相次ぐ個人情報漏えい―ISMS更新審査を機に考えるクラウドとオンプレミスのリスク。「クラウドだから安全」「社内サーバだから安心」―その認識が企業を危険にさらす。
■ ISMS更新審査を終えて、改めて考える情報セキュリティ
2026年10月15日・16日の2日間、当社ではISMS（情報セキュリティマネジメントシステム）の更新審査が行われました。
ISMSとは、企業が保有する情報資産を適切に管理し、情報漏えい、不正アクセス、データの消失など、さまざまなリスクに対応するための仕組みです。
重要なのは、セキュリティ機器やシステムの導入状況だけを評価するものではないということです。
情報資産の把握、リスクの評価、管理体制の整備、社員教育、そして継続的な改善など、企業全体として情報セキュリティに取り組むことが求められます。
今回の更新審査は、情報セキュリティ対策のあり方について、改めて考える機会となりました。
そして、まさにこの時期、国内では大規模な個人情報漏えい事件が相次いで報じられていました。
飲食業、小売業、インターネットサービス事業者など、被害を受けた企業の業種はさまざまです。
その規模は数十万件から1,000万件を超えるものまであり、社会的にも大きな関心を集めています。
さらに、当社がISMSの更新審査を受けていた10月15日には、JPCERT/CCから、AIを利用したサイバー攻撃に関する調査結果が公表されました。
これらのニュースを見ていると、企業に求められる情報セキュリティ対策が、これまで以上に高度化していることを感じます。
では、なぜ今、これほど多くの個人情報漏えい事件が発生しているのでしょうか。
そして、企業はどのような対策を講じる必要があるのでしょうか。
今回は、最近のニュースを振り返りながら、企業の情報管理における「クラウド」と「オンプレミス」のリスクについて考えてみたいと思います。
■ 2026年10月、相次いで公表された個人情報漏えい事件
2026年10月に入り、複数の企業が不正アクセスによる個人情報漏えいを公表しています。
【10月5日】焼肉きんぐ：約1,079万件の個人情報漏えい
物語コーポレーションは、焼肉きんぐの公式アプリ会員管理システムが第三者による不正アクセスを受け、10,788,963件の会員情報が漏えいしたことを公表しました。
漏えいした情報には、会員番号、氏名（アプリ登録名）、メールアドレス、電話番号などが含まれています。
一方、ログインパスワードや店舗利用履歴などについては、漏えいしていないと説明されています。
【10月6日】ミスターマックス：最大約173万人の会員情報に影響
ミスターマックスでは、公式アプリとオンラインストアのサーバが不正アクセスを受け、会員情報の一部が外部に流出したことが公表されました。
影響対象は最大1,735,154人とされており、氏名、メールアドレス、電話番号などが対象となっています。
【10月6日】スカラコミュニケーションズ：外部サービス利用企業にも影響
FAQシステム「i-ask」への不正アクセスでは、最大5社の利用企業に関係する問い合わせ情報が漏えいした可能性があると公表されました。
対象となる情報は延べ最大713,126件で、実際の対象人数は調査中とされています。
外部事業者のシステムに発生した問題が、複数の利用企業に影響する可能性を示した事例です。
【10月14日】GMOリサーチ＆AI：約89万件の個人情報流出が判明
アンケートサイト「infoQ」では、不正アクセスによって89万4,082件の個人情報が外部に持ち出されたことが確認されました。
さらに、一部の会員ポイントが本人の意思によらず交換される被害も発生しています。
同社は、ソフトウェアの脆弱性を悪用した侵入が確認されたと説明しています。
これらは、2026年10月に公表された事案の一部にすぎません。
しかも、これらの事件を単純にランサムウェアによる被害として一括りにすることはできません。
Webシステムの脆弱性、アプリケーションの仕組み、認証やアクセス権限の不備など、さまざまな弱点が攻撃対象になっています。
企業が保有する個人情報は、もはや特定の攻撃だけに備えていれば守れるものではないのです。
■ なぜ個人情報漏えいが立て続けに発生しているのか？
今回の一連の事件で注目すべきなのは、被害の規模だけではありません。
攻撃の対象や手法にも変化が見られます。
セキュリティ企業マクニカが2026年10月7日に公表した分析によると、同社が一定の条件で抽出した国内Webシステムからの個人情報漏えい等の公表事案は、2024年が62件、2025年が84件、2026年は10月6日時点ですでに119件に達しています。
しかも、2026年の119件のうち81件が7月以降に公表されています。
この集計は国内すべての情報漏えい事件を対象としたものではありませんが、特定の類型の被害が短期間に集中している状況を示しています。
では、その背景には何があるのでしょうか。
① 攻撃対象が広がっている
従来、サイバー攻撃というと、大企業や金融機関など、価値の高い情報を保有する組織が狙われる印象がありました。
しかし、現在はインターネット上に公開されているWebシステムを広範囲に調査し、攻撃可能な弱点を探す手法が問題となっています。
企業の規模や知名度に関係なく、脆弱性があれば攻撃対象になる可能性があります。
顧客向けの会員サイトだけでなく、問い合わせフォーム、予約システム、社内向けの管理システムなども例外ではありません。
② アプリケーションの複雑化
企業が提供するサービスは、年々便利になっています。
スマートフォンから会員登録し、予約を行い、ポイントを管理するといったことも一般的になりました。
しかし、その裏側では複数のシステムが連携しています。
こうしたシステム間の情報連携に利用されるのが、APIと呼ばれる仕組みです。
APIそのものが危険なのではありません。
問題は、認証やアクセス制限などの設定が適切でない場合、本来アクセスできない情報が外部から取得される可能性があることです。
画面上では操作できない機能であっても、サーバ側の制限が不十分であれば安全とは限りません。
③ AIを利用したサイバー攻撃
今回、特に注目したいのがAIの悪用です。
2026年10月15日、JPCERT/CCは、攻撃者がAIを利用して既知の脆弱性を調査し、APIなどに対する攻撃を実施していたことを確認したと公表しました。
また、スマートフォンアプリを解析してAPIを特定し、攻撃を試みる活動についても報告しています。
AIは企業の生産性を高める有用な技術ですが、攻撃者も同じ技術を利用できます。
従来は専門知識や時間を必要としていた攻撃準備の一部が、AIによって効率化される可能性があります。
ただし、今回のすべての情報漏えい事件にAIが使用されたと確認されているわけではありません。
重要なのは、攻撃する側も新しい技術を活用し、手法を変化させているという点です。
④ 外部委託先を経由するリスク
企業の情報システムは、自社だけで管理しているとは限りません。
ホームページ、問い合わせシステム、顧客管理システムなどを外部事業者に委託しているケースも多くあります。
こうした委託先のシステムに問題が発生すれば、情報を預けている企業にも影響する可能性があります。
自社のネットワーク環境を適切に管理しているだけでは、十分な対策にならない場合があるのです。
⑤ 情報管理の複雑化
企業は、業務効率化のためにさまざまなITシステムを導入しています。
しかし、システムを追加するたびに、管理するアカウントやアクセス権限、保存されるデータも増えていきます。
その結果、情報の保存場所や管理責任者が曖昧になることがあります。
不要になった個人情報が長期間保存されていたり、退職者のアカウントが残されていたりする場合も考えられます。
情報システムが便利になる一方で、その管理体制が追いついていないことも、企業が抱える大きなリスクの一つなのです。
■ クラウドとオンプレミス、どちらが安全なのか？
ここからは、企業の情報管理方法について考えてみます。
企業が利用する情報システムは、大きく分けてクラウドとオンプレミスという形態に分類できます。
クラウドは、インターネットを通じて外部事業者が提供するシステムやサービスを利用する形態です。
一方、オンプレミスは、自社内やデータセンターなどにサーバを設置し、自社の管理下でシステムを運用する形態です。
どちらにもメリットとデメリットがあります。
クラウドでは、専門事業者が提供するシステム基盤を利用できるため、設備の維持管理などの負担を軽減できる場合があります。
一方、オンプレミスでは、情報の保存場所やネットワーク構成などを自社の方針に合わせて管理できます。
しかし、セキュリティという観点では、単純にどちらが安全とは判断できません。
クラウドだから安全でもなく、オンプレミスだから安心というわけでもないのです。
さらに、今回のようなWebシステムやAPIへの攻撃は、クラウドでもオンプレミスでも発生する可能性があります。
■ クラウド環境で必要なセキュリティ対策
クラウドサービスの利用では、サービス提供事業者と利用企業との間で、管理責任を分担することになります。
例えば、Microsoft 365のようなサービスでは、基盤部分の運用はサービス提供事業者が担いますが、利用者のアカウント管理やアクセス権限の設定などは、利用企業側の責任となります。
管理者が不在であったり、利用ルールが定められていなかったりすれば、安全性を十分に確保することはできません。
特に重要なのが、認証とアクセス権限の管理です。
多要素認証を導入し、パスワードが漏えいした場合でも不正ログインされにくい仕組みを整える必要があります。
また、利用者に必要以上の権限を付与しないことも重要です。
ファイル共有についても、外部公開が必要なのか、社内だけで利用するのかを明確にしなければなりません。
そして、クラウド事業者側で実施されるバックアップやデータ保護の範囲を確認し、必要に応じて利用企業側でも対策を講じる必要があります。
Webアプリケーションをクラウド上で構築している場合には、APIのアクセス制御や脆弱性対策も欠かせません。
クラウドサービスを導入したことと、クラウドを安全に運用できることは、まったく別の問題です。
■ オンプレミス環境で必要なセキュリティ対策
オンプレミスでは、サーバやネットワーク機器を自社または委託先で管理することになります。
そのため、機器の維持管理からセキュリティ更新まで、管理すべき範囲が広くなります。
特に注意が必要なのが、サーバOSや業務システムの脆弱性です。
Windows ServerやLinuxなどのOSだけでなく、Webサーバ、データベース、各種アプリケーションについても、適切な更新が必要になります。
また、外部との接続に利用するVPN機器やルーターについても、脆弱性対策が重要です。
社内ネットワークを保護するために、ファイアウォールやUTMなどを設置することは有効な対策の一つです。
しかし、UTMを設置したからといって、すべてのサイバー攻撃を防げるわけではありません。
Webシステム内部の不備やアクセス権限の問題などは、別途対策が必要になる場合があります。
さらに、ランサムウェアなどによる被害を想定し、バックアップデータを通常のネットワークから隔離して保管することも重要です。
ただし、バックアップは主にデータの復旧を目的としたものです。
情報が外部に持ち出された場合、バックアップから復元しても漏えいした事実がなくなるわけではありません。
したがって、オンプレミスでは、侵入防止、アクセス制御、監視、バックアップ、復旧対策などを組み合わせた多層的な防御が必要になります。
■ 本当に重要なのは「情報をどこに置くか」ではない
ここまでクラウドとオンプレミスのリスクについて説明してきました。
しかし、情報セキュリティ対策を考えるうえで、最も重要なのは何でしょうか。
それは、情報をどこに保存するかではなく、誰が、どのような責任体制で管理するのかということです。
例えば、クラウドサービスを導入しても、管理者が決まっていなければ適切な設定や点検は期待できません。
高性能なサーバやUTMを導入していても、ソフトウェアの更新や監視が行われていなければ、十分な効果は得られません。
また、NASにバックアップを取得していても、正常に復元できるかどうか確認していなければ、障害発生時に役立たない可能性があります。
情報セキュリティ対策は、製品を購入した時点で完成するものではありません。
むしろ、導入後の継続的な管理こそが重要なのです。
■ ISMSが求める継続的な管理と改善
今回、当社で実施されたISMSの更新審査にも通じる考え方があります。
それは、情報セキュリティを一時的な取り組みで終わらせないということです。
ISMSでは、情報資産に関するリスクを把握し、必要な管理策を実施し、その有効性を確認しながら改善を続けることが求められます。
つまり、セキュリティ対策を実施したという事実だけでなく、その対策が適切に機能しているかどうかを確認することが重要なのです。
当然ながら、ISMS認証を取得・維持していることが、すべての情報漏えいを防止できるという保証になるわけではありません。
しかし、組織として情報セキュリティに取り組み、管理体制を継続的に見直す仕組みを持つことには、大きな意味があります。
今回の一連の事件を見ても、攻撃手法は常に変化しています。
昨日まで問題なく利用できていたシステムが、今日も安全であるとは限りません。
だからこそ、日常的な点検と改善を続ける必要があるのです。
■ 中小企業が今すぐ取り組むべき5つの対策
2026年10月7日、個人情報保護委員会は、大規模な情報漏えい事案を踏まえた注意喚起を公表しました。
翌8日にはJPCERT/CCも、国内組織で相次ぐ不正アクセスに関する注意喚起を発表しています。
JPCERT/CCは、APIのアクセス制御、ソフトウェアの脆弱性対策、不正アクセスの検知、不要なデータの削除などを推奨しています。
これらを踏まえ、中小企業が優先して確認すべき項目を整理すると、次の5つになります。
① 情報資産の把握
顧客情報、従業員情報、取引情報などが、どこに保存されているのかを確認すること。
② アクセス権限の確認
誰がどの情報にアクセスできるのかを把握し、不要な権限やアカウントを整理すること。
③ システムの脆弱性対策
サーバ、パソコン、ネットワーク機器、業務システムなどの更新状況を確認すること。
④ バックアップと監視体制の整備
データを復元できる状態を維持するとともに、不正アクセスや異常な操作を早期に発見できる仕組みを整えること。
⑤ 管理責任者と対応手順の明確化
万が一、情報漏えいが発生した場合に、誰が対応し、どこへ報告するのかを決めておくこと。
特に重要なのは、管理責任者を明確にすることです。
専任のIT担当者がいない企業であっても、情報管理の責任そのものがなくなるわけではありません。
■ 情報セキュリティは経営課題である
情報セキュリティ対策というと、IT担当者やシステム管理者が行う仕事という印象があるかもしれません。
しかし、個人情報漏えいが発生した場合、その影響を受けるのはIT部門だけではありません。
顧客への説明、原因調査、システムの復旧、再発防止策の実施などには多くの費用と時間が必要になります。
さらに、取引先からの信用が低下すれば、将来の売上にも影響する可能性があります。
企業によっては、事業の継続そのものに重大な影響を及ぼすことも考えられます。
つまり、情報セキュリティは、ITの問題であると同時に経営の問題なのです。
もちろん、対策のために無制限に費用をかけられる企業はありません。
重要なのは、自社が抱えるリスクを把握し、その影響度に応じて必要な対策を選択することです。
高価なセキュリティ製品を導入することが、必ずしも最善とは限りません。
企業の規模、業務内容、保有する情報、管理体制などを考慮し、限られた予算の中で効果的な対策を講じることが求められます。
セキュリティ対策は、企業の利益を生み出すための直接的な投資ではないかもしれません。しかし、企業が積み重ねてきた利益と信用を失わないための重要な投資なのです。
■ おわりに――守るべきものはシステムではなく、企業の信用
2026年10月に相次いで公表された個人情報漏えい事件は、企業にとって情報セキュリティの重要性を改めて認識させる出来事となりました。
今回の一連の事件が示しているのは、企業の規模や業種に関係なく、さまざまな情報システムが攻撃対象になり得るという現実です。
そして、クラウドとオンプレミスのどちらを利用していても、適切な管理体制がなければリスクを十分に抑えることはできません。
当社では、パソコンやサーバ、ネットワーク機器などの導入支援に加え、IT定額保守パックを通じて、企業のIT環境を継続的に支える取り組みを行っています。
特に、専任のIT担当者を置くことが難しい中小企業にとって、外部の専門事業者によるサポートは、IT管理体制を整えるための有効な選択肢の一つと考えています。
ただし、外部へ委託すればすべてを任せてよいということではありません。
委託する業務の範囲や管理責任を明確にし、企業自身も情報セキュリティに取り組む必要があります。
今回のISMS更新審査、そして同じ時期に相次いだ個人情報漏えいのニュースを通じて、改めて感じることがあります。
それは、情報セキュリティに「これで終わり」という対策は存在しないということです。
技術が進歩すれば、新たな脅威も生まれます。
業務環境が変化すれば、新たなリスクも発生します。
だからこそ、企業は自社の情報管理体制を継続的に見直し、必要な対策を積み重ねていかなければなりません。
情報を守ることは、単にデータを守ることではありません。
顧客から預かった情報を守り、取引先との信頼関係を守り、企業の経営を守ることなのです。（T.S）
サンコー事務機株式会社
企業のICT環境構築・ネットワーク・セキュリティ対策・IT保守サポート
※本記事に記載した個人情報漏えい事案は、2026年10月21日時点の各社および関係機関の公表情報に基づいています。被害の原因や範囲については、今後の調査によって変更される可能性があります。
コメント
まだコメントはありません。