内部不正による情報の持ち出しとは

従業員や委託先の従業員が、業務で使える権限を悪用して個人情報を持ち出し、名簿業者などに渡す事故です。外部からの攻撃と違い、正しい ID で正しくログインしているため、気づくまでに長い時間がかかることがあります。

どのように起きるか

• 業務に必要な範囲を超えて、大量の個人情報にアクセスできる権限が与えられていた。
• USB メモリや私用の端末・クラウドへの書き出しが制限されていなかった。
• アクセスや書き出しの記録が取られていない、または誰も見ていなかった。

事業者が平時に備えること

• 個人情報へのアクセス権は業務に必要な範囲に絞り、定期的に見直す。
• 大量のダウンロードや外部媒体への書き出しを記録し、検知する。
• 委託先にも同じ水準の管理を求め、実施状況を確かめる。
• 退職・異動のときに、権限をすぐに外す。

自社で確かめること

• 個人情報にアクセスできる人と権限の一覧があるか確かめる
• 大量のダウンロード・書き出しの記録を取っているか確かめる
• 委託先の管理状況を確かめる手順があるか確かめる

Web サイトとメールの設定は、無料診断で確かめられます（CMS・メール認証・セキュリティヘッダ・SSL/TLS の4種類をまとめて）。

関連する用語

アクセス制御

誰がどの情報を見たり変えたりできるかを決め、それ以外を止めること。

ログ（アクセス記録）

誰が・いつ・何をしたかの記録。保存していないと、侵入や閲覧の有無を後から確かめられません。

委託先管理

個人情報の取扱いを他社に任せるときに、委託元が委託先の管理状況を確かめること。個人情報保護法で委託元の義務とされています。

内部不正の公表事例（2件）

• 2026年10月16日組織の公表資料信頼度 高
  ヤマト運輸、不正アクセスを公表（2026年10月16日）
  運輸・旅行不正アクセス内部不正
  影響: 約526万件
• 更新 2024年9月11日個人情報保護委員会信頼度 中
  NTTマーケティングアクトProCXに個人情報保護委員会が行政上の対応（2024年1月24日公表）
  サービス内部不正サービス障害行政上の対応
  影響: 約928万人

このページは一般的な解説です。個別の事案の組織の対応を評価するものではありません。