個人情報保護委員会は、安全管理措置に関する中核的なガイドラインの改正案を公表し、パブリックコメント（意見公募）を開始した。不正アクセス等の検知を項目立てされた義務として追加するほか、多要素認証によるログインやゼロトラスト型のアクセス検証など、手法の例示を拡充する。意見募集期間は2026年10月29日から11月27日まで。
改正案の追加内容
改正案は、技術的安全管理措置の「講じなければならない措置」として、アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止に続く5つ目の項目に「不正アクセス等の検知等」を追加する。事業者には、不正アクセス等を早期に検知し、内部ネットワークでの被害拡大を防止するための措置を平時から講じることが求められる。
同項目に基づく手法の例示には、アクセスログや認証ログ等の一定期間の保管、侵入検知・防止システムやエンドポイント検知・対応ツールの導入、侵害されたシステムの隔離やアカウントの無効化などが盛り込まれた。
このほか、改正案には以下の例示が盛り込まれている。
- 複数のアカウント間での同一のユーザーID・パスワードの使い回しの原則禁止
- 外部ネットワークからのアクセス、管理者アクセス、重要な個人データへのアクセスに対する多要素認証（フィッシング耐性のある方式を含む）
- 指紋認証・静脈認証・顔認証
- 特権アカウントを保有する者や、使用する端末および場面の限定
- 従業者の異動や退職に伴うアクセス権限の変更
- 組織が許可し、かつセキュリティ基準を満たす端末からのアクセスへの限定
- クラウドサーバー上に保存された個人データの暗号化消去
同委員会によると、ログイン手順の増加は利用者の利便性を損ない管理者の費用負担も伴うため、多要素認証の対象をこれら3つの場面に限定した。また、すべての事業者にゼロトラストモデルの採用を求めるものではないとしている。
義務か例示か
同ガイドラインは、従わなかった場合に法違反と判断される可能性がある「講じなければならない措置」と、網羅的ではなくすべてを講じる必要もない「手法の例示」を区別している。同委員会は、監督権限の行使の要否等を検討する際、「講じなければならない措置」の項目に従うとしている。
概要資料では、今回の更新は「手法の例示」の追加等であり新たな規律を設けるものではないと説明されている。一方で解説資料では、不正アクセス等の検知の項目は「講じなければならない措置」として追加され、同委員会として過剰な負担ではないと判断したと記されている。このため、同項目は改正案の中で最も精読すべき部分となっている。
中小規模事業者（従業員100人以下、例外あり）向けには、ログ等の保管に関する例示を追加する。
スケジュールを前倒し
同委員会の当初のスケジュールでは、2026年12月ごろに意見募集を開始し、2027年2月ごろに改正事項を決定、同年4月に施行する予定だった。しかし、国民に広く普及し大量の個人情報を取り扱う事業者が外部から不正アクセスを受け、個人データの漏えいやそのおそれが生じた最近の事案を踏まえ、施行を可能な限り前倒しするとしている。
告示案では施行日を2027年としているが、月日は空欄となっている。また同委員会は、最終的な内容が案から変更される可能性があるとしており、意見は日本語に限り受け付ける。
事業者向けおよび行政機関等向けのマイナンバーガイドラインについても同様の改正案が示されているが、一部の項目は両者で異なる。