情報漏洩は「防ぐ」だけでは足りない。持たない経営と個人防衛の新常識

〖記事概要〗

情報漏洩を完全にゼロにすることが難しい時代、企業は「防ぐ努力」だけでなく、漏れた時の被害を最小化する設計へ考え方を変える必要があります。本当にその個人情報を持ち続ける必要があるのか。経営として誰が判断するのか。そして個人は、パスワード、多要素認証、なりすまし、フィッシングにどう備えるのか。音声配信の対談をもとに、企業と個人の両面から、情報を持たない勇気と守り方を整理します。

〖本文〗

「漏洩しない前提」だけでは守れない時代

セキュリティ対策は、もちろん最大限に行わなければなりません。しかし攻撃側もAIや高性能な計算資源を使い、手口を更新し続けています。守る側が一つ対策を加えると、攻撃側は別の入口を探す。残念ながら、このいたちごっこを完全に終わらせることはできません。

そこで必要になるのが、「漏洩する可能性はある」という現実を受け入れたうえで、被害を小さくする発想です。これは漏洩を容認することではありません。防ぐ努力を続けながら、侵入や誤送信が起きても致命傷にならないよう、保存する情報、アクセス権、復旧手順、連絡体制をあらかじめ整えるということです。

第一に、守る情報そのものを減らす

個人情報が漏れたのは、企業がその情報を持っていたからです。顧客との関係を深めるために、氏名、住所、電話番号、メールアドレス、本人確認書類を集めることはあります。しかし契約が終わった後も、将来使うかもしれないという理由だけで残し続ける必要があるでしょうか。

データは営業資産である一方、保有した瞬間から守る責任が生まれる負債でもあります。収集目的、保存期間、利用者、削除条件を決め、不要になったら手放す。大量に持つことを競う時代から、必要なものだけを安全に持つ時代へ転換しなければなりません。

情報を捨てることも経営判断である

現場では「あとで問い合わせが来るかもしれない」「営業に使えるかもしれない」という理由で、データを残しがちです。家庭でも、いつか使うかもしれない品物を捨てられず、引き出しの奥へしまい込むことがあります。情報も同じです。ただし、データは場所を取らないように見えるため、保有リスクが見えにくくなります。

削除すれば機会損失が起きるかもしれません。残せば漏洩時の被害が大きくなります。どちらを選ぶかは、情報システム部門だけに任せる問題ではありません。顧客価値、売上、法令、信頼、事故時の影響を並べて、経営陣が判断すべき課題です。

第二に、誰が何を決めるかを明確にする

「なぜ消したのか」「なぜ残したのか」と事故の後で責任を押し付け合っても遅すぎます。情報の収集、利用、保存、削除について責任者を決め、例外を認める条件も記録します。重要なのは、技術部門が安全を説明し、事業部門が価値を説明し、経営が両方を理解したうえで決めることです。

AIと高性能機器が攻撃のハードルを下げる

生成AIは、守る側の調査や監視を助ける一方、攻撃側にも使われます。自然な日本語のメールを大量に作り、対象者に合わせて文面を変え、公開情報を組み合わせたなりすましを行うことができます。高性能な機器も以前より手に入りやすくなり、個人や小規模な集団でも大きな計算能力を持てるようになりました。

かつては不自然な日本語で見分けられた詐欺メールも、今は本物らしくなっています。知人や取引先の名前を使い、過去の投稿を引用し、もっともらしい連絡を送ることもできます。企業のセキュリティ事故は、その会社だけで終わらず、流出した情報を使った二次被害へつながります。

第三に、漏れた情報の「次の使われ方」を考える

氏名やメールアドレスが漏れた時、直後に金銭被害がなくても安心はできません。その情報を材料に、偽の請求、アカウント乗っ取り、知人になりすました連絡、フィッシングサイトへの誘導が行われる可能性があります。漏洩通知を受けたら、対象サービスだけでなく、同じメールアドレスやパスワードを使う他のサービスも点検します。

個人が今日からできる四つの防御

企業がどれほど対策しても、利用者側が巻き込まれる事故はなくなりません。だからこそ、個人にも最低限の防御方針が必要です。難しい技術を覚えるより、毎日の行動を少し変えることが効果につながります。

第四に、パスワードを使い回さない

一つのサービスから認証情報が漏れた時、同じパスワードを使う別サービスまで突破される危険があります。すべてを暗記する必要はありません。信頼できるパスワード管理機能を使い、サービスごとに異なる長いパスワードを設定します。古くから使い続けている重要アカウントほど、優先的に見直します。

第五に、多要素認証を有効にする

パスワードに加えて、認証アプリ、端末、セキュリティキーなど別の要素を使います。パスワードが漏れても、それだけではログインできない状態を作るためです。メール、クラウド、SNS、金融サービスなど、乗っ取られた時の影響が大きいものから設定します。

第六に、送信者名ではなく送信元を確認する

表示名が有名企業でも、本物とは限りません。メールアドレスのドメイン、リンク先、文章の要求内容を確認します。「今すぐ」「期限が切れる」「本人確認が必要」と急がせる連絡ほど、メール内のリンクを直接開かず、公式アプリや登録済みブックマークから確認します。

第七に、必要以上の個人情報を渡さない

無料資料やキャンペーンのために、目的と関係のない情報まで入力していないか確認します。発送がないのに住所が必要なのか、閲覧だけなのに生年月日が必要なのか。入力欄があるから渡すのではなく、なぜ必要かを考える習慣が、将来の被害を減らします。

まとめ：セキュリティは「持ち方」を決める経営課題

情報漏洩対策は、強い壁を作るだけでは完成しません。何を集め、いつまで持ち、誰が使い、不要になったらどう捨てるのか。漏洩時にどこまで影響が広がり、どの順番で知らせ、どう復旧するのか。そこまで決めて初めて、企業のセキュリティになります。

個人も同じです。パスワードを分け、多要素認証を使い、なりすましを疑い、渡す情報を絞る。完璧を目指すのではなく、一つ漏れても全部を失わない状態を作ります。守る努力と、持たない勇気。この二つを組み合わせることが、AI時代の現実的な防御です。

DX・AI人材育成のご相談

『マインド・トランスフォーメーション　AI時代の思考革命』

〖重要なキーワード解説〗

データ最小化

利用目的の達成に必要な範囲だけ個人情報を収集し、不要になったら削除する考え方です。

多要素認証

知識、所持、生体など異なる要素を組み合わせ、パスワードだけに頼らず本人確認を行う仕組みです。

フィッシング

本物に見せかけた連絡やサイトで認証情報や金銭をだまし取る手口です。

インシデント対応

事故の検知、封じ込め、原因調査、復旧、通知、再発防止を計画的に進める活動です。

〖著者紹介〗

こんにちは、IT・DX教育サービスの株式会社サートプロ 近森満です。

■所属・役職

■株式会社サートプロ 代表取締役CEO

・IoT検定制度委員会 事務局長（IoT検定、＋DX認定、超知性ASI検定）

・一般社団法人 IT職業能力支援機構 理事長（Android資格）

・電気・電子系技術者育成協議会 副理事長（E検定）

・組込みソフトウェア管理者技術者育成研究会 メンバー（組込み）

・ET教育フォーラム合同会社 代表（コンテンツ制作）

・経済産業省 地方版IoT推進ラボ ビジネス創出事業メンター（IoT支援）

・経済産業省 地域DX推進ラボ ビジネス創出事業メンター（DX支援）

・デジタル庁 デジタル推進委員（デジタル化支援）

・DX事業共同組合 設立理事（DX推進）

・一般社団法人日本サステナブルビジネス機構 幹事（SDGs認証）

・”一億総活躍社会を実現する”共生日本協議会 理事（DEI支援）

・アジャイル開発技術者検定試験コンソーシアム 事務局長（Agile検定）

・一般社団法人国際サイバーセキュリティ協会 事務局長（IACS認定）

AI導入や人材育成を自社の課題に合わせて進めたい方は、DX・AI人材育成のご相談もご覧ください。

〖音声配信〗

2年先の未来を先取り。AI・DX・超知性ASI時代のデジタル戦略を読み解くPodcast「DX企画書のネタ帳」。未来を先取りする実践的なヒントを毎日お届けしています。

今回の音声配信はSpotifyで聴くことができます。

#情報セキュリティ #情報漏洩 #個人情報保護 #サイバーセキュリティ #経営課題 #多要素認証 #DX推進 #リスク管理 #AI時代 #近森満