による賠償額と、調査・復旧・顧客対応などの事故対応費用、売上減少や信用への影響を分けます。これらをまとめた損害額を賠償額と読み替えたり、個別判例の単価を全漏えい件数へ一律に掛けたりはできません。
Q. 中小企業でも情報漏洩対策は必要ですか？
はい。むしろ中小企業はセキュリティ投資が限られるため、攻撃者のターゲットになりやすい傾向があります。まずは基本的な対策（多要素認証、セキュリティアップデートの適用、従業員教育）から始めることが重要です。
Q. テレワーク環境での情報漏洩対策は？
VPNの利用、端末の暗号化、MDM（モバイルデバイス管理）の導入、クラウドサービスのアクセス制御が基本です。自宅のWi-Fiセキュリティや、カフェ等での覗き見対策も重要です（NTTドコモビジネス）。
まとめ
情報漏洩は、外部攻撃・人為ミス・内部不正の3つが主要な原因です。多層防御、アクセス制御、従業員教育、データ暗号化、インシデント対応計画の5つの対策を組み合わせて防止します。2026年は生成AIに関連する新たなリスクにも注意が必要です。
renueでは、AIを活用したセキュリティ対策の設計やインシデント対応体制の構築を支援しています。情報セキュリティ対策のご相談はお問い合わせください。
参考情報
- 個人情報漏洩事件・被害事例まとめ - フセラボ
- 情報漏洩とは？事例・原因・対策 - サクサ
- 個人情報漏えいの対処法・原因・防止策 - NTTPC
- 情報漏洩の原因と対策 - SKYSEA
- 情報漏洩対策として必要なこと - NTTドコモビジネス