【解説】個人情報保護委が安全管理の改正案を前倒し
管理画面の多要素認証を点検
個人情報保護委員会は2026年10月28日の第374回委員会で、個人情報保護法ガイドライン（通則編）にある安全管理措置の「手法の例示」を見直す改正案を審議し、10月29日から11月27日まで意見募集（パブリックコメント）を行っています。9月の段階では「11月に審議、12月に意見募集、2027年4月に施行」という予定でしたが、大規模な漏えいが相次いでいることを受けて、1か月ほど早く手続きに入りました。会員情報や配送先を扱うEC事業者にとって、「どこまで対策していれば十分か」の目安が新しくなる話です。
何が変わる？
ガイドラインの別添にある「手法の例示」は、2016年の策定以来大きく変わっていませんでした。委員会が9月に示した方向性と、10月7日の注意喚起の内容をあわせると、次のような手法が例として加わる見込みです。
- ID・パスワード：同じIDとパスワードの使い回しを原則としてしない。推測されにくいパスワードを求め、ログイン失敗が続いたらアカウントを止める
- 多要素認証：社外からのアクセス、管理者権限でのアクセス、重要なデータへのアクセスには多要素認証を使う（フィッシングに強い方式を含む）
- 権限の最小化：管理者アカウントや、使える担当者・端末を必要最小限にする。異動や退職、委託先の交代があればすぐに権限を見直す
- アクセスごとの判断（ゼロトラスト）：社内外を問わず、場所・時間・端末の状態などを見てアクセスを許可するかを決める考え方を取り入れる
- 侵入されたあとの備え：ログを一定期間残して確認する。侵害のおそれがあるシステムの切り離しやアカウントの無効化など、被害を広げない手順を用意する
- クラウドの扱い：クラウドサービス上の個人データについても、技術的な対策の例を明確にする
新旧対照表では、記録の対象を「利用状況等」に広げることや、対策ソフトの導入に加えて不正なソフトウェアがないかを確認することも書き加えられています。施行日は、意見募集の結果を踏まえて決まります。
EC事業者への影響
「手法の例示」は、そのとおりにすることが義務づけられた一覧ではありません。ただ、漏えいが起きたときに安全管理措置が十分だったかを考える目安として参照されるものです。委員会の集計では、2026年4月から10月16日までに報告された不正アクセスによる漏えいは延べ約2億6,000万人分にのぼり、10月に入って報告が急増しています。規模の小さいショップでも、次の点は確認しておくと安心です。
- ShopifyなどSaaS型のカートを使う店舗：サーバーの管理はカート側が担いますが、管理画面のアカウントは店舗の責任です。スタッフ全員の二段階認証、退職者や外注先のアカウント削除、アプリに与えている権限が主な点検先になります（参考：Shopifyのセキュリティ設定）
- EC-CUBEやWordPressなど自社でサーバーを運用する店舗：ログの保管、不正なファイルの確認、脆弱性の更新まで自社の範囲です（参考：WordPressのセキュリティ対策と保守）
- 外部ツールと連携している店舗：10月7日の注意喚起では、APIの棚卸しや、会員IDを推測されにくい値にすること、短時間の大量アクセスを止める仕組みにも触れています。CRMや配送、LINE連携など、つないでいるツールの把握が出発点です
- 古い会員データを持ち続けている店舗：使う目的がなくなった個人データは遅滞なく消すよう努めることも求められています。退会者や長く購入のない会員のデータの扱いを決めておくと、万一のときの影響を小さくできます
今やるべきこと
- カートの管理画面、決済・配送・メール配信などの管理アカウントを一覧にし、全員に多要素認証を設定する
- 共有アカウントやパスワードの使い回しをやめ、退職者・外注先の不要なアカウントを削除する
- 連携しているアプリや外部ツールを洗い出し、使っていないものの連携を外す
- 保存している会員・注文データのうち、保管する理由がなくなったものの扱いを社内で決める
- 意見募集の資料に目を通し、自社の対策と例示の差を把握しておく（意見の提出は11月27日まで）
相談先が必要な場合は、経産省の中小企業向けサイバー相談窓口も使えます。
