2026年のテーマは「動」

皆さん、明けましておめでとうございます。
（株）マネジメント総研の小山です。

昨年は「積む」をテーマに取組んでまいりました。

結果、実績を積み上げ、経験を積み重ねることができました。
一方で、徳を十分には積むことはできず、いくつか積み残しもありました。
ただ、詰むことはなく、一年を乗り切ることができました。

そのような中、もっと積極的に動くことができれば、
もっと有意義な一年にできたのではないかという思いが強くなりました。

そこで、2026年は「動」をテーマに掲げて取組みます。

行動、活動、躍動、感動、連動、協働、自動、原動力等、
前向きなエネルギーにつながる言葉がたくさん思い浮かびます。

これらを意識し、体現するよう取組んでまいります。

そうして、より期待に応えられるよう、
より多くの機会にお役立ちできるよう、励んでまいります。

2026年もどうぞよろしくお願いいたします。
　

個人情報の取扱いにおける事故報告集計結果（2024年度）

皆さん、こんにちは。
（株）マネジメント総研の小山です。

JIPDEC（一般財団法人日本情報経済社会推進協会）より、「2024年度 個人情報の取扱いにおける事故報告集計結果」が8月29日に公表されました。

この資料は、毎年、JIPDECがプライバシーマーク付与事業者からの事故報告を集計し公表しているものです。


以下、報告件数です。
・2024年度：1,866付与事業者から9,322件の報告
　（2023年度：1,952付与事業者から9,208件の報告）


以下、発生事象別の内訳です。

発生事象	割合	前年
漏えい	75.8%	70.6%
紛失	9.0%	7.9%
滅失・き損	2.0%	3.9%
改ざん、正確性の未確保	1.2%	1.3%
目的外利用・提供	1.1%	1.2%
不正利用	0.6%	0.7%
不正・不適正取得	0.5%	0.6%
開示等の求め等の拒否	0.1%	0.0%
上記事象のおそれ	9.9%	13.7%

以下、事象分類別の内訳です。

事象分類	割合	前年
誤配達・誤交付	41.4%	28.7%
誤送信	29.4%	36.2%
紛失・滅失・き損	11.3%	1.1%
誤登録	5.6%	3.4%
不正アクセス	4.5%	10.2%
誤表示	3.3%	0.7%
マルウェア・ウイルス	1.4%	5.7%
誤廃棄	1.3%	0.6%
内部不正行為	0.8%	4.4%
盗難	0.2%	9.0%
その他	0.8%	-

以下、原因別の内訳です。

原因	割合	前年
作業・操作ミス	24.8%	25.4%
手順・ルール違反の作業・操作	20.8%	18.6%
確認不足	18.8%	18.9%
従業員教育不十分	13.9%	13.3%
手順・ルール不明瞭、未策定	9.2%	8.5%
リスク特定・分析・評価不十分	2.3%	1.8%
プログラム設計、設定の不備	1.0%	1.3%
アクセス制御不備	0.8%	1.1%
簡易なパスワード設定	0.3%	1.0%
バージョン・パッチ適用の不備	0.2%	0.7%
パスワードの平文保持	0.0%	0.0%
SQL対策の不備	0.0%	0.1%
クロスサイトスクリプティング対策の不備	0.0%	0.0%
原因分類その他	7.8%	9.3%

※1つの発生事象に対して複数の原因がカウントされています。

以下、媒体別の内訳です。

媒体	割合	前年
紙	48.8%	43.6%
電子データ	40.7%	46.0%
その他	10.5%	10.5%

その他、「速報要件に該当する事故報告」「事故報告内容の項目別集計」等も記載されています。

個人情報の取扱いにおける事故発生状況が把握できる有益な情報ですので、ぜひ実際に目を通してみてください。

▼「2024年度 個人情報の取扱いにおける事故報告集計結果」（JIPDEC）
https://privacymark.jp/guideline/wakaru/g7ccig0000002vj1-att/2024JikoHoukoku_250829.pdf
（PDFファイル）
 　

情報セキュリティ10大脅威 2025

皆さん、こんにちは。
（株）マネジメント総研の小山です。

2025年1月30日にIPA（独立行政法人情報処理推進機構）より、「情報セキュリティ10大脅威 2025」が公表されました。

これは、2024年に社会的影響が大きかった情報セキュリティ事案から、IPAが脅威候補を選出し、10大脅威選考会(情報セキュリティ分野の研究者、企業の実務担当者等で構成)の投票により決定したものです。

『個人』と『組織』の各視点で10大脅威が選出されていますが、ここでは、『組織』の10大脅威について紹介します。

順位	脅威	前年順位
1位	ランサム攻撃による被害	1位(→)
2位	サプライチェーンや委託先を狙った攻撃	2位(→)
3位	システムの脆弱性を突いた攻撃	5,7位(↑)
4位	内部不正による情報漏えい等	3位(↓)
5位	機密情報等を狙った標的型攻撃	4位(↓)
6位	リモートワーク等の環境や仕組みを狙った攻撃	9位(↑)
7位	地政学的リスクに起因するサイバー攻撃	New
8位	分散型サービス妨害攻撃（DDos攻撃）	圏外(↑)
9位	ビジネスメール詐欺	8位(↓)
10位	不注意による情報漏えい等	6位(↓)

1位・2位は昨年と同じでした。
 

3位の「システムの脆弱性を突いた攻撃」は、前年5位「ゼロデイ攻撃」と前年7位「脆弱性対策情報の公開に伴う悪用増加」が統合されたことにより順位が上昇しています。

7位の「地政学的リスクに起因するサイバー攻撃」は新設の内容で、国家の関与が疑われるサイバー攻撃が該当します。

8位の「DDoS攻撃」は、年末年始にも大規模に発生（2024年12月26日～2025年1月6日：日本航空、三菱UFJ銀行、りそな銀行系、みずほ銀行、NTTドコモ、日本気象協会、三井住友カード等でサービス障害発生）した事案が取り上げられています。

情報セキュリティ対策の基本の1つに、脅威・手口を知ることが挙げられます。

また、攻撃の糸口を踏まえ、ソフトウェアの更新、セキュリティソフトの利用、パスワードの管理・認証の強化、設定の見直し等の対策を徹底することが重要です。

IPAのサイトでは、より詳しい情報が掲載されていますので、ぜひご確認ください。

▼情報セキュリティ10大脅威 2025
https://www.ipa.go.jp/security/10threats/10threats2025.html
　
　

2025年のテーマは「積む」

皆さん、明けましておめでとうございます。
（株）マネジメント総研の小山です。

昨年は「作る」をテーマに、「…を」の部分にこだわって取組んでまいりました。

結果、具体的なアウトプットを意識することで形にできたものが多くありました。
そして、実績を積み上げる大切さを実感しました。

そこで、2025年は「積む」をテーマに掲げて取組みます。

実績を積み上げる、経験を積み重ねる、そして、徳を積むことを意識して行動してまいります。
決して、積み残しがないよう、また、詰むことがないように。


そうして、より期待に応えられるよう、

より多くの機会にお役立ちできるよう、励んでまいります。

2025年もどうぞよろしくお願いいたします。
　

個人情報の取扱いにおける事故報告集計結果（2023年度）

皆さん、こんにちは。
（株）マネジメント総研の小山です。

JIPDEC（一般財団法人日本情報経済社会推進協会）より、「2023年度 個人情報の取扱いにおける事故報告集計結果」が7月11日に公表（7月25日に更新）されました。

この資料は、毎年、JIPDECがプライバシーマーク付与事業者からの事故報告を集計し公表しているものです。


以下、報告件数です。
・2023年度：1,952付与事業者から9,208件の報告
　（2022年度：1,460付与事業者から7,009件の報告）


以下、発生事象別の内訳です。（n=7,633）

発生事象	割合	前年
漏えい	70.6%	76.1%
紛失	7.9%	9.7%
滅失・き損	3.9%	2.1%
改ざん、正確性の未確保	1.3%	1.2%
不正・不適正取得	0.6%	0.3%
目的外利用・提供	1.2%	1.3%
不正利用	0.7%	0.6%
開示等の求め等の拒否	0.0%	0.0%
上記事象のおそれ	13.7%	8.6%

以下、事象分類別の内訳です。（n=7,460）

事象分類	割合	前年
誤送信	36.2%	24.7%
誤配達・誤交付	28.7%	43.0%
不正アクセス	10.2%	6.2%
盗難	9.0%	0.5%
マルウェア・ウイルス	5.7%	1.8%
内部不正行為	4.4%	0.5%
誤登録	3.4%	4.7%
紛失・滅失・き損	1.1%	11.2%
誤表示	0.7%	5.8%
誤廃棄	0.6%	1.6%

以下、原因別の内訳です。（n=15,067）

原因	割合	前年
作業・操作ミス	25.4%	25.3%
確認不足	18.9%	20.5%
手順・ルール違反の作業・操作	18.6%	29.0%
従業員教育不十分	13.3%	9.7%
手順・ルール不明瞭、未策定	8.5%	-
リスク特定・分析・評価不十分	1.8%	2.4%
プログラム設計、設定の不備	1.3%	1.3%
アクセス制御不備	1.1%	0.4%
簡易なパスワード設定	1.0%	0.3%
バージョン・パッチ適用の不備	0.7%	0.2%
SQL対策の不備	0.1%	0.1%
パスワードの平文保持	0.0%	0.1%
クロスサイトスクリプティング対策の不備	0.0%	0.0%
原因分類その他	9.3%	10.9%

※1つの発生事象に対して複数の原因がカウントされています。

以下、媒体別の内訳です。（n=7,279）

媒体	割合	前年
電子データ	46.0%	37.8%
紙	43.6%	49.4%
その他	10.5%	12.9%

その他、「速報の事故報告件数」「事故報告の項目別集計」等も記載されています。

個人情報の取扱いにおける事故発生状況が把握できる有益な情報ですので、ぜひ実際に目を通してみてください。

▼「2023年度 個人情報の取扱いにおける事故報告集計結果」（JIPDEC）
https://privacymark.jp/guideline/wakaru/g7ccig0000002vj1-att/2023JikoHoukoku_240725.pdf
（PDFファイル）
 　

「JIS Q 27002:2024」発行

皆さん、こんにちは。
（株）マネジメント総研の小山です。

2024年6月20日に「JIS Q 27002:2024」が発行されました。

（情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策）

この規格は、「ISO/IEC 27002:2013（JIS Q 27002:2014）」の改正版として、2022年2月15日に発行された「ISO/IEC 27002:2022」に対応する日本産業規格です（技術的内容及び構成を変更することなく作成されたもの）。

旧規格では14分野、114項目の管理策がありましたが、改正により、4分野（組織・人・物理・技術）、93項目（82項目＋新規11項目）に整理されました。

また、管理策を参照・活用する際の観点として、以下の属性情報が追加され、各管理策に表示されるようになりました。

a) 管理策タイプ
　インシデントの発生との関係から見る属性
　・予防（インシデントの発生を予防する管理策）
　・検知（インシデント発生時に機能する管理策）
　・是正（インシデント発生後に機能する管理策）

b) 情報セキュリティ特性
　どの特性を維持するのに寄与するかという観点から見る属性
　・機密性
　・完全性
　・可用性

c) サイバーセキュリティ概念
　「ISO/IEC TS 27110（サイバーセキュリティフレームワーク策定の指針）」に記載のサイバーセキュリティ概念に関連づける観点から見る属性
　・識別
　・防御
　・検知
　・対応
　・復旧

d) 運用機能
　実践者の観点で見る属性
　・ガバナンス
　・資産管理
　・情報保護
　・人的資源のセキュリティ
　・物理的セキュリティ
　・システム及びネットワークのセキュリティ
　・アプリケーションセキュリティ
　・セキュリティを保った構成
　・識別情報及びアクセスの管理
　・脅威及び脆弱性の管理
　・継続
　・供給者関係のセキュリティ
　・法令及び順守
　・情報セキュリティ事象管理
　・情報セキュリティ保証

e) セキュリティドメイン
　4つの情報セキュリティドメインの観点から見る属性
　・ガバナンス及びエコシステム

　　（情報システムセキュリティのガバナンス及びリスクマネジメント、エコシステムサイバーセキュリティマネジメントを含む）
　・保護

　　（ITセキュリティアーキテクチャ、ITセキュリティ管理、識別情報及びアクセスの管理、ITセキュリティ保守、物理的及び環境的セキュリティを含む）
　・防御

　　（検知、コンピュータセキュリティインシデント管理を含む）
　・レジリエンス

　　（運用の継続、危機管理を含む）
 

「JIS Q 27002（ISO/IEC 27002）」は、「JIS Q 27001（ISO/IEC 27001）」の「附属書A」の詳細情報にも当たるため、適宜、参照して情報セキュリティの維持・強化にお役立てください。。

「ISO/IEC 27002:2022」発行時に投稿した記事も参考にしてください。

＞「ISO/IEC 27002」改正（2022/3/1投稿）

情報セキュリティ10大脅威 2024

皆さん、こんにちは。
（株）マネジメント総研の小山です。

2024年1月24日にIPA（独立行政法人情報処理推進機構）より、「情報セキュリティ10大脅威 2024」が公表されました。

これは、2023年に発生した社会的に影響が大きかったと考えられる情報セキュリティ事案から、IPAが脅威候補を選出し、10大脅威選考会(情報セキュリティ分野の研究者、企業の実務担当者等で構成)が審議・投票を行い決定したものです。

『個人』と『組織』の各視点で10大脅威が選出されていますが、ここでは、『組織』の10大脅威について紹介します。

順位	脅威	前年順位
1位	ランサムウェアによる被害	1位(→)
2位	サプライチェーンの弱点を悪用した攻撃	2位(→)
3位	内部不正による情報漏えい	4位(↑)
4位	標的型攻撃による機密情報の窃取	3位(↓)
5位	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	6位(↑)
6位	不注意による情報漏えい等の被害	9位(↑)
7位	脆弱性対策情報の公開に伴う悪用増加	8位(↑)
8位	ビジネスメール詐欺による金銭被害	7位(↓)
9位	テレワーク等のニューノーマルな働き方を狙った攻撃	5位(↓)
10位	犯罪のビジネス化（アンダーグラウンドサービス）	10位(→)

前年から順位の変動はあったものの、脅威自体は前年と同構成でした。

情報セキュリティ対策の基本の1つに、脅威・手口を知ることが挙げられます。

また、攻撃の糸口を踏まえ、ソフトウェアの更新、セキュリティソフトの利用、パスワードの管理・認証の強化、設定の見直し等の対策を徹底することが重要です。

IPAのサイトでは、より詳しい情報が掲載されていますので、ぜひご確認ください。

▼情報セキュリティ10大脅威 2024
https://www.ipa.go.jp/security/10threats/10threats2024.html
　
　

2024年のテーマは「作る」

皆さん、明けましておめでとうございます。
（株）マネジメント総研の小山です。

昨年は「仕掛」をテーマに、自然と力を注ぎたくなる「仕掛け」、すぐに「仕掛かる」、時には「仕掛ける」ことを意識して取組んでまいりました。

結果、質を上げる視点を考慮すること、積極的に行動することの効果を実感し、その大切さを認識することができました。

そのような中、さらにそれを確実なものにすることを意識できる言葉はないかと探した結果、1つの言葉を見つけました。

それは、「作る」です。

「作る」という言葉について、

『新明解国語辞典』では次のように書かれています。

「作る」という動詞は、その行為が完了した結果作り出されたものを「…を」によって表わす。従ってその行為の開始から完了までの時点では、現実には存在しないということになる。

2024年は、この「作る」をテーマに、

「…を」の部分にこだわって取組んで参ります。

そして、より期待に応えられるよう、
より多くの機会にお役立ちできるよう、励んで参ります。

2024年もどうぞよろしくお願いいたします。
　
　
　
　
　

プライバシーマーク「構築・運用指針」の改定

2023年12月25日に、プライバシーマークの審査で用いられる基準である「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」が改定されました。

2023年9月に改正された「JIS Q 15001（個人情報保護マネジメントシステム-要求事項）」に準拠するよう見直されました。

目次は以下のとおりです。
 

J.1 組織の状況
　J.1.1 組織及びその状況の理解
　J.1.2 利害関係者のニーズ及び期待の理解
　J.1.3 法令、国が定める指針その他の規範
　J.1.4 個人情報保護マネジメントシステムの適用範囲の決定
　J.1.5 個人情報保護マネジメントシステム
J.2 リーダーシップ
　J.2.1 リーダーシップ及びコミットメント
　J.2.2 個人情報保護方針
　J.2.3.1 組織の役割、責任及び権限
　J.2.3.2 個人情報保護管理者と個人情報保護監査責任者
　J.2.4 管理目的及び管理策（一般）
J.3 計画
　J.3.1.1 個人情報の特定
　J.3.1.2 リスク及び機会に対処する活動
　J.3.1.3 個人情報保護リスクアセスメント
　J.3.1.4 個人情報保護リスク対応
　J.3.2 個人情報保護目的及びそれを達成するための計画策定
　J.3.3 計画策定
　J.3.4 変更の計画策定
J.4 支援
　J.4.1 資源
　J.4.2 力量
　J.4.3 認識
　J.4.4.1 コミュニケーション
　J.4.4.2 緊急事態への準備
　J.4.5.1 文書化した情報（一般）
　J.4.5.2 文書化した情報の管理
　J.4.5.3 文書化した情報（記録を除く）の管理
　J.4.5.4 内部規程
　J.4.5.5 文書化した情報のうち、記録の管理
J.5 運用
　J.5.1 運用
J.6 パフォーマンス評価
　J.6.1 監視、測定、分析及び評価
　J.6.2 内部監査
　J.6.3 マネジメントレビュー
J.7 改善
　J.7.1 不適合及び是正処置
　J.7.2 継続的改善
J.8 取得、利用及び提供に関する原則
　J.8.1 利用目的の特定
　J.8.2 適正な取得
　J.8.3 要配慮個人情報などの取得
　J.8.4 個人情報を取得した場合の措置
　J.8.5 J.8.4 のうち本人から直接書面によって取得する場合の措置
　J.8.6 利用に関する措置
　J.8.7 本人に連絡又は接触する場合の措置
　J.8.8 個人データの提供に関する措置
　J.8.8.1 外国にある第三者への提供の制限
　J.8.8.2 第三者提供に係る記録の作成等
　J.8.8.3 第三者提供を受ける際の確認等
　J.8.8.4 個人関連情報の第三者提供の制限等
　J.8.9 匿名加工情報
　J.8.10 仮名加工情報
J.9 適正管理
　J.9.1 正確性の確保
　J.9.2 安全管理措置
　J.9.3 従業者の監督
　J.9.4 委託先の監督
J.10 個人情報に関する本人の権利
　J.10.1 個人情報に関する権利
　J.10.2 開示等の請求等に応じる手続
　J.10.3 保有個人データ又は第三者提供記録に関する事項の周知など
　J.10.4 保有個人データの利用目的の通知
　J.10.5 保有個人データ又は第三者提供記録の開示
　J.10.6 保有個人データの訂正、追加又は削除
　J.10.7 保有個人データの利用又は提供の拒否
J.11 苦情及び相談への対応
　J.11.1 苦情及び相談への対応


プライバシーマーク審査においては、2024年10月1日以降の申請から適用となります。対応のうえ申請が必要となるため、申請を控えている組織においては、速やかな対応が必要となりますのでご注意ください。


構築・運用指針及び申請の詳細は、以下をご確認ください。

▼JIPDEC「構築・運用指針の改定について」
https://privacymark.jp/news/2023/system/1225.html
　
　
　
　
　

 

「JIS Q 15001:2023」発行

皆さん、こんにちは。
（株）マネジメント総研の小山です。

2023年9月20日に「JIS Q 15001:2023」が発行されました。
（個人情報保護マネジメントシステム－要求事項）

この規格は、プライバシーマーク（Pマーク）付与適格性審査において、適合性の判断に用いられるものであり、「JIS Q 15001:2017」の改正版に当たります。

今回の主な改正趣旨は以下のとおりです。
(1) 改正個人情報保護法への整合
(2) 適用範囲の考え方の見直し
(3) マネジメントシステムに関する規定の統合

(1)は、令和2年及び令和3年改正法への整合対応です。具体的には、「附属書A(規定)」に仮名加工個人情報や個人関連情報が追加され、保有個人データの規律変更等が反映されました。

(2)は、事業者単位から事業者の一部や複数の事業者を対象とした規格となるよう見直されました。なお、事業者の一部とは、医療機関における病院やカンパニー制を敷いている会社等が該当します。

(3)は、マネジメントシステムに関する事項を規格本文(箇条4～10)に、個人情報保護法に対応する事項を附属書A(規定)に規定するよう構成が見直されました。旧規格では、マネジメントシステムに関する事項が規格本文と附属書Aの両方に規定されていたため、今回の改正により棲み分けが明確になり、わかりやすくなりました。

また、附属書の構成は、以下のとおり見直されました。
・附属書A：個人情報保護に関する管理策(規定)
・附属書B：マネジメントシステムに関する補足(参考)
・附属書C：附属書Aの管理策に関する補足(参考)
・附属書D：安全管理措置に関する管理目的及び管理策(参考)
・附属書E：JIS Q 15001:2023とJIS Q 15001:2017との対応(参考)

旧規格の「附属書B」が新規格の「附属書B」「附属書C」に分けられました。その影響で旧規格の「附属書C」は、新規格では「附属書D」に相当します。

「附属書D」は「JIS Q 27002:2014」がベースとなっていますが、もとになっている「ISO/IEC 27002」は2022年2月に改正されており、14分野114項目の管理策が4分野93項目に大幅に整理されています。今後、この内容を反映した「JIS Q 27002」改正版が発行されると、「附属書D」の内容が古くなるため、「JIS Q 15001」の改正が検討されるものと考えられます。また、個人情報保護法も3年毎に見直すことが定められているため、法改正に伴い、「JIS Q 15001」のアップデートが必要となると考えられます。


なお、プライバシーマーク制度では「JIS Q 15001」をもとに「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針」を定め、審査基準として用いられています。

今回の規格改正に伴い、この「構築・運用指針」も改定される予定です。プライバシーマーク取得事業者としては、「構築・運用指針」の改定後に改正対応を行うのが手戻りがなくて良さそうです。