個人情報は資産から負債へ。「持たない経営」で会社を守る5つの見直し

個人情報や顧客データは、多いほど価値がある。長い間、企業はそう考えてきました。しかしAIが攻撃にも防御にも使われ、取引先や委託先まで攻撃対象になる今、保有する情報は資産であると同時に大きな負債です。守る技術を増やすだけでは、増え続けるデータ、アカウント、システム、権限を管理しきれません。必要なのは「何を守るか」の前に「本当に持つ必要があるか」を問うことです。本稿では、データ最小化を経営判断として捉え、不要な情報を減らしながら事業価値を落とさない具体策を整理します。

顧客を理解したい。転売や不正利用を防ぎたい。より良いサービスを届けたい。こうした正当な目的から、企業は氏名、住所、電話番号、メールアドレス、購買履歴、行動履歴を集めてきました。データを多く持てば顧客像が鮮明になり、マーケティングや商品開発の精度が上がる。これは今も間違いではありません。

ただし、環境が大きく変わりました。情報を集める速度よりも、攻撃手法が進化する速度の方が速くなっています。自社のシステムだけを守ればよい時代でもありません。国内外の拠点、子会社、委託先、クラウドサービス、外部の専門家まで、データが通る経路のどこか一つが弱ければ、全体の事故につながります。

ここで経営者が持つべき視点は明確です。個人情報は資産である一方、漏えいした瞬間に顧客への補償、調査、通知、信用低下、取引停止、事業継続の危機を生む負債にもなります。価値だけを見て集め、責任を後から考える設計は、もう成り立ちません。

ウイルス対策ソフト、ファイアウォール、多要素認証、アクセスログ、暗号化。技術的な防御はもちろん必要です。しかし、防御策を積み上げるだけでは、管理対象が増える問題を解決できません。データが増えれば保存先が増え、システムが増えればアカウントが増え、委託先が増えれば確認すべき契約と権限が増えます。

防御には運用が伴います。退職者のアカウントを止める、権限を見直す、脆弱性を修正する、バックアップを確認する、委託先の対策状況を確認する。仕組みを導入しただけでは終わりません。対象が100から1,000になれば、同じ担当者、同じ確認頻度、同じ予算では守り切れなくなります。

セキュリティの成熟とは、豪華な道具をそろえることではありません。守る対象を把握し、必要性を説明でき、不要になったら確実に消せることです。足し算の対策と同じくらい、引き算の設計が重要です。

生成AIやAIエージェントは、防御側に大きな力を与えます。大量のログから異常を探し、コードの弱点を点検し、設定ミスの候補を挙げ、対応手順を整理できます。人が見落としやすい小さな変化を継続的に監視する用途にも向いています。

一方、攻撃側も同じ技術を使います。公開情報を集め、狙いやすい相手を選び、自然な文章のフィッシングメールを大量に作り、侵入の試行を自動化できます。防御側が一回点検して安心している間も、攻撃側は休まず変化します。AIを導入したから安全になるのではなく、攻撃と防御の両方が速くなるのです。

だからこそ、守る対象を減らす価値が上がります。存在しない古い顧客データは盗まれません。停止した不要アカウントは乗っ取られません。削除した不要なアクセス権は悪用されません。これは派手ではありませんが、攻撃面を確実に小さくする経営判断です。

情報処理推進機構（IPA）は、不正アクセスによる漏えい等の事案を踏まえ、組織が速やかに実施すべき対策を示しています。脆弱性対応や認証強化だけでなく、資産管理、ログ、委託先を含む体制まで見直す必要があります。参考：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（IPA）

重要なのは、注意喚起を読んで「情報システム部門に転送した」で終わらせないことです。何を持ち、どこに置き、誰が使い、いつまで必要なのか。この問いは事業部門と経営が答えるものです。技術部門だけに責任を押し込めると、不要な情報を持ち続けるという根本原因が残ります。

第一に、個人情報と顧客データを見直す

まず、保有しているデータを目的ごとに並べます。法令や契約上必要なもの、サービス提供に必要なもの、分析に使うもの、念のため残しているものを分けます。「将来使うかもしれない」は、保存理由として最も危険な言葉です。利用実績、保存期限、代替手段を確認し、目的を説明できないものは削除候補にします。

データ項目単位でも考えます。本人確認に住所まで必要なのか、生年月日を年月日まで保持する必要があるのか、退会後も行動履歴を残す必要があるのか。集める前に、なくても業務が成立する設計を検討します。

第二に、アカウントを見直す

利用者がいないアカウント、退職者や異動者のアカウント、検証用の共有アカウント、長期間ログインされていない管理者アカウントを洗い出します。アカウントは一つひとつが入口です。利用者と責任者が分からない入口を残してはいけません。

作成時に承認するだけでなく、停止条件も決めます。最終利用日、所属、契約期間を使って定期的に棚卸しし、例外を放置しない運用にします。多要素認証は重要ですが、不要アカウントを残す理由にはなりません。

第三に、アクセス権を見直す

「念のため閲覧できる」「以前の担当業務だから編集できる」という権限が積み重なると、事故の影響範囲が広がります。業務に必要な最小権限へ戻し、管理者権限は用途と期限を限定します。権限の付与者、承認者、利用者を分けることも大切です。

権限棚卸しを年に一度の儀式にせず、異動、退職、プロジェクト終了、委託契約終了と連動させます。組織変更のたびに人が覚えて対応するのではなく、イベントをきっかけに確認が走る仕組みにします。

第四に、システムと保存先を見直す

同じデータがクラウド、表計算、ファイルサーバー、個人PC、メール添付に重複していないかを確認します。正式な保存先が決まっていても、現場が使いにくければコピーが増えます。禁止だけではなく、なぜ別の保存先が生まれたかを聞き、正規の業務フローを改善します。

古いシステムは、止める判断が難しいものです。しかし利用者が少ないまま保守期限を迎え、担当者も分からない状態は、見えない負債です。機能、データ、契約、連携先を整理し、統合、移行、廃止の順序を決めます。

第五に、委託先とサプライチェーンを見直す

自社が強固でも、委託先が持つデータや認証情報から侵害される可能性があります。どの会社へ何を渡し、どこへ再委託され、契約終了後にどう消去されるかを確認します。セキュリティチェックシートを回収するだけでなく、事故時の連絡時間、調査協力、ログ提供、削除証明まで合意します。

委託先を疑うという話ではありません。お互いの責任範囲を曖昧にしないための協働です。取引開始時だけでなく、サービス変更、再委託、担当変更に合わせて情報を更新します。

ここで必ず出るのが、「データを減らしたらマーケティングが弱くなる」という懸念です。確かに、必要な情報まで消せば顧客体験は下がります。目指すのはデータゼロではなく、目的に対して必要十分なデータです。

たとえば顧客を識別するために、すべての属性を自社で持つ必要はありません。外部の認証基盤、トークン化、仮名化、集計データを使うことで、個人を直接特定する情報を減らせる場合があります。分析では、目的に応じて粒度を落とし、元データへのアクセスを限定できます。

価値を測る指標も見直します。保有件数ではなく、利用されている項目の割合、期限内に削除できた割合、アクセス権の例外数、退会後データの残存日数を見る。集めた量を成果にすると、誰も削除できません。必要な価値を、より少ないリスクで生み出せたかを評価します。

FDEやDX支援者は、データを使って現場課題を解きます。顧客理解のためにデータを増やし、AIの精度を上げるために履歴を残し、業務を便利にするためにシステムをつなぐ提案もします。だからこそ、その提案が新しい負債を生まないかまで考える責任があります。

「できます」「便利になります」だけでは足りません。何を取得し、なぜ必要で、誰が見て、いつ消すのか。委託先はどこまで触れ、事故時に誰が判断するのか。実装前に運用と終了条件を設計します。機能を増やす技術力と、不要な機能を作らない判断力の両方が必要です。

外部の専門家は、最新技術や他社事例を持ち込めます。一方、最終的に責任を負うのは自社です。社内の業務担当者、情報システム部門、法務、経営が同じ地図を見て、専門家と二人三脚で決める体制が欠かせません。

最初の30日：見える化する

重要な一つの業務を選び、データ、アカウント、権限、システム、委託先を一覧にします。完璧な全社台帳を目指すと止まります。顧客情報を扱う受付、申込、決済、サポートなど、入口から出口まで追える範囲を選びます。各項目に目的、責任者、保存期限、削除方法を記載します。

次の30日：減らす

目的が不明なデータ、長期間未使用のアカウント、過大な権限、重複した保存先から着手します。削除できない場合は、その理由と見直し日を残します。いきなり大量削除をせず、バックアップ、法的保存義務、業務影響を確認して段階的に進めます。

最後の30日：増やさない仕組みにする

新しいデータ項目、アカウント、システム、委託先を追加する際に、目的、期限、責任者、終了条件を必須にします。入口で確認できれば、後から大掃除する負担が減ります。四半期ごとの棚卸しを会議に追加し、削減数だけでなく、事業価値への影響も確認します。

第一に、その情報がなくても顧客へ価値を届けられないか

便利そうだからではなく、具体的な業務と顧客価値を説明できるかを確認します。代替手段があるなら、より少ない情報で実現する案を比較します。

第二に、漏えいしたときの責任を引き受けられるか

件数、内容、通知先、復旧時間を想定し、経営として受け入れられるリスクかを判断します。保有の便益より事故時の損失が大きいなら、持たない選択が合理的です。

第三に、誰がいつ削除するのか

保存期限だけでは消えません。削除を実行する担当者、承認者、記録方法を決めます。委託先やバックアップの削除も対象にします。

第四に、取引先まで含めて説明できるか

再委託を含むデータの流れを説明できる状態にします。分からない部分は、契約と技術の両面から確認します。

第五に、増やす判断と減らす判断を同じ重さで扱っているか

新規導入は予算と効果が議論されますが、廃止は後回しになりがちです。追加と廃止を同じ会議、同じ指標で扱うことで、管理対象の膨張を防ぎます。

20年前、私は先輩から「余計なお金を持つな」と言われたことがあります。余裕があると、身の丈に合わないことへ手を広げてしまうという戒めでした。少し耳の痛い話ですが、今の企業データにも似ています。持てるから持つ、取れるから取る、保存できるから残す。その積み重ねが、ある日大きな責任になります。

持たない経営は、縮小志向ではありません。価値を生まない負担を減らし、本当に守るべき顧客、サービス、技術へ力を集中する戦略です。情報を減らす判断には覚悟が要りますが、何となく持ち続けることもまた経営判断です。

人や組織の前提を更新するときの参考として、私の著書『マインド・トランスフォーメーション　AI時代の思考革命』も、必要に応じて手に取っていただければと思います。技術だけでなく、問いの立て方と責任の持ち方を変えることが、AI時代の変革を支えます。

全社の個人情報を一日で整理することはできません。しかし、使っていない共有アカウントを一つ止める、目的不明の入力項目を一つ外す、退会後データの保存期限を一つ決めることはできます。小さな引き算でも、攻撃面と運用負荷は確実に減ります。

セキュリティ事故をゼロにする万能策はありません。だからこそ、守る技術、早く気づく体制、復旧する準備に加え、そもそも危険なものを持たない設計を組み合わせます。個人情報を資産として活用するなら、負債になったときまで責任を持つ。その覚悟が持てない情報は、最初から集めない選択をしてください。

余計なものは、持たない経営へ。これは情報システム部門だけの標語ではありません。顧客への責任と事業継続を守るための、経営そのものの問いです。

データ最小化

目的の達成に必要な範囲だけデータを取得、利用、保存し、不要になったら削除する考え方です。取得項目、保存期間、アクセス者を必要最小限にします。

攻撃面

攻撃者が侵入や悪用に利用できる入口や対象の範囲です。不要なアカウント、公開システム、権限、委託先連携を減らすことで小さくできます。

サプライチェーンリスク

自社だけでなく、子会社、委託先、再委託先、利用サービスなどを経由して生じるリスクです。データの流れと責任分界を継続的に確認します。

FDE

Forward Deployed Engineerの略称です。現場課題を理解し、技術を実装して成果につなげます。AI時代は、機能追加だけでなくデータと運用の負債を増やさない設計力も求められます。

マインド・トランスフォーメーション

技術導入にとどまらず、組織や個人の前提、判断、学び方、責任の持ち方を更新する変革です。

こんにちは、IT・DX教育サービスの株式会社サートプロ 近森満です。

■株式会社サートプロ 代表取締役CEO

■所属・役職

・IoT検定制度委員会 事務局長（IoT検定、＋DX認定、超知性ASI検定）

・一般社団法人 IT職業能力支援機構 理事長（Android資格）

・電気・電子系技術者育成協議会 副理事長（E検定）

・組込みソフトウェア管理者技術者育成研究会 メンバー（組込み）

・ET教育フォーラム合同会社 代表（コンテンツ制作）

・経済産業省 地方版IoT推進ラボ ビジネス創出事業メンター（IoT支援）

・経済産業省 地域DX推進ラボ ビジネス創出事業メンター（DX支援）

・デジタル庁 デジタル推進委員（デジタル化支援）

・DX事業共同組合 設立理事（DX推進）

・一般社団法人日本サステナブルビジネス機構 幹事（SDGs認証）

・”一億総活躍社会を実現する”共生日本協議会 理事（DEI支援）

・アジャイル開発技術者検定試験コンソーシアム 事務局長（Agile検定）

・一般社団法人国際サイバーセキュリティ協会 事務局長（IACS認定）

AI導入や人材育成を自社の課題に合わせて進めたい方は、DX・AI人材育成のご相談もご覧ください。

2年先の未来を先取り。AI・DX・超知性ASI時代のデジタル戦略を読み解くPodcast「DX企画書のネタ帳」。未来を先取りする実践的なヒントを毎日お届けしています。

今回の音声配信はSpotifyで聴くことができます。

#情報セキュリティ #個人情報保護 #データ最小化 #サイバー攻撃 #ランサムウェア #AI活用 #DX推進 #FDE #経営戦略 #マインドトランスフォーメーション

この記事の次に読む・学ぶ

理解を深める関連記事と、学びを実践につなげるための情報をご案内します。

あわせて読みたい

• セキュリティに強い会社も狙われる。AI時代に全社員で守る5つの基本
• そのリンク、月曜の朝に踏まないで。会社を守る「止まる・確かめる・相談する」習慣

関連研修

自社に合う研修・人材育成について相談する