令和8年改正法とは別に、個人情報保護委員会は、事業者が守る安全管理措置のガイドラインを見直す検討を始めています。何が課題とされ、どんな例が足される方向で、いつ決まる予定かを、決まっていないことと分けて書きます。
1. 見直しの対象になっているもの
個人情報取扱事業者は、個人データの漏えいを防ぐために、組織や技術の面で必要な安全管理措置を講じなければなりません。その具体的な中身を示しているのが、委員会の「ガイドライン（通則編）」の別添「講ずべき安全管理措置の内容」です。
この別添は、「講じなければならない措置」と、それを実践するための「手法の例示」の2層でできています。委員会資料は、従わなかった場合に法違反と判断される可能性があるのは前者の「講じなければならない措置」で、後者は実践のための例だと説明しています。
今回の検討は、この別添が平成28年11月の策定当時から大きくは変わっていないことを出発点にしています。
2. 資料が挙げる4つの課題と、追加する方向の例
委員会は、不正アクセスによる漏えいが増えていることを背景に、関係省庁・機関との連絡会（令和6年12月から四半期ごとに7回開催）の知見を踏まえて見直しを考えている、と資料に書いています。資料に出てくる課題と、対応の方向（案）は次のとおりです。
| 課題 | 対応の方向（案） |
|---|---|
| クラウドサービスの普及や機器の高機能化で、個人データの取扱いが多様になっている | クラウドを使う事業者と、提供する事業者の両方について、講じなければならない技術的な措置の手法の例を明確にする。生体認証や、複数の認証方法を組み合わせる多要素認証の手法の例も明確にする |
| 現行の技術的安全管理措置は、社内と社外の境目を守る考え方（境界型）を念頭に置いている | 組織の内外を問わずアクセス要求のたびにリスクを評価して可否を決める、ゼロトラストという考え方を取り入れた手法の例を示す |
| ランサムウェア（データを暗号化して金銭を要求する不正プログラム）など、ネットワークの奥深くまで侵入される事案が増えている | 侵入された後の被害拡大（横展開）を防ぐ措置の例を示す。資料は、特権アカウントの利用を最小限にすること、侵害されたおそれのあるシステムの停止・隔離やアカウントの無効化を例に挙げている |
| 「講じなければならない措置」と「手法の例示」の対応関係が分かりにくい | 重複している手法の例示を整理し直す。責任部署の設置、規律の周知、従業者教育など、例示として示せていないものの追記も検討する。ガイドラインのQ&Aにある手法の例は、別添に一本化する |
4つの課題ごとの、現行の記載と点検の問い
現行の記載は、通則編別添「10-6 技術的安全管理措置」などの確定している文言です。右の2列のうち「追加される方向」は案、「点検の問い」は当サイトが置き換えたもので、ガイドラインの文言ではありません。
| 課題 | 現行ガイドラインの記載（確定） | 追加される方向の例（案） | 自社の点検の問い |
|---|---|---|---|
| クラウド・多様な機器 | 識別・認証の手法の例として「ユーザーID、パスワード、磁気・ICカード等」を挙げている。中小規模事業者向けの例は、機器標準のユーザー制御機能による識別・認証 | クラウドの利用側と提供側それぞれの技術的な措置の例。生体認証・多要素認証の例 | クラウド上の個人データへのログインは、ID・パスワードだけか。自社と提供事業者の管理の分担を書き出せるか |
| 境界型からゼロトラストへ | 外部からの不正アクセス等の防止の例は、外部ネットワークとの接続箇所のファイアウォール等による遮断、セキュリティ対策ソフトの導入、自動更新の活用 | 社内・社外を問わず、アクセス要求のたびに状況を評価して可否を決める手法の例 | 社内ネットワークからのアクセスを無条件に信頼していないか。リモートや委託先からのアクセスの条件は決まっているか |
| 侵入後の被害拡大（横展開） | 「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなければならない」（措置の文言） | 特権アカウントの利用の最小化。侵害されたおそれのあるシステムの停止・隔離、アカウントの無効化 | 管理者権限のアカウントは何個あり、誰が使うか。侵入が疑われたとき、誰が機器を隔離するか決まっているか |
| 措置と例示の対応関係 | 別添は「講じなければならない措置」と「手法の例示」「中小規模事業者における手法の例示」の表で構成されている | 重複する例示の整理、責任部署の設置・規律の周知・従業者教育などの追記の検討。Q&Aの手法の例は別添に一本化 | 社内規程の措置と、実際の運用が項目ごとに対応しているか。責任部署と従業者教育の記録はあるか |
案の文言は見直し案の公表で変わりえます。点検の問いは、案が出る前に自社の現状を整理するためのもので、これを満たせば足りるという趣旨ではありません。
3. 予定日程（案）
| 時期 | 内容 |
|---|---|
| 令和8年9月頃 | 手法の例示の追加等の方向性を公表（今回の資料） |
| 令和8年11月頃 | 見直し案を委員会で審議 |
| 令和8年12月頃 | パブリックコメント（意見募集）の開始 |
| 令和9年2月頃 | 意見募集の結果を委員会に報告し、改正事項を決定 |
| 令和9年4月 | 改正事項の施行 |
資料は、施行後も、情報通信技術の進展を踏まえて手法の例示を引き続き検討するとしています。これらは日程の案であり、決定された日付ではありません。
4. 令和8年改正法との関係
今回の見直しは、令和8年の法改正（令和8年法律第56号）に基づくものとは書かれていません。資料の背景は、サイバー攻撃の高度化と、委員会の行政上の対応の積み重ねです。ただし、安全管理措置は委託先の監督や漏えい等の報告・通知と並んで事業者の準備の前提になるため、改正対応の期限の暦とは別の日程として、同じ時期に動くものとして押さえておく必要があります。
5. 自社で今から確認しておくこと
個別の判断はできませんが、ガイドラインの文言が決まる前でも、次の順で現状を整理しておくと、案が出たときに差分を見つけやすくなります。
- 個人データを置いている場所（社内のサーバ、クラウドサービス、委託先）を一覧にする。クラウドを使っている場合は、自社と提供事業者のどちらが何を管理するかを分けて書く。
- 個人データを扱うシステムへのログインが、ID・パスワードだけか、多要素認証かを確認する。
- 不正アクセスを受けた場合に、被害の拡大を止める手順（誰が、どの機器を隔離するか）が決まっているかを確認する。具体的な初動の注意点は不正アクセス発生時のフォレンジック調査の着眼点で整理しています。
- 漏えいが起きたときの報告・本人通知の流れと、令和8年改正での見直しは漏えい等報告・本人通知の緩和で確認する。
よくある質問
安全管理措置ガイドラインの見直しは、いつ施行されますか
委員会資料の日程（案）では、令和8年11月頃に見直し案を審議、12月頃に意見募集を開始、令和9年2月頃に改正事項を決定し、令和9年4月に施行となっています。いずれも案であり、決定した日付ではありません。見直し案はまだ公表されていません。
見直しで、守らなければならない措置が増えるのですか
資料が挙げているのは、「手法の例示」を追加・整理する方向です。委員会資料は、従わなかった場合に法違反と判断される可能性があるのは「講じなければならない措置」で、「手法の例示」は実践のための例だと説明しています。追加される例の具体的な文言は、見直し案の公表まで未確定です。
ゼロトラストや多要素認証を、今すぐ導入する必要がありますか
資料は、ゼロトラストの考え方を取り入れた手法の例や、生体認証・多要素認証の手法の例を明確にすることを検討する、としています。導入を義務づけるとは書かれていません。自社の措置が十分かの判断は、顧問弁護士・情報セキュリティの専門家または個人情報保護委員会にご確認ください。まず現状の整理は、上の「自社で今から確認しておくこと」から始められます。
令和8年の個人情報保護法改正と関係はありますか
資料の背景は、サイバー攻撃の高度化と委員会の行政上の対応の積み重ねで、令和8年の法改正に基づくものとは書かれていません。改正対応の日程とは別に動くため、改正対応の期限の暦と並べて確認してください。漏えい等が起きたときの流れは漏えい等報告・本人通知の緩和にあります。
出典
- S-53個人情報保護委員会 第369回（令和8年9月16日）資料2「個人情報の保護に関する法律についてのガイドライン（通則編）等における安全管理措置の手法の例示の追加等の検討について」（PDF）（確認日 2026-10-06）
- S-53個人情報保護委員会「第369回 個人情報保護委員会」（確認日 2026-10-06）
- S-130個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添 10-6 技術的安全管理措置（PDF）（確認日 2026-10-19）