個人情報保護法の安全管理措置は機密性に偏っているか――情報セキュリティ３要素のバランスと報告義務の構造（AI作成）

第１　情報セキュリティ３要素と個人情報保護法上の安全管理措置

１　機密性・完全性・可用性という３要素

情報セキュリティの分野では，守るべき情報資産の状態を「機密性（Confidentiality）」，「完全性（Integrity）」及び「可用性（Availability）」という３つの要素に分けて説明することが多い。
機密性とは，許可された者だけが情報にアクセスできる状態をいい，完全性とは，情報が正確かつ完全な形で保たれている状態をいい，可用性とは，必要なときに情報を使用できる状態をいう。
この３要素は，情報漏えいのように機密性が損なわれる事態だけでなく，データが失われる可用性の侵害，又はデータが改ざんされる完全性の侵害という事態も等しく想定するものである。

本記事は，生成AIを用いて個人情報保護法及び関連する公的資料の条文・記載を照合した上で，日本の個人情報保護法制がこの３要素をどのように扱っているかを整理するものである。
結論を先取りすれば，個人情報保護法の条文そのものは機密性・完全性・可用性を対称的に扱っているのに対し，これを具体化する公式ガイドライン及び報告義務の運用は，実際には機密性側に重心が寄っているという構造上のねじれが存在する。

２　個人情報保護法２３条が定める安全管理措置

個人情報保護法（平成15年法律第57号）23条は，安全管理措置について次のとおり定める。
「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」
ここでいう漏えいは機密性の侵害に，滅失は可用性の侵害に，毀損は完全性の侵害に，それぞれ対応する。
条文の文言上，漏えい・滅失・毀損の３つは並列に規定されており，漏えい（機密性）を他の２つより重視する根拠は見当たらない。

なお，本条が求める措置の水準は一律ではない。
個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさや，事業の規模及び性質等に起因するリスクに応じて，必要かつ適切な内容とすべきものとされている。

漏えい・滅失・毀損という同じ三分類は，個人情報保護法に限らず，サイバーセキュリティ基本法（平成26年法律第104号）２条が「サイバーセキュリティ」を定義する際にも用いられている。
同条は，情報の漏えい・滅失・毀損の防止に必要な措置に加えて，情報システム及び情報通信ネットワークの安全性及び信頼性の確保に必要な措置が講じられている状態を「サイバーセキュリティ」と定義しており，機密性・完全性・可用性という３要素を横断的に扱う枠組みが，日本の立法慣行として複数の法律にまたがって採用されていることがうかがえる。

第２　個人情報保護委員会ガイドラインが示す具体的な措置の内容

１　安全管理措置の５類型

個人情報保護法23条は抽象的な義務を定めるにとどまるため，個人情報保護委員会（以下「委員会」という。）は，「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年個人情報保護委員会告示第6号。以下「通則編ガイドライン」という。）において，講ずべき安全管理措置の内容を具体化している。
通則編ガイドラインは，安全管理措置を，①組織的安全管理措置，②人的安全管理措置，③物理的安全管理措置，④技術的安全管理措置及び⑤外的環境の把握という５つの類型に整理する。
このうち①から③まで及び⑤は，責任者の設置，従業者への教育，取扱区域の管理，外国における制度の把握など，主に組織運営及び物理的管理に関する措置である。

２　技術的安全管理措置として必須とされる４項目

通則編ガイドラインが技術的安全管理措置として個人情報取扱事業者に必ず講じるよう求めるのは，次の４項目である。
①アクセス制御，②アクセス者の識別と認証，③外部からの不正アクセス等の防止，④情報システムの使用に伴う漏えい等の防止。
手法の例示として挙げられているのも，ユーザーIDによるアクセス権の限定，パスワード・ICカードによる識別認証，ファイアウォールやウイルス対策ソフトウェアの導入，通信の暗号化といった内容にとどまる。
これらはいずれも，権限のない者による情報へのアクセスをいかに防ぐかという，機密性に関わる措置である。
組織的・人的・物理的安全管理措置及び外的環境の把握を含めて通則編ガイドラインの別添全体を確認しても，バックアップの取得やデータの完全性を検証する仕組みを独立の必須項目として明示した記載は見当たらない。

もっとも，通則編ガイドライン自身が「適切な手法はこれらの例示の内容に限られない」と明記しているとおり，これは事業者が最低限講じるべき措置の例示にとどまり，事業者が独自にバックアップ体制等を強化することを妨げるものではない。
その限度を踏まえてもなお，個人情報保護法23条が漏えい・滅失・毀損を対称的に扱っているのに対し，これを具体化する公式ガイドラインの必須項目のレベルでは，可用性及び完全性への言及が手薄であるという構造は指摘できる。

第３　漏えい等報告義務における３要素の扱い

１　報告対象事態の４類型と機密性への傾き

個人情報保護法26条１項は，個人データの漏えい等が生じた場合に，一定の要件を満たすときは委員会への報告を義務付けている。
この要件は，個人情報保護法施行規則（平成28年個人情報保護委員会規則第3号）7条が定めており，次の４類型のいずれかに該当する場合に報告義務が生じる。

第1号から第3号までは，いずれも情報が第三者の目に触れる，又は第三者の不正な関与を伴うという，機密性侵害に本質的に紐づく要件である。
第3号の例としては，外部からの不正アクセスによる漏えいのほか，ランサムウェア等により個人データが暗号化され，復元できなくなった場合も挙げられている。
すなわち，データが使えなくなるという可用性侵害の典型例であるランサムウェア被害も，規制上は，加害者の不正な目的という要件を介して初めて報告義務の対象に組み込まれる仕組みになっている。
逆に言えば，第三者の不正な関与を伴わずに個人データが滅失又は毀損した場合，要配慮個人情報や財産的被害のおそれを伴わず，かつ本人の数が千人に達しないのであれば，この４類型のいずれにも該当せず，法的な報告義務の対象外となり得る。

２　ランサムウェア事案の位置づけと共通様式の新設

令和7年10月1日から，ランサムウェア事案については，関係省庁申し合わせに基づく共通様式を用いて報告することができるようになった。
これは，政府全体としてサイバー攻撃の被害報告を一元化する方針に沿ったものであり，ランサムウェアという可用性侵害型の脅威について，専用の報告実務が新たに必要とされるに至ったことを示している。

外部委託先で個人情報が漏えいした場合の報告・通知の具体的な手続及び期限については，別記事「外部委託先で個人情報が漏えいした場合の委託元の対応――報告，本人通知及び委託先監督」で詳述しているので，そちらを参照されたい。

第４　医療分野における先行的な対応

１　医療情報システムの安全管理に関するガイドラインが示す３要素

厚生労働省は，医療機関等が導入する情報システムについて，「医療情報システムの安全管理に関するガイドライン」（第7.0版，令和8年6月）を定めている。
同ガイドラインは，医療情報システムの安全管理に必要な要素として，「機密性（Confidentiality）」，「完全性（Integrity）」及び「可用性（Availability）」という国際標準の用語を明示的に採用し，医療機関等の特性を踏まえてこの３要素のバランスを取りながらリスクに対応することを求めている。
可用性については「情報システムが利用できなくなることや、利用目的に応じた適切な速度等での処理がなされないことで、医療情報の利用が妨げられうる」と説明され，完全性については「表示されるべき情報が欠落したり、不完全又は不正確な形で表示されたりすることなどが生じる」と説明されている。
一般の個人情報保護法制の運用と比べたとき，医療分野のガイドラインが機密性・完全性・可用性を対等な３要素として明示的に位置付けている点は特徴的である。

２　可用性・完全性に踏み込んだ対策

同ガイドラインは，災害，サイバー攻撃及びシステム障害等の非常時対応についても具体的な言及をしている。
公表された改定ポイントの資料では，ランサムウェア対策として書き換え不可能な形で複数のバックアップを取得すること，及びシステム障害からすぐに復旧できる体制を整え，長期のシステム停止を避けることが挙げられている。
医療情報が患者の生命及び身体の安全に直接影響し得るという特性に照らせば，このように可用性・完全性の確保に具体的に踏み込んだ内容になっていることには合理性がある。

弁護士・弁理士の資格を有し，情報処理安全確保支援士でもある足立昌聰弁護士（株式会社JMDC上級執行役員・最高データ保護責任者）は，2026年8月29日，Xにおいて，「医療情報の情報セキュリティの話をすると、皆、漏えいのような機密性の話ばかりするのだけれど、可用性と完全性の方が大事だからね。参照したいときに見られないと時間を失うし、改ざんされると最悪死ぬ。」と述べている。
これは，医療情報という高リスク分野の実務に携わる専門家個人の見解であって，法令又は公的ガイドラインが可用性・完全性の方が機密性より重要であると位置付けているわけではない。
もっとも，この指摘が示す実務上の体感は，第２及び第３で確認した一般的な個人情報保護法制の運用――公式ガイドラインの必須項目及び報告義務の要件がいずれも機密性側に厚いという構造――と方向性として整合するものである。

第５　実務上の留意点

１　安全管理措置を点検する際の視点

以上を踏まえると，個人情報保護法23条に基づく安全管理措置を整備する際には，通則編ガイドラインが例示するアクセス制御や不正アクセス防止といった機密性関連の措置を確認するだけでなく，次の観点を独立して点検することが有用である。
①個人データを保存するシステム又は媒体に障害が生じた場合に，どの範囲のデータをどの程度の期間で復旧できるか（可用性），②個人データが意図せず又は不正に書き換えられた場合に，これを検知する仕組みがあるか（完全性）。
通則編ガイドラインの必須項目に明記されていないことは，これらの対策を講じなくてよいことを意味しない。
23条は，漏えい・滅失・毀損の防止をいずれも「必要かつ適切な措置」として求めており，事業の規模及び性質，取り扱う個人データの内容に応じたリスク評価の結果として，バックアップ体制やデータの完全性検証の仕組みが必要と判断されるのであれば，これを整備することが23条の要求する水準に含まれると考えられる。

個人情報保護規程全体の見直しについては，別記事「令和８年改正個人情報保護法に基づき，民間企業の個人情報保護規程で対応が必要な事項」を参照されたい。

２　顧問先が医療機関等である場合

顧問先が医療機関，薬局又は医療情報システムを提供する事業者である場合には，個人情報保護法とは別に，厚生労働省の医療情報システムガイドライン第7.0版が求める水準を確認する必要がある。
同ガイドラインは，医療情報システムの導入，運用，利用，保守及び廃棄に関わるすべての者を対象としており，医療機関等の規模を問わず遵守が求められる。
ランサムウェア対策としての事業継続計画の策定については，同ガイドラインの公表元である厚生労働省のウェブサイトに，確認表及びひな形が公開されている。
ガイドラインは技術の進展に応じて随時改定されるため，具体的な対応を検討する際には，厚生労働省の公式ウェブサイトで最新版を確認する必要がある。

第６　出典・参考資料

１　法令

①個人情報の保護に関する法律（平成15年法律第57号）23条・26条（e-Gov法令検索）
②個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）7条（e-Gov法令検索）
③サイバーセキュリティ基本法（平成26年法律第104号）2条（e-Gov法令検索）

２　個人情報保護委員会の資料

①個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年個人情報保護委員会告示第6号，令和8年6月一部改正，個人情報保護委員会）
②漏えい等の対応とお役立ち資料（個人情報保護委員会）

３　厚生労働省の資料

①医療情報システムの安全管理に関するガイドライン第7.0版（概説編）（令和8年6月，厚生労働省）
②医療情報システムの安全管理に関するガイドライン第7.0版主な改定ポイント（概要）（厚生労働省）

４　その他

①足立昌聰弁護士（@MasatoshiAdachi）Xポスト（2026年8月29日）