個人情報保護委員会は、四半期ごとに、指導や勧告などの権限をどれだけ使ったかを公表しています。令和8年4月から6月の分では、個人情報保護法に基づく指導・助言が計141件ありました。このページは、その件数の内訳と、資料に載っている事案の型（何が原因で、何を指導されたか）を、資料の記載に沿って並べたものです。
1. 件数の内訳
| 項目 | 資料の記載 |
|---|---|
| 公表事案（個別に公表された事案） | なし |
| 指導・助言（第147条又は第157条）の計 | 141件 |
| うち民間事業者 | 98件 |
| うち行政機関等 | 43件 |
| 漏えい等報告の提出の遅延に関する指導 | 45件（民間事業者の事案対応とは別に行った） |
資料は、計数は公表時点のもので、年次報告の段階で改訂される可能性があると注記しています。令和8年8月19日に公表されたメールシステムの漏えい事案への指導は、この四半期（4月から6月）の資料とは別の公表です。
2. 民間事業者98件の指導内容
資料は、不正アクセスを原因とする漏えい等の事案を中心に、安全管理措置の不備について指導したと書いています。指導の内容を件数で挙げた部分は次のとおりです。
| 指導の内容 | 件数 |
|---|---|
| 外部からの不正アクセス等の防止の不備 | 21件（最多） |
| アクセス者の識別と認証の不備 | 14件 |
| 委託先に対する監督の不備 | 12件 |
| 情報システムの使用に伴う漏えい等の防止の不備 | 3件 |
攻撃の種類としては、ブルートフォース攻撃（考えられるすべてのパスワードで総当たりにログインを試す攻撃）とSQLインジェクション攻撃（データベースへの命令文の扱いの弱点を突く攻撃）などがあり、ランサムウェア攻撃（データを暗号化して身代金を要求する攻撃）は15件と書かれています。不正アクセス以外には、個人情報の取得が適正でなかった事案（法第20条第1項）や、複数の漏えい等の事態について漏えい等報告をしていなかった事案もあったとされています。
3. 資料が挙げる不正アクセスの原因
資料は、安全管理措置に不備があったケースで多かった原因として、次の3つを挙げています。
- 脆弱性の放置: VPN機器やECサイトを作るためのアプリケーション等の脆弱性が公開され、対応方法も出ていたのに、事業者が放置していた。
- 推測されやすいID・パスワード: ID・パスワードが容易に推測できるものになっていた。
- 設定ミス: データベースへの適切なアクセス制御をしていなかった。
4. 資料に載る事案の型
資料には、事案ごとに「事案の概要」と「指導事項」を並べた表があります。そこから、型の分かりやすいものを抜き出しました。個々の事業者名は資料にありません。
| 事案の型 | 資料が挙げる原因 | 指導事項（資料の区分） |
|---|---|---|
| VPN経由でサーバに侵入され、ランサムウェアに感染 | VPN機器の脆弱性が公表されていたのに放置していた。アカウントのパスワードが脆弱な設定だった事案もある | 技術的安全管理措置（外部からの不正アクセス等の防止、アクセス者の識別と認証） |
| クラウドの通販システムへのSQLインジェクション | 長年、脆弱性が放置されていた。利用する加盟店側の事業者は、契約を結ばず委託先の取扱状況も把握していなかった | 提供側は技術的安全管理措置、委託元は委託先の監督の不十分 |
| ECサイトの管理ツールからの侵入 | 管理者画面に適切なアクセス制御がなく、第三者がファイルアップロード機能を使える状態だった | 技術的安全管理措置（外部からの不正アクセス等の防止） |
| 委託先との責任分担が曖昧 | 脆弱性対応の責任の所在を委託先と曖昧にしていたため、ソフトウェアの脆弱性の対応が行われていなかった | 技術的安全管理措置（外部からの不正アクセス等の防止） |
| ログインの試行回数に制限がない | SIM付きパソコン端末へのブルートフォース攻撃に対し、認証ログインの試行回数制限が設定されていなかった | 技術的安全管理措置（アクセス者の識別と認証） |
| 残されたテスト用アカウント | 侵入に使われたVPNのアカウントは残置されたテスト用のもので、認証情報が脆弱な設定だった | 技術的安全管理措置（アクセス者の識別と認証）。委託元は委託先の監督の不十分 |
| 担当者が個人のクラウドに保管 | 個人データの取扱いの規律が整備されておらず、保管場所のルールがなかった | 個人データの取扱いに係る規律の整備 |
委託先の監督を指摘された事案には、共通して「契約を締結しておらず、委託先における個人データの取扱状況の把握に問題がある」という記載があります。契約で定める事項の考え方は委託先契約で定める事項の3論点にまとめています。
5. 行政機関等43件の指導の型
行政機関等の指導にも、事案の概要と指導事項の表があります。民間事業者との違いが分かる型は次のとおりです。
| 事案の型 | 資料が挙げる原因 | 指導事項（資料の区分） |
|---|---|---|
| 書類の誤廃棄・所在不明（職業安定所、警察署、地方公共団体、公立小学校の事案など） | 保存年限や保存期間の表示が実際と合っていない、背表紙を更新していない、一人で照合や箱詰めをした、など | 媒体の管理等 |
| 大容量ファイル転送システムへの攻撃 | インターネットから使える保守用アカウントの認証情報の強度や管理が不十分だった | アクセス制御 |
| 元職員による持ち出し | データベースファイルへのアクセス状況に関する監査・点検が実施されていなかった | 監査及び点検の実施 |
| 情報公開で開示する文書のマスキング不備 | マスキング処理の確認が不十分で、パソコン上の操作で隠した部分が読める状態だった | 誤送付等の防止 |
6. 自社の点検に置き換えるときの観点
次は、資料の型を点検の切り口に置き換えたものです。自社に当てはまるかは事案ごとに違い、これで足りると示すものではありません。
- 機器やソフトの更新: VPN機器やECサイトの部品の脆弱性情報を誰が見て、いつ対応するか決まっているか。
- 認証: 使っていないテスト用アカウントの削除、ログイン試行回数の制限、推測されにくいパスワードの設定ができているか。
- 委託先: 契約を結び、取扱状況を把握しているか。脆弱性対応の責任分担が書かれているか。
事案の型ごとの確認点
4.の表の型ごとに、資料の指導事項から読み取れる確認点を並べました。「点検の問い」は当サイトが置き換えたもので、資料にある文言ではありません。
| 事案の型 | 資料の指導事項 | 自社の点検の問い | あわせて読む |
|---|---|---|---|
| VPN機器・ECサイトの部品の脆弱性の放置 | 外部からの不正アクセス等の防止（民間の指導で21件、最多） | 公開された脆弱性の情報を誰が見て、いつまでに対応するか決まっているか。保守を任せている機器は誰が対応するか | フォレンジック調査の着眼点 |
| 推測されやすいID・パスワード、残置されたテスト用アカウント、試行回数の無制限 | アクセス者の識別と認証（14件） | 使っていないアカウントを棚卸ししているか。ログインの試行回数に制限があるか。管理者のパスワードの強さを確認しているか | メール漏えいの指導事例（認証情報の漏えい） |
| 委託先・加盟店側の把握不足、責任分担の曖昧さ | 委託先に対する監督の不備（12件）。契約の未締結、取扱状況の把握の問題 | 契約はあるか。脆弱性対応の責任が委託先と自社のどちらにあるか文書で分かるか | 委託先契約で定める事項 |
| 複数の漏えい等事態の報告漏れ、報告の遅れ | 漏えい等報告の提出の遅延に関する指導（45件。民間の事案対応とは別枠） | 報告対象かどうかを判断する担当と、期限を管理する手順があるか | 漏えい等報告の件数と内訳、漏えい等報告・本人通知 |
| 担当者の個人のクラウドへの保管 | 個人データの取扱いに係る規律の整備 | 個人データの保管場所のルールがあり、従業者に周知されているか | 社内研修 |
上の表は、資料の件数と事案の型を点検の切り口に並べたものです。件数の大小は、指導を受けやすさや自社の危険度を示すものではありません。
安全管理措置の手法の見直し案は安全管理措置ガイドラインの見直し案、不正アクセスが起きたときの調査はフォレンジック調査の着眼点で扱っています。
よくある質問
令和8年度第1四半期の指導・助言は、何件ありましたか。
令和8年4月から6月の分で、指導・助言は計141件です。内訳は民間事業者98件、行政機関等43件で、個別に公表された事案はありませんでした。資料は、計数は公表時点のもので、年次報告の段階で改訂される可能性があると注記しています。
民間事業者への指導で、最も多かった内容は何ですか。
外部からの不正アクセス等の防止の不備が21件で最多です。続いて、アクセス者の識別と認証の不備が14件、委託先に対する監督の不備が12件です。
指導を受けた事業者の名前は載っていますか。
資料に個々の事業者名はありません。このページでは、事案の概要と指導事項を、事案の型として整理しています。
出典
- S-58個人情報保護委員会「令和８年度第１四半期における監視・監督権限の行使状況の概要」（令和8年9月2日・PDF）（確認日 2026-10-07）