相次ぐ個人情報漏えいは「氷山の一角」かもしれない——中小企業こそ、いま管理体制の見直しを

2026年9月下旬から、不正アクセスによる個人情報の漏えいの公表が相次いでいます。
数百万件から1,000万件を超える規模の事案も続き、10月7日には個人情報保護委員会が、大規模な漏えい等事案を踏まえた注意喚起を出しました。
ニュースを目にして、「自社は大丈夫だろうか」と感じた経営者の方も多いのではないでしょうか。

私たちUPFは、2009年からPマーク（プライバシーマーク）とISMS（ISO/IEC 27001）の取得・運用を支援してきました。
多くの企業の情報管理に携わらせていただく中で感じるのは、いま公表されている事故は「氷山の一角」なのかもしれないということです。
公表に至るのは、被害に気づき、原因を調べ、説明できる体制を持っていた企業の事案です。
その下には、公表に至らない事故や、まだ誰も気づいていない被害があると考えておくほうが自然ではないでしょうか。
とりわけ中小企業では、被害がないのではなく、まだ表に出ていないだけというケースもあるように思います。

このコラムでは、公的なデータをもとに現状を整理したうえで、私たちが日々の支援の中で感じていることと、企業が経営として見直したいポイントをまとめました。
自社の体制を振り返る際の一助になれば幸いです。

公表されている事故は「氷山の一角」かもしれない

まず、公的な統計と調査から、いま何が起きているのかを確認します。

※各機関・調査会社の公表資料をもとに当社で整理（2026年10月13日時点）。出典は記事末尾に掲載しています。

漏えいの件数は高止まりし、一度に失われる情報の量は大きくなっています。
そして警察庁のデータが示すとおり、ランサムウェアの被害を受けているのは大企業だけではありません。

個人情報保護委員会の年次報告では、漏えいの主な原因として、病院や薬局での書類の誤交付、クレジットカードなどの誤送付、不正アクセスが挙げられています。
委員会に直接報告された事案の76.9%は、紙媒体のみの漏えいです。
件数で多いのは紙やメールの「うっかり」、被害が大きくなるのはサイバー攻撃。
企業には、この両方への備えが求められています。

法制度も動いています。
2026年7月には、課徴金制度の導入や罰則の強化を盛り込んだ改正個人情報保護法が成立・公布されました（施行は原則として公布から2年以内）。
個人情報の扱いには、これまで以上に、経営の課題として向き合うことが求められます。

ただし、ここに挙げた数字は、いずれも報告や公表に至った事故をもとにしたものです。

労働災害の分野には、「ハインリッヒの法則」という経験則があります。
1件の重大な事故の背後には29件の軽い事故があり、さらにその背後には300件の「ヒヤリハット」がある、というものです。

この比率を、情報漏えいにそのまま当てはめることはできません。
それでも、表に出た1件の事故の下に、公表に至らない事故や、まだ誰にも気づかれていない小さなミスや被害が積み重なっているという構造は、情報漏えいにも通じるところがあると感じています。
統計で確かめられることではありませんが、多くの企業の情報管理に携わってきた実感として、そう考える理由が3つあります。

1つ目は、公表は「公表できる体制がある」ことの裏返しだからです。
漏えいを公表するには、被害に気づき、範囲と原因を調べ、本人や取引先に説明できる体制が必要です。
記録（ログ）を残していない、調査を頼める先がないという企業では、そもそも何が起きたのかを確かめられません。

2つ目は、すべての漏えいが報告や公表の対象になるわけではないからです。
個人情報保護法で委員会への報告と本人への通知が義務になっているのは、要配慮個人情報を含む場合など、一定の条件に当てはまるときです。
世間への公表は、一律に義務づけられているわけではありません。

3つ目は、気づけないまま進む被害があるからです。
攻撃者に侵入されてから、被害が表に出るまでには時間がかかることがあります。
侵入に気づく仕組みがなければ、取引先や捜査機関など外部からの連絡で、初めて被害を知ることになります。

中小企業は、大企業に比べてセキュリティの専任者や検知の仕組みを持ちにくいのが実情です。
「うちは被害に遭っていない」のではなく、「被害に気づけていないだけかもしれない」。
少し厳しい見方かもしれませんが、この前提に立つことが、対策の出発点になると考えています。

また最近の事案では、委託先やクラウドサービスなど、外部とのつながりを経由した漏えいも目立ちます。
一社の対策の遅れが、その会社だけでなく、取引先を含めたリスクにつながることもあります。

9月下旬以降、私たちのもとにも、管理体制の見直しについてのご相談が続いています。
ニュースの事故を他社のこととして見送るのではなく、自社にも起こり得ることとして備えておく。
いま多くの企業に求められているのは、その一歩なのだと思います。

経営として見直したい5つの視点

情報セキュリティマネジメントでは、まず「どこに、どんな情報が、どれだけあるか」を把握し、リスクの大きいところから手を打つのが基本です。
表に出る事故と、その下にある見えにくい事故の両方を減らすために、経営として見直したいのは次の5点です。

※技術面の具体的なチェック項目は、【最新2026】企業が今週中に確認したい、最低限の7つの対策で詳しく解説しています。

中でも、経営の判断によって差がつきやすいのは1と5です。

「持たない」は、費用をかけずに始められ、効果の大きい対策です。
使わなくなった顧客リストや、保存期間を過ぎた申込書は、持ち続けるだけでリスクになります。
10月7日の個人情報保護委員会の注意喚起でも、多要素認証の導入やログの保管・分析とあわせて、利用目的を達成した個人データを遅滞なく消去するよう努めることが求められています。

「気づいて動ける」は、見えない被害を減らすための対策です。
先ほどのハインリッヒの法則の考え方に立てば、重大な事故を防ぐ近道は、その下にある小さなミスやヒヤリハットを拾い上げ、仕組みで潰していくことです。
小さな異常を報告しやすい雰囲気と、報告を受けて動く手順があるかどうかが、事故の大きさを左右します。

5つの視点は、一度決めれば終わりではありません。
人が入れ替わり、取引先やシステムが変わり、攻撃の手口も変わります。
だからこそ、仕組みとして回し続ける必要があります。

Pマークは日本産業規格（JIS Q 15001）にもとづく個人情報保護の仕組み、ISMSは国際規格（ISO/IEC 27001）にもとづく情報セキュリティの仕組みです。
どちらも、リスクを洗い出し、対策を決め、社員に教育し、内部監査とマネジメントレビューで見直す、というPDCAを組織に根づかせるための枠組みです。

大切なのは、取得したかどうかだけでなく、取得したうえで、実際に回しているかどうかです。
支援の現場では、運用が形だけになりかけているとき、次のようなサインが見られることがあります。

• 個人情報の台帳が、取得したときから更新されていない
• 社員教育が、年に一度のテストだけになっている
• ヒヤリハットや小さなミスが報告されず、現場で処理されている
• 内部監査が、書類がそろっているかの確認で終わっている
• 委託先の評価が、契約したときの一度きりになっている

PマークやISMSを実際に回している企業は、小さな異常を拾う報告ルートと、定期的に見直す場をすでに持っています。
それは、氷山の水面下にある事故を減らし、万が一のときに「気づいて、調べて、説明できる」会社であるための土台になります。

最後に、少しだけ私たちのことをお伝えさせてください。
UPFは2005年5月に創業し、2009年から認証取得の支援を続けてきました。
おかげさまで、支援実績は5,695社（2026年10月1日時点）となりました。
初めてUPFをご利用いただいたお客様が、次回の更新もUPFにご依頼くださる割合は95%（2020〜2026年平均）です。

社内には、プライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍しています（自らがコンサルティングを担当する企業の審査は行いません）。
また、年間2,000件を超える審査関連の情報が社内に集まるため、制度の改訂や審査の傾向を早い段階で把握し、日々のご支援に活かしています。
UPF自身もPマーク、ISMS（ISO/IEC 27001）、ISO/IEC 27701を取得し、日々運用しています。

漏えいのニュースが続くと、不安が先に立つかもしれません。
それでも、自社の情報を棚卸しし、小さな異常に気づける仕組みを一つずつ整えていけば、リスクは着実に小さくしていけます。
私たちは、認証の取得をお手伝いするだけでなく、企業が「被害に気づき、すぐに動ける」状態を、実務の面から一緒につくっていきたいと考えています。
これからも、制度の改正や新たな脅威について、支援の現場で得た気づきをお伝えしていきます。

よくある質問

Q. 小さな会社でも、個人情報保護法の対象になりますか？
A. はい。
2017年5月に施行された改正法により、取り扱う個人情報の数にかかわらず、個人情報データベース等を事業に使っている事業者はすべて対象になりました。
漏えいが起きたときの報告や本人への通知の義務も、同じように適用されます。

Q. 漏えいが起きたら、必ず個人情報保護委員会に報告しなければなりませんか？
A. 次のいずれかに当たる場合（そのおそれがある場合を含む）は、委員会への報告と本人への通知が義務です（2022年4月から）。

• 要配慮個人情報（病歴など）が含まれる
• 財産的被害が生じるおそれがある（クレジットカード情報など）
• 不正の目的で行われたおそれがある（不正アクセスなど）
• 漏えいした本人の数が1,000人を超える

委員会への報告は、速報を速やかに（目安は発覚から概ね3〜5日以内）、確報を発覚から30日以内（不正の目的で行われたおそれがある場合は60日以内）に行います。
なお、2026年7月に成立した改正法には、報告や本人への通知の一部を見直す内容も盛り込まれています。
判断に迷う場合は、早めに専門家にご相談ください。

Q. PマークとISMSは、どちらを取得すべきですか？
A. 顧客の個人情報を中心に扱い、「個人情報を適切に扱う会社」であることを国内の消費者や取引先に示したい場合はPマーク、個人情報に限らず技術情報や取引先の情報など情報全体を守りたい場合や、海外の取引先にも説明したい場合はISMSが向いています。
両方を取得する企業もあります。
詳しくはPマーク・ISMSの取得を迷っている企業へで解説しています。

Q. すでにPマークやISMSを取得していますが、運用が形だけになっています。
相談できますか？
A. はい。
他社の支援で取得された企業からの「運用を見直したい」「取得した認証をもっと活かしたい」というご相談もお受けしています。

Q. Pマーク・ISMSの取得支援（コンサル）は、どこに頼めばよいですか？
A. 比べる軸は3つです。①審査を知る体制があるか（現役審査員や審査員資格者の在籍）、②実績数と継続率を時点つきで公開しているか、③取得後の運用・更新まで含めた総額で見積もられているか。UPFは、プライバシーマーク審査機関（JIPDEC）の現役審査員が在籍し、累計5,695社（2026年10月1日時点）、継続率95%（2020〜2026年平均）を公開しています。費用は、取得後から次回更新までのサポートを含む一括料金です。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援を通じて、企業の情報管理を実務の面から支えています。
「被害に気づける体制になっているか確認したい」「取得した認証の運用を見直したい」「委託先の管理や事故対応の手順を整えたい」といったご相談も承っております。
お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。