ソニー生命の情報漏えいに学ぶ｜社長が確認する10の実践対策

社長、自社の顧客情報にアクセスできる人が何人いるか、すぐに答えられますか。退職した従業員のアカウントが残っていないか、外部のシステム会社がどこまで情報を閲覧できるか、事故が起きた際に誰へ連絡するか。こうした日常の管理が、情報漏えいリスクを減らすための重要な出発点です。

2026年10月、ソニー生命のシステムへの不正アクセスに伴い、同社が保険代理店として取り扱ったメディケア生命の顧客情報約38万5,000件の漏えいが公表されました。今回の事例は、顧客情報を扱う企業にとって、アクセス権限や外部委託先との連携を考えるきっかけになります。

ただし、この記事で紹介する対策は、今回の事故原因が特定の設定不備や管理不足だったと断定するものではありません。公表された事実と一般的な予防策を区別し、中小企業の社長が確認したい10項目を整理します。

1．ソニー生命の事例から考える情報管理

2026年10月、ソニー生命が保険代理店として取り扱っていたメディケア生命の顧客情報について、約38万5,000件の漏えいが公表されました。氏名や住所、電話番号のほか、保険証券番号や契約内容などが対象に含まれています。

この事例から中小企業が考えたいのは、自社だけでなく、取引先や委託先を含めて顧客情報がどのように管理されているかという問題です。顧客情報を扱うシステムは、営業、経理、顧客対応、外部サービスなど複数の業務と関係している場合があります。

なお、今回の事故について、特定のアクセス権限の不備や委託先管理の不足が原因だったと確認できたわけではありません。以下の10項目は、個人情報保護委員会などの公式資料を基に整理した一般的な予防策です。

2．確認① 顧客情報の保管場所を把握する

最初に確認したいのは、会社の顧客情報がどこに保管されているかということです。顧客管理システムだけでなく、共有フォルダ、表計算ファイル、メールの添付資料、紙の書類などにも情報が存在する場合があります。

保管場所が分からなければ、適切なアクセス権限を設定することも、事故発生時に影響範囲を確認することも難しくなります。まずは重要な顧客情報を扱うシステムと保存場所を一覧にしましょう。

社長が確認したいこと

• 顧客情報を保管している主なシステムは何か
• 共有フォルダや個人端末に複製が残っていないか
• 紙の顧客名簿や契約書類はどこで管理しているか

3．確認② アクセス権限を必要最小限にする

顧客情報を扱う従業員すべてに、同じ閲覧・編集・出力権限が必要とは限りません。業務に必要な人だけが必要な情報を利用できるようにする考え方を、最小権限の原則と呼びます。

例えば、顧客への連絡を担当する人には必要な連絡先を確認できる権限を付与し、管理者だけが全件のデータを出力できるようにする方法が考えられます。具体的な設定は、業務内容とシステムの機能に応じて判断します。

個人情報保護委員会の公式Q&Aでも、アクセス権限の最小化や、権限管理の定期的な実施が具体例として示されています。

4．確認③ 多要素認証を設定する

パスワードだけで顧客情報へアクセスできる場合、認証情報が盗まれると第三者に悪用される可能性があります。多要素認証は、パスワードに加えて認証アプリなど別の要素を使い、本人確認を強化する仕組みです。

特に、クラウドサービス、管理者アカウント、外部から接続できるシステムでは、多要素認証の導入を優先的に検討しましょう。ただし、多要素認証だけで不正アクセスを完全に防げるわけではありません。

設定済みであっても、例外的に多要素認証を使わずログインできるアカウントが残っていないか、定期的に確認することが重要です。

5．確認④ 退職者と異動者の権限を見直す

従業員が退職した後もアカウントが有効なまま残っていると、不要なアクセス経路になります。また、部署を異動した従業員に、以前の業務で使っていた権限が残る場合もあります。

退職や異動の際は、対象となるシステムを確認し、不要になった権限を速やかに停止・変更する手順を決めておきましょう。人事担当者とシステム管理者が連携できる体制が重要です。

定期的な棚卸しでは、長期間利用されていないアカウントや、担当者が不明な共有アカウントも確認します。

6．確認⑤ 委託先の安全管理を点検する

中小企業でも、顧客管理システムの運用、給与計算、発送業務、ウェブサイトの保守などを外部企業へ委託することがあります。委託業務の内容によっては、外部企業が顧客情報を取り扱う場合があります。

個人情報保護法では、個人データの取扱いを委託する場合、委託元に必要かつ適切な委託先の監督が求められます。個人情報保護委員会のガイドラインでは、適切な委託先の選定、委託契約、取扱状況の把握が示されています。

委託先の社名を把握するだけでなく、どの情報を預けているか、どのような安全管理を行っているか、事故時にどこへ連絡するかを確認しましょう。

公式資料：個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

7．確認⑥ 再委託先と外部接続を把握する

委託先が別の会社へ業務を再委託している場合、顧客情報を扱う企業が増える可能性があります。また、保守会社が遠隔操作でシステムに接続できる場合、外部接続の管理も重要です。

再委託の有無、再委託する業務の範囲、顧客情報の取扱方法などを確認しましょう。外部接続については、誰が、いつ、どのシステムへアクセスできるのかを把握することが基本です。

不要な接続や使われていないアカウントがあれば、委託先と相談して停止・削除を検討します。

8．確認⑦ バックアップと復元を確認する

顧客情報が不正に暗号化されたり、システムが停止したりした場合に備え、重要なデータのバックアップを用意しておくことが大切です。ただし、バックアップを保存しているだけでは十分とはいえません。

復元できるか、どの時点のデータへ戻せるか、復元までにどれくらいの時間がかかるかを確認する必要があります。攻撃によってバックアップまで影響を受けないよう、オフライン保管や適切に分離された保存先も検討しましょう。

バックアップは主にデータの消失や業務停止への備えであり、情報の外部流出そのものを防ぐ対策ではありません。アクセス制御などと組み合わせることが重要です。

9．確認⑧ 従業員教育と更新管理を続ける

不審なメールを開かない、知らない相手へ顧客情報を送らない、パスワードを使い回さない。こうした基本的な行動を従業員が理解していることは、情報漏えいリスクを減らすために役立ちます。

一度研修を実施して終わりにするのではなく、新入社員への説明や定期的な注意喚起を継続しましょう。また、パソコンや業務システムの更新を放置すると、既知の脆弱性が残る可能性があります。

更新作業の担当者を決め、重要なセキュリティ更新が適用されているか確認することも必要です。

10．確認⑨ 事故時の連絡体制を決める

どれだけ対策を講じても、情報漏えいの可能性を完全にゼロにすることはできません。そのため、異常を発見した従業員が誰へ連絡するか、責任者が誰へ相談するかを決めておく必要があります。

社内の責任者、システム会社、委託先、法律の専門家など、必要な連絡先を整理しましょう。個人データの漏えい等が一定の要件に該当する場合には、行政への報告と本人への通知が必要になります。

連絡体制を整える際は、通常のシステムが停止しても連絡先を確認できるようにしておくことが重要です。

11．確認⑩ 定期点検と改善を継続する

顧客情報を扱う業務は、従業員の増減、新しいクラウドサービスの導入、委託先の変更などによって変化します。対策を一度整えても、時間が経てば実態と合わなくなる可能性があります。

そこで、定期的にアクセス権限、委託先、バックアップ、事故時の連絡体制を確認しましょう。重要なのは、チェックリストに印を付けることではなく、見つかった課題を改善することです。

例えば、権限の棚卸しを担当者へ依頼し、次回の確認日を決めるだけでも、継続的な管理につながります。

12．社長向け10項目チェックリスト

ここまでの対策を、経営者が確認しやすい形にまとめました。まずは「できている」「確認が必要」「未対応」の三つに分けて点検してください。

13．まとめ｜今日できる一つの行動

ソニー生命が代理店として取り扱ったメディケア生命の顧客情報漏えい事例は、企業が保有する情報だけでなく、外部の企業が扱う情報にも目を向けるきっかけになります。

情報漏えいを防ぐためには、顧客情報の保管場所を把握し、アクセス権限を必要最小限にして、委託先の管理状況を確認することが重要です。多要素認証、バックアップ、従業員教育、事故時の連絡体制なども組み合わせ、継続的に見直しましょう。

公式一次情報

• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）
• 個人情報保護委員会｜ガイドラインに関するQ&A
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料
• IPA｜中小企業のためのセキュリティインシデント対応の手引き
• ソニー生命｜不正アクセスと情報漏えいに関する公式発表

※本記事は2026年10月30日時点で確認できる公表情報と公式ガイドラインを基に作成しています。今回の不正アクセスの具体的な原因を推測したものではありません。また、10項目の実施によって情報漏えいを完全に防げることを保証するものではありません。