情報漏洩媒体のリスク分析：統計と事例から見る管理体制の盲点

情報漏洩対策では、どの媒体（紙・電子・可搬記録媒体など）から事故が起きやすいのかを先に押さえないと、自社の管理体制の「抜け」が見えにくくなります。媒体別の特徴を棚卸しせずに運用を続けると、誤送信や誤公開、紛失といった再発しやすい事故が繰り返され、規模次第では「本人の数が1,000人を超える」漏えい等として報告・本人通知の判断が必要になる場面もあり得ます。媒体ごとの起点（保存・伝送・持ち出し）を切り分けることで、どこから優先的に点検し、誰が何を管理すべきかを決めやすくなります。以下では、情報漏洩の判断材料として媒体別のリスク特性と優先度の付け方を示します。

情報漏洩における「媒体」の基本

情報漏洩の「媒体」とは何か

情報漏洩における媒体とは、個人情報・機密情報が「どこに記録され」「どの経路で外部へ移動し得るか」を特定するための、物理的・電子的な入れ物（保存先）および伝送手段の総称です。媒体を押さえないと、漏えい等（漏えい・滅失・毀損）の発生点と拡散経路が定まらず、原因分析や再発防止策が空回りします。

参照メモのとおり、紛失は「情報機器のみならず、カバンを丸ごと紛失することで紙の資料も合わせて紛失」「名刺入れを紛失して個人情報を束で紛失」など複合媒体で発生し得ます。このため、媒体は「保存場所」だけでなく、事故の起点を切り分ける実務概念として整理します。

媒体別リスクに着目する重要性

同じ個人データでも、媒体により起こり得る事故原因（不正アクセス・誤公開・誤送信・紛失・盗難・内部持ち出し）が変わるため、媒体別のリスク特性に着目して安全管理措置を設計する必要があります。参照メモでも、内部不正や過失による漏洩、外出先業務、シャドーIT、SNS経由の事故など、発生場面が媒体と強く結びつく形で整理されています。

したがって、リスク評価では「情報の重要度」だけでなく「媒体ごとの事故の起き方」を前提に、技術統制（設定・認証・ログ）と運用統制（持ち出し・廃棄・教育）を組み合わせます。

統計から見る情報漏洩媒体の実態

媒体別の情報漏洩件数と割合

媒体別の件数・割合を把握する際は、自社の「事故が起きやすい媒体」を特定する目的で、媒体の分類を固定して集計することが実務上有効です。一方で、参照メモには「紙が6割強」「電子が3割強」等の比率の根拠となる一次資料名・URLが示されていないため、本記事では数値の断定は避け、媒体別に事故が集中しやすい傾向を整理します。

特にクラウドは、参照メモのとおり「サービス側の問題ではなく利用者側のセキュリティの問題」によって漏えい等が生じ得る点を前提に、定期的な監査（設定点検）を組み込みます。

情報漏洩・紛失事故の年次推移

年次推移を見る意義は、「増減の印象」ではなく、報告・公表・監督対応が必要となる事故類型が、自社の媒体構成（クラウド化、リモートワーク、BYOD等）に伴い変化していないかを点検することにあります。参照メモでは、紛失事故が定番であり、公共交通機関での置き忘れ（電車・バス・飛行機の網棚）、タクシーでの置き忘れ、飲酒後のカバン紛失、海外出張での紛失（日本より発見困難）など、発生場面が繰り返し現れることが示されています。

このようなタグで自社インシデントを分類していくと、年次推移を「媒体別の弱点の推移」として読み替えやすくなります。

件数が少なくても優先度を上げるべき媒体はどれか：1件あたり漏洩人数で見る判断基準

優先度付けでは、件数だけでなく「1件で影響が大きくなり得る媒体」を別枠で扱います。参照メモでは、報告対象事態の一つとして「本人の数が1,000人を超える個人データの漏えい等」が挙げられており（個人情報保護法26条、施行規則7条の枠組み）、規模が一定以上になると監督対応・本人通知が不可避になり得ます（個人情報保護法第26条）。

また「おそれ」の判断は、個情法GL（通則編）で「その時点で判明している事実関係からして、漏えい等が疑われるものの確証がない場合」と説明され、個別事案ごとに蓋然性で判断するとされています。したがって、媒体の防御状況（暗号化の有無、アクセスログの有無等）を平時から把握しておくことが、優先度付けと初動判断の双方で効いてきます。

主要な電子媒体の漏洩リスクと対策

社内システム・サーバーからのデータ漏洩

社内システム・サーバーは、ひとたび侵害されると大量の個人データや営業秘密に波及しやすく、対策の中核になります。参照メモでも「アクセス可能なファイルサーバ等の情報を盗取することができる」方法として、USB/SD等の物理デバイスへの保存が挙げられており、サーバー側のアクセス権限・監査が弱いと内部者の持ち出しに直結します。

サーバー防衛は「外部侵入」だけでなく「内部からの流出」を同じ設計図で扱い、誰が・いつ・何にアクセスしたかを追跡できる状態を作ることが重要です。

クラウドサービスのセキュリティリスク

クラウドは、参照メモのとおり「サービス側のセキュリティの問題ではなく、利用者側のセキュリティの問題」により漏えい等が生じることがあります。典型は、クラウドストレージの公開権限ミスにより、機密情報が公開情報としてネット上から広く閲覧・ダウンロードできてしまうケースです。

対策は、設定標準（テンプレート）と監査をセットにし、例外的な共有をした場合も検知できる運用（定期棚卸し、アラート、承認フロー）に落とし込みます。

メール・チャットによる情報誤送信

メール・チャットは、送信が容易である反面、誤送信・誤共有が事故として顕在化しやすい媒体です。参照メモでは、メール送受信において従来型プロトコル（SMTP、POP、IMAP）が使われている場合に「通信傍受のリスク」が生じ得る点が指摘されています。したがって、誤送信対策（宛先・添付）に加え、通信経路の安全性も同時に点検します。

媒体が「伝送」である点を踏まえ、送信行為と設定（転送・外部共有）を分けて管理するのが実務的です。

社内システムとクラウドのどちらを先に点検すべきか：認証・公開設定・委託有無で分ける見直し順

優先順位は「外部に露出し得る設定があるか」「認証が適切か」「委託先が関与し管理主体が増えていないか」で決めると、点検漏れが減ります。参照メモが示すとおり、クラウドは公開権限ミス一つで「第三者が閲覧・ダウンロードできる」状態が発生し得るため、公開範囲の点検を早期に行う合理性があります。

この順番で進めると、外部露出リスク（クラウド）と内部流出リスク（社内サーバー）を分けて短期間で可視化できます。

物理媒体・モバイル端末の漏洩リスク

可搬記録媒体の紛失・盗難リスク

USBメモリやSDカード等の可搬記録媒体は、少ない操作でデータを持ち出せる一方、紛失・盗難により漏えい等に直結しやすい媒体です。参照メモでも「USBメモリやSDカード等、物理的なデバイスへの保存」は最も簡単な方法として挙げられ、ファイルサーバ等からの盗取・持ち出し経路になり得ることが示されています。

対策は、原則禁止と例外管理をセットにし、例外時は暗号化やログ取得など「紛失しても直ちに読めない・追える」状態に寄せます。

紙媒体による情報漏洩の実態

紙媒体は、参照メモが示す「カバンを丸ごと紛失して紙の資料も合わせて紛失」「名刺入れを紛失して個人情報を束で紛失」のとおり、紛失事故の一部としても頻繁に登場します。紙はアクセスログが残らず、複製も容易なため、発見が遅れやすい点が弱点です。

紙の対策は、保管（施錠）・持ち出し（最小化）・廃棄（確実化）を「誰がやるか」まで定め、紛失が起きる場面（移動・外出・飲食）を前提にルール化します。

モバイル端末からの不正アクセス・紛失

スマホ・タブレット等のモバイル端末は、外出先での業務と結びつき、紛失・覗き見・不正アクセスのリスクが同時に上がります。参照メモでは、端末対策として生体認証/パスコードが挙げられ、「紛失しても直ちにアクセスできなければ情報漏洩リスクを大幅に下げられる」「ロック解除が面倒などの理由で端末ロックを解除するのはやめるべき」と具体的に示されています。

端末の紛失は「物理事故」ですが、クラウド同期やメール認証と結びつくと「認証情報の侵害」に連鎖します。したがって、端末そのもののロックと、外部ネットワーク利用ルールをセットで運用します。

USB・紙・スマホの持ち出し管理でつまずく会社の共通点：申請制だけでは防げない運用漏れ

持ち出し管理は申請制だけでは形骸化しやすく、媒体の性質上「実際に持ち出されたか」「暗号化されていたか」「外出先でどのネットワークを使ったか」まで追えないと事故を止められません。参照メモでも、外出先のフリーWi-Fi利用への対策として「利用禁止ルール（http環境での情報入力禁止、IDパスワードの入力禁止）」、代替策として「ポケットWi-Fi・テザリングデバイス貸与」「SIM内蔵型PCの貸与」など、運用と技術を組み合わせる必要性が示されています。

ここまで落とし込むと、申請書の有無に依存せず、外出先・移動中の事故を減らす統制として機能します。

媒体と情報漏洩原因の関係性

サイバー攻撃と媒体の関係

サイバー攻撃は、インターネットに接続された媒体（サーバー、クラウド、メール、アカウント）を起点に成立しますが、参照メモが示すように「攻撃者グループのリークされた情報」など、攻撃者側の情報流通も事故拡大の一因になり得ます。したがって、媒体は「保存」だけでなく「侵入点（認証情報、通信経路、公開設定）」として捉えます。

このため、ゼロトラスト等の思想を採用する場合でも、まずは「媒体ごとの侵入点」を列挙して潰す設計が実務的です。

ヒューマンエラーによる情報漏洩

ヒューマンエラーは、媒体の扱いが簡単なほど起きやすく、メール誤送信、クラウド誤公開、紛失などとして表面化します。参照メモでは、業務メールをGmailやYahoo!メール等の個人メールに転送する行為が危険であり、特に「転送機能を利用して全てのメールを自動転送」している場合は危険性が高いとされています。これは媒体（メール）に「意図しない外部複製」を生むためです。

対策は教育だけでなく、設定監査・技術制御（転送制限、共有の標準化、ネットワーク利用ルール）で「ミスが起きる前提」を織り込みます。

内部不正によるデータ持ち出し

内部不正は、正規のアクセス権限が前提となるため、媒体の管理（権限・ログ・持ち出し経路）が弱いと発見が遅れます。参照メモには「退職社員の情報漏洩」「従業員による情報持ち出しによる漏えい等」が報告対象事態の例として挙げられており、不正目的の疑いがある漏えい等は、報告要否判断にも直結します（個人情報保護法第26条）。

「退職予定者」などリスクが上がる局面では、媒体横断で権限見直しと持ち出し経路の遮断を同時に実施します。

媒体別対策の実務と事故発生時の対応

業種・業務別の情報漏洩媒体リスク

業種・業務により媒体構成が異なるため、共通フレームで自社の「事故が起きる場面」を当てはめて点検することが現実的です。参照メモは、外出先業務、シャドーIT、退職社員、SNS経由などの場面を列挙しており、業種を問わず起こり得る「業務状況起点」の分類として使えます。

このように、業種名ではなく「業務の形」を基準に媒体リスクを置くと、部門横断で対策優先度をそろえやすくなります。

媒体別セキュリティ対策の優先順位

優先順位は、(1)外部公開・外部到達性、(2)不正目的の関与可能性、(3)紛失の起こりやすさ、(4)検知可能性（ログ有無）で決めると実装しやすくなります。参照メモには、CIS Controlsの考え方として、企業をIG1・IG2・IG3の3段階（実装グループ）に分類し、まずIG1、それからIG2、IG3へ広げるイメージで優先順位をつける方法が示されています。

この枠組みを用いると、「まずクラウド公開設定とメール転送・プロトコル、次に端末・外出先、次に内部不正監視」のように媒体別の優先順位を、社内の成熟度に応じて段階化できます。

漏洩・紛失事故発生時の初動と報告義務

個人データの漏えい等が発生した場合、一定の条件を満たすと個人情報保護委員会への報告および本人への通知が必要です（個人情報保護法第26条）。参照メモでは、報告対象事態として少なくとも次が整理されています（同法施行規則7条の枠組み）。

また、参照メモの「図表1-3」では、報告・本人通知で整理すべき事項が具体化されています。

初動では、媒体に応じて「隔離・停止・回収・保全」を即時に行い、並行して報告対象事態に該当するか（または「おそれ」か）を法務・情シスで評価できる体制を作っておく必要があります。

媒体別管理台帳を誰がいつ更新するか：情シス・総務・法務・現場の役割分担

媒体別管理台帳は「誰が管理しているか分からない媒体」をなくすための実務ツールです。参照メモでも、ネットワークプリンタや監視カメラ等を誰が管理しているのか（情シスか総務か外部委託か）が曖昧だと、担当者が将来構想から日々のメンテナンスまで振り回される、といった問題意識が示されています。

更新タイミングは、媒体の追加・設定変更・委託開始/変更・人の異動/退職と連動させ、部門間で共同更新する運用にします。

個人情報保護法の報告対象か迷う場面の線引き：漏洩した媒体、情報の性質、閲覧可能性で整理する

報告要否は、媒体・情報の性質・閲覧可能性を軸に整理し、参照メモの「報告対象事態（図表1-2）」に照らして判断します（個人情報保護法第26条）。また参照メモでは、(※1)として「高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じた場合は該当しない（2から4について同じ）」とされており、媒体側の防御措置が線引きに直結します。

参照メモの例では、ダイレクトメール送付リストに1,500人分の個人データが含まれているため「本人の数が1,000人を超える」に該当し、個人情報保護委員会への報告および本人への通知が義務付けられる、と整理されています。迷う場面ほど、媒体の状態（暗号化・アクセス制御・公開設定）を台帳・ログで即座に確認できる体制が実務上の決め手になります。

まとめ：情報漏洩媒体への対応で次にすべきこと

媒体別の見直しは、「どこに保存され、どの経路で外部に出るか」を棚卸しし、クラウドの公開権限ミスやメールの誤送信、USB・紙・端末の紛失といった起点ごとに統制を当てるのが要点です。判断の軸は、件数だけでなく1件あたりの影響規模も含め、特に「本人の数が1,000人を超える」漏えい等に発展し得る媒体（クラウドストレージやファイルサーバ等）を別枠で優先することです。次アクションとして、クラウドの共有・URLリンク設定、メールの転送設定とSMTP/POP/IMAPの利用状況、持ち出し媒体（USB・紙・スマホ）の例外運用と暗号化・端末ロックの実装を、情シス・総務・法務・現場で役割分担しながら台帳に落とし込みます。事故時は媒体に応じた隔離・回収・保全と並行して、個人情報保護法第26条の報告対象事態（おそれを含む）に該当するかを、判明事実に基づき評価できる体制が重要です。個別事案の線引きや報告要否は状況により変わるため、迷う場合は法務・情シスの連携や専門家への相談を前提に運用設計を行ってください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ