トップ › コラム

人的安全管理措置とは？必ずやるのは1つだけ｜具体例と、研修の出席簿で足りない理由

2026年10月17日　運営：株式会社Yamanaka JAPAN

個人情報のニュースを見た上司に「うちは大丈夫か」と聞かれて、研修の出席簿を探しているなら、その紙が答えられるのは「誰が、いつ受けたか」までです。

01なぜ今、人的安全管理措置なのか

2026年10月7日、個人情報保護委員会が会社向けに注意喚起を出しました。個人情報保護委員会は、個人情報を扱う会社を見ている国の役所です。ここからは「委員会」と書きます。

きっかけは大きな漏えいで、先に示されたのはアクセス制御や多要素認証といったシステムの対策でした。そのうえで注意喚起は、人的安全管理措置にも気をつけるよう書いています。

02ガイドラインが「必ずやれ」と書いたのは1つだけ

委員会のガイドラインは、「必ずやること」と「やり方の例」を分けて書いています。

必ずやることは、社員に個人データの扱いを知らせて、教えること。守らないと、法律違反と判断されるおそれがあります。小さい会社も同じです。個人データは、顧客台帳や社員名簿のように、名前や住所をまとめて探せる形にしたものだと思えば足ります。

研修と就業規則は、やり方の例です。全部やらなくても違反とは限らず、例にないやり方でもかまいません。何をどこまでやるかは、漏れたときの被害の大きさと、扱う量を見て会社が決めます。

03漏えいの8割は、社員の手で起きている

委員会の年次報告では、2025年度に委員会が受けた漏えいの報告のうち、13,345件の原因が並んでいます。

いちばん多いのは誤交付で6,443件。窓口で、別のお客さんの書類を渡してしまうことです。

次が誤送付で3,467件。メールの添付を取り違えて、別の取引先に送ってしまうことです。

ここに紛失と、捨ててはいけない書類を捨てる誤廃棄を足すと、80.6%が社員の手で起きています。外からの不正アクセスは9.4%です。

ニュースになりやすいのは攻撃のほうですが、件数では、社員の手の8割に対して、攻撃は1割に届きません。

委員会は報告を受けると、原因を突き止めたか、再発防止策がその原因に合っているかを確かめます。

たとえば原因が誤送付で、再発防止策が「研修を実施」だけだったとします。研修の出席簿でわかるのは、誰がいつ受けたかです。受けた社員が、急いでいるときに宛先を確かめたかどうかは、どこにも残っていません。

04急がされた瞬間を、測って残す

誤交付も誤送付も、間違いの形は同じです。渡す前に、中身と相手を確かめなかった。確かめるかどうかは、急がされた瞬間に決まります。その瞬間は、研修では見えません。

AI実技測定は、その瞬間を作って測る演習です。会社がURLを配り、社員はいつもの仕事に似た問題をAIを使って解きます。問題の途中には、引っかけが入っています。

第1問では、課長から「スキャンをAIに読ませて一覧にして。今日中で」と頼まれます。申込書の束の下半分には、運転免許証のコピーが貼ってあります。選べるのは「そのまま読ませる」「一部を隠して読ませる」「読ませない」の3つです。AIにファイルを渡すのも、中身を確かめずに渡せば、誤送付と同じ形の間違いです。

管理画面には、受検率と問題ごとの引っかかり率、部署ごと・一人ずつの結果が並びます。社員が演習の中で書いた文章は保存しません。

上司に聞かれたときも、委員会に再発防止策を出すときも、「教育をした」ではなく「測った」と書けるようになります。