情報漏洩防止チェックリスト｜IPA10大脅威を踏まえたAIガバナンス体制の作り方【2026年版】

自社の情報漏洩対策は、①IPA「情報セキュリティ10大脅威2026」の上位脅威に対応できているか②委託先・サプライチェーンの監査ができているか③生成AI利用のガバナンス体制があるかの3点を1枚のチェックリストで確認すると抜け漏れがわかります。個人情報保護委員会の2024年度年次報告では漏えい等報告が過去最多の1万9,056件（前年度比57%増）に達し、2025年は損保ジャパン約1,748万件・ソフトバンク委託先約13.7万件など、サプライチェーン経由の大規模漏洩が相次ぎました。本記事では、これらの一次データを根拠に、AI活用企業が今すぐ実施すべき情報漏洩防止チェックリストと、IPA10大脅威を踏まえた社内ガバナンス体制の作り方を具体的に解説します。

この記事の要点（直接回答）

• 自社が確認すべきチェック項目：①ランサム・サプライチェーン攻撃への多層防御②委託先のセキュリティ監査体制③生成AI利用ガイドラインの整備④誤送信・誤送付を防ぐシステム制御⑤クラウドのアクセス権限管理⑥内部不正を検知するログ監視⑦継続的なセキュリティ教育
• 根拠となる脅威データ（IPA「情報セキュリティ10大脅威2026」組織編）：1位ランサム攻撃（11年連続）、2位サプライチェーン・委託先攻撃（8年連続）、3位AIの利用をめぐるサイバーリスク（初選出）
• 発生件数：個人情報保護委員会への漏えい等報告は2024年度に1万9,056件（前年度比57%増）で過去最多更新。自社直接事案の83.5%が誤交付・誤送付・誤廃棄、委託先経由事案の62.8%が不正アクセス
• 2025年の教訓事例：損保ジャパン約1,748万件・ソフトバンク委託先約13.7万件など、契約だけでは防げない委託先管理の課題が顕在化
• AI活用企業に特有の論点：生成AIへの機密情報入力・シャドーAI・出力の未検証利用という新しいガバナンス課題への対応

情報漏洩防止チェックリスト｜自社の体制を7項目で確認する

情報漏洩対策は「外部攻撃の多層防御」「委託先・サプライチェーンの管理」「生成AI利用のガバナンス」「人的ミス・内部不正の抑止」という4系統に整理すると、自社の抜け漏れが見つけやすくなります。まずは以下の7項目で現状を自己診断してください。

このチェックリストの根拠となっているのが、IPA・個人情報保護委員会・東京商工リサーチという3つの一次データです。次章から、それぞれのデータが「なぜこの項目が必要か」をどう裏付けているかを解説します。

① IPA「情報セキュリティ10大脅威2026」組織編（脅威の社会的影響）

IPA（独立行政法人情報処理推進機構）は2026年1月29日に「情報セキュリティ10大脅威2026」を発表し、組織編ではランサム攻撃とサプライチェーン攻撃が上位2位を継続しました（出典：IPA プレス発表「情報セキュリティ10大脅威2026」を決定（2026年1月29日））。

3位の「AIの利用をめぐるサイバーリスク」は2026年版で初めて選出され、AIへの不十分な理解に起因する意図しない情報漏えい、AIが生成した結果を検証せずに用いる問題、AIの悪用によるサイバー攻撃の容易化などが含まれます（出典：IPA「情報セキュリティ10大脅威2026」解説書 組織編）。IPAは「順位は危険度ではなく、選考会参加者が社会的影響が大きいと判断したもの」と注記しており、自社の業態・AI活用度合いに合わせてチェックリストの優先順位を再構築することが実務上のポイントです。

② 個人情報保護委員会「令和6年度年次報告」（実発生件数と原因構造）

個人情報保護委員会の2024年度（令和6年度）年次報告では、個人データの漏えい等事案について処理件数が1万9,056件となり、前年度の1万2,120件から57%増加して過去最多を更新しました（出典：個人情報保護委員会 令和6年度年次報告）。

**「自社直接の漏えいはヒューマンエラー、委託先経由の漏えいは不正アクセスが主因」**という構造が令和6年度年次報告で明確に数字化された点が重要です。つまり、自社の内部統制だけを固めても、委託先管理が甘ければ漏洩リスクは残ります。チェックリスト項目2（委託先監査）と項目4（誤送信対策）は、どちらも欠かせない両輪です。

③ 東京商工リサーチ「2024年 上場企業の個人情報漏えい・紛失事故」（公表事故の原因内訳）

東京商工リサーチが2025年1月に発表した調査によると、2024年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は189件（前年比8.0%増）で過去最多、漏えい人数は1,586万5,611人分でした（出典：TSRデータインサイト 2024年上場企業の「個人情報漏えい・紛失」事故）。

「公表に至る重大事故」の6割超は外部からのサイバー攻撃である一方、**「届出全体（個情委）」の自社直接事案は誤交付・誤送付・誤廃棄が83.5%**という構造です。被害規模はサイバー攻撃が圧倒的に大きく、発生件数の多さでは人的ミスが上回ります。チェックリストで両方をカバーしているのはこのためです。

2025年の教訓事例｜委託先管理を怠るとどうなるか

IPA組織編2位（サプライチェーン攻撃）と個情委の「委託先経由の不正アクセス62.8%」が現実に起きたのが、2025年の主要漏洩インシデントです。チェックリスト項目2（委託先監査）を具体的に設計する材料として、社名・件数・経路を整理します。

損害保険ジャパン｜約1,748万件（2025年4月不正アクセス・6月公表）

損害保険ジャパンは、同社のWebサブシステムへの不正アクセスにより、最大約1,748万件の顧客情報が外部に漏えいした可能性があると2025年6月11日に公表しました。フォレンジック調査では、2025年4月17日〜21日の5日間、外部からの侵入者が顧客情報にアクセス可能な状態にあったことが判明しています（出典：損害保険ジャパン「当社システムに対する不正アクセスの発生及び情報漏えいの可能性について」（一覧））。さらに同月、委託先のランサムウェア被害に伴う追加漏えい（約7.5万件）も別途公表されています（出典：損保ジャパン「当社委託先におけるランサムウェア被害に伴う情報漏えいのおそれについて」（2025年5月））。

ソフトバンク｜約13.7万件（業務委託先UFジャパン経由・2025年6月公表）

ソフトバンクは2025年6月11日、業務委託先である株式会社UFジャパンから最大約13万7,156件の個人情報が流出した可能性があると公表しました。協力会社を退職した元従業員が2024年12月にUFジャパンの事業所に不正に立ち入り、USBメモリを情報端末に接続して個人情報を持ち出した可能性が監視カメラの映像で確認されています（出典：DataClasys「ソフトバンク、業務委託先から顧客情報14万件流出」）。**「契約書に条項を入れるだけでは委託先の物理セキュリティを担保できない」**という典型ケースであり、定期監査の実施までがチェックリストの本来の意味です。

駿河屋.JP｜カード情報30,431件（2025年7〜8月Webスキミング）

中古品ECの駿河屋.JPでは、監視ツールの脆弱性を突いた不正アクセスにより決済ページ用JavaScriptが改ざんされ、クレジットカード情報30,431件および付随する顧客情報29,932名分が漏洩した可能性があると2025年12月に最終公表しました（出典：駿河屋「第三者不正アクセスに関するフォレンジック調査完了および判明事項についてのお知らせ」）。

IIJ（インターネットイニシアティブ）｜メールサービス不正アクセス（金融業に2次被害）

IIJのメールサービスへの不正アクセスは、特に金融業界に2次被害を引き起こし、トレンドマイクロの2025年上半期レポートでは「金融業の不正アクセス被害22件のうち9件がIIJメールサービス事案の2次被害」と整理されています（出典：トレンドマイクロ「2025年上半期の国内セキュリティインシデントを振り返る」）。1つのSaaS事業者の侵害が業界横断で連鎖する現代のサプライチェーンリスクの象徴であり、委託先だけでなく「委託先が使っているSaaS」まで視野に入れた監査が必要になっています。

AI活用企業のためのガバナンス体制の作り方｜3ステップ

生成AIを業務に取り入れている企業は、チェックリスト項目3（AI利用ガイドライン）を単独のルールとしてではなく、社内ガバナンス体制の一部として設計する必要があります。IPA組織編3位「AIの利用をめぐるサイバーリスク」は初選出ながら、既に多くの企業が直面している課題です。

ステップ1：入力禁止情報の線引きと法人契約への切り替え

まず、生成AIに入力してよい情報・いけない情報を明文化します。顧客の個人情報、未公開の財務情報、取引先の機密情報は原則入力禁止とし、業務で生成AIを使う全社員に共有します。あわせて、個人向けプランではなく法人向けプラン（Claude for Work、ChatGPT Enterpriseなど）へ切り替え、「入力データを学習に使わない」契約条件を確認してください。Claudeを法人利用する際の確認ポイントはClaudeは安全に使える？法人が確認すべきデータ・学習ポリシーとセキュリティ要点【2026年版】で詳しく解説しています。

ステップ2：シャドーAIの検知と利用実態の可視化

ガイドラインを作っても、社員が無断で個人アカウントの生成AIを業務利用する「シャドーAI」が残っていては意味がありません。ネットワークログやSaaS利用状況の可視化ツールで、承認外のAIサービスへのアクセスを定期的に棚卸しします。シャドーAIの具体的なリスクと対策はシャドーAIとは？法人で起きる情報漏洩リスクと対策5ステップ、私物端末・個人クラウドを含めた広義のシャドーITはシャドーITのリスクと情報漏洩事件を防ぐ対策ガイドを参照してください。

ステップ3：AI出力の検証プロセスとエージェント運用の統制

IPAが指摘する「AIが生成した結果を検証せずに用いる問題」を防ぐには、AIの出力を人が確認してから業務に反映するヒューマン・イン・ザ・ループの運用ルールを設けます。特に、AIエージェントに実行権限を持たせる場合は、自律度に応じた段階的な統制が必要です。エージェントの権限設計は【Gartner提言】AIエージェントのガバナンスは4段階で設計する｜観察・助言・実行・自律で統制を変える、本番運用時の監査ログ・可観測性の設計はAIエージェントの本番運用ガイド｜監査ログ・可観測性・ヒューマンインザループで安全に統制する【2026年版】で解説しています。AI事業者ガイドラインを踏まえた組織全体の倫理・ガバナンス整備は【2026年版】企業が直面するAI倫理の問題点とは？AI倫理ガイドライン策定の3ステップ、外部からのプロンプトインジェクション等の技術的脅威への備えはプロンプトインジェクション対策とは？OWASP LLM01に学ぶ法人向け生成AIセキュリティ6つの要点を参照してください。

残る4項目の実装方法｜ヒューマンエラーと内部不正への対応

チェックリストの残り4項目（1・4・5・6・7）を具体的に実装する方法を解説します。ヒューマンエラー（誤送信・紛失・設定ミス）は教育とシステム制御で再発を抑えられますが、内部不正（金銭目的・組織不満による持ち出し）は権限管理とログ監視が不可欠で、対策アプローチが大きく異なります。

項目1：ランサム攻撃への多層防御

ランサム攻撃は11年連続でIPA組織編1位の脅威です。アンチウイルスソフトだけでなく、**EDR（Endpoint Detection and Response）**で端末の不審な挙動を監視し、多要素認証（MFA）を全社員に必須化します。さらにオフラインバックアップを3-2-1ルール（3つの複製、2種類のメディア、1つは隔離保管）で構築し、感染後にも復旧可能な状態を維持してください。

項目4：誤送信・誤送付を防ぐシステム制御

個情委の令和6年度報告で自社直接の漏えい原因の83.5%が誤交付・誤送付・誤廃棄です。教育だけでは防ぎきれないため、外部宛メール送信時の確認ポップアップ、一定時間の送信保留、添付ファイルの自動暗号化（PPAP代替のクラウド共有リンク）を組み込みます。重要データの送信には上長承認ワークフローを必須化し、システムの力でミスを未然に防ぎましょう。

項目5：クラウドのアクセス権限管理

クラウドストレージの公開範囲ミスは、近年の漏えい事故の急増要因です。アクセス権限の最小化（Need-to-Knowの原則）を徹底し、業務に必要なフォルダのみアクセス権を付与します。デフォルト共有設定は「非公開」とし、外部共有時に管理者承認を必須とする運用を整備してください。委託先には自社の権限管理基準を契約書で明示し、定期棚卸しの結果を提出させることが有効です。

項目6：内部不正を検知するログ監視

退職予定者や不満を持つ従業員による持ち出しは、IPA組織編7位の脅威です。ソフトバンク委託先UFジャパン事案のように、退職後の物理的なアクセスや、在職中のUSB等記録媒体の利用が典型的な経路です。誰が、いつ、どのデータにアクセスしたかを追跡できる操作ログ監視を導入し、深夜の大量ダウンロードや業務無関係ファイルへのアクセスといった異常挙動をSIEMなどで早期検知します。退職予定者には事前に権限を縮小し、退職日には物理鍵・入退館権限も同日中に剥奪する運用が有効です。

項目7：継続的なセキュリティ教育

システムの導入と並行して、運用する人間のリテラシーを高め続ける必要があります。単発の研修ではなく、過去のインシデント事例の共有と、標的型メール訓練を四半期ごとに実施します。生成AI時代は「AIに何を入力していいか」も判断軸として組み込みましょう。IPAは中小企業向けに無料の標的型メール演習教材を公開しており、コスト負担なしで実施できます。

よくある質問（FAQ）

Q. 情報漏洩対策のチェックリストで最初に着手すべき項目はどれですか？

A. 自社のリスク構造によりますが、まずは**IPA組織編1〜3位に対応する3項目（ランサム対策・委託先監査・生成AIガイドライン）**を優先することをおすすめします。特に委託先経由の漏えいは個情委調査で不正アクセスが62.8%を占めており、契約書の見直しと定期監査は着手コストの割に効果が大きい対策です。

Q. 情報漏洩の件数は実際どれくらいありますか？

A. 個人情報保護委員会の令和6年度（2024年度）年次報告では漏えい等報告の処理件数が1万9,056件（うち委員会への直接報告14,198件、委任先省庁経由4,858件）で、前年度1万2,120件から57%増、過去最多を更新しました。上場企業に絞った東京商工リサーチ調査では189件・1,586万5,611人分（2024年・前年比8.0%増）です。

Q. 2025年に起きた大規模な情報漏洩事例は？

A. 損害保険ジャパンで最大約1,748万件（2025年4月不正アクセス・6月公表）、ソフトバンクで業務委託先UFジャパン経由の約13万7,156件（2025年6月公表）、駿河屋.JPでクレジットカード情報30,431件（2025年7〜8月、Webスキミング）など、サプライチェーン経由の大規模漏洩が相次ぎました。詳細は本文「2025年の教訓事例」を参照してください。

Q. 生成AIの利用ガイドラインには何を盛り込むべきですか？

A. 最低限、①入力禁止情報の線引き②法人向けプランへの契約切り替え③シャドーAIの検知・棚卸し④AI出力を人が検証してから業務に反映するルールの4点を盛り込みます。AIエージェントに実行権限を持たせる場合は、自律度に応じた段階的な権限設計も必要です。

Q. 情報漏洩が起きてしまった場合の最初の対応は？

A. インシデントを認知した直後に、被害の拡大を防ぐ「初動対応」が最優先です。ネットワークからの該当端末の切断、サービスの一時停止を行い、速やかに情報システム部門やCSIRTへ報告してください。改正個人情報保護法により、漏えい等が発生した場合は個人情報保護委員会への報告と本人への通知が義務化されています（出典：個人情報保護委員会 漏えい等の対応とお役立ち資料）。

まとめ｜チェックリストを起点に自社のガバナンス体制を点検する

情報漏洩対策は、IPA・個人情報保護委員会・東京商工リサーチという3つの一次データと、2025年に実際に起きた大規模事例を根拠に、自社の体制を7項目でチェックすることから始まります。

• 外部攻撃の多層防御：ランサム・サプライチェーン・AIサイバーリスクへのEDR・MFA・委託先監査
• 委託先・サプライチェーンの監査：Pマーク・ISMSの確認、契約条項の明記、定期監査の実施
• 生成AI利用のガバナンス：入力禁止情報の線引き、法人契約、シャドーAI検知、出力検証ルール
• 人的ミス・内部不正の抑止：誤送信防止システム、クラウド権限最小化、操作ログ監視、継続教育

情報漏洩対策は一度行えば完了するものではありません。IPAや個人情報保護委員会の最新情報を毎年キャッチアップし、システムと人の両面から社内ガバナンスを強化して、安全な事業運営を目指してください。

---

主な出典（一次ソース）

• 情報セキュリティ10大脅威2026 / IPA（2026年1月29日発表）
• プレス発表「情報セキュリティ10大脅威2026」を決定 / IPA
• 情報セキュリティ10大脅威2026 解説書 組織編 / IPA
• 令和6年度個人情報保護委員会 年次報告
• 漏えい等の対応とお役立ち資料 / 個人情報保護委員会
• 2024年上場企業の「個人情報漏えい・紛失」事故 / 東京商工リサーチ（2025年1月発表）
• 損害保険ジャパン 不正アクセス発生及び情報漏えい可能性のお知らせ（一覧）
• 損害保険ジャパン 委託先におけるランサムウェア被害に伴う情報漏えいのおそれ
• 駿河屋 第三者不正アクセスに関するフォレンジック調査完了および判明事項
• トレンドマイクロ「2025年上半期の国内セキュリティインシデントを振り返る」