Blog

プライバシーマークも、大企業という看板も、安全の証明にはならない。本当に必要なセキュリティ対策とは？

  • Web制作全般

「プライバシーマークを取得しているので安心です」

「ISMS（ISO/IEC 27001）認証を取得し、セキュリティ管理を徹底しています」

「大手企業だから、セキュリティもしっかりしているはず」

こうした言葉を、私たちは企業の信頼性を判断する材料にしてきました。

しかし、近年相次ぐ大規模な情報漏えいやサイバー攻撃の被害を見ると、本当にそれでよいのかと疑問を感じます。

十分な資金や人材を持っているはずの大企業でも、深刻なセキュリティ事故が発生しています。

個人情報の適切な管理を評価する認証制度でさえ、その運用に関わるところで情報漏えいが発生しています。

さらに2026年には、インターネットインフラやセキュリティ関連事業を展開するGMOインターネットグループでも、複数のセキュリティ事案が公表されました。

これらの事例から考えるべきことは、単に「大企業でも事故は起きる」という話ではありません。

セキュリティ対策を実施していることと、実際に安全な状態が維持されていることは、まったく別の問題だということです。

では、企業に本当に必要なセキュリティ対策とは何なのでしょうか。

今回は、筆者自身が経験した出来事も交えながら考えてみたいと思います。

約9年間も気づかなかった。GMOで起きた情報漏えい

2026年、GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」で、顧客情報の漏えいが発生しました。

2026年10月30日に公表された調査結果によると、影響を受けたのは2,492社、45,030人に上ります。

問題となったのは、ファイルを保存するストレージの設計と設定でした。

本来、ロゴ画像などを配信するために公開していた保存領域に、顧客情報を含むファイルも保存されていたのです。

しかも、その保存領域ではファイルの一覧を外部から取得でき、個別のファイルにもアクセスできる状態になっていました。

この状態が始まったのは2017年11月頃。

外部からの取得が遮断されたのは2026年9月です。

約9年間にわたり、顧客情報を含むファイルが外部から取得できる状態にあったのです。

なお、実際に第三者が情報を取得したことをアクセス記録で確認できたのは2021年6月以降で、それ以前については記録が残っておらず、取得の有無を確認できないとされています。

この事例で特に注目したいのは、なぜこれほど長い期間、問題が発見されなかったのかという点です。

同社の発表によると、定期的なセキュリティ診断や侵入テストは実施されていました。

ところが、その対象はアプリケーションとサーバーであり、問題のあったストレージは診断の対象外だったのです。

そして、問題が発覚したきっかけは、外部のセキュリティ研究者からの報告でした。

つまり、セキュリティ診断を実施していても、調査対象から漏れていた場所に重大な問題が存在していたことになります。

「定期的にセキュリティ診断を実施しています」

そう説明されれば、多くの人は安心するかもしれません。

しかし、実際には何を診断しているのでしょうか。

何を確認していて、何を確認していないのでしょうか。

今回の事例は、セキュリティ診断を実施しているという事実だけでは、安全性を判断できないことを示しています。

なお、同社は問題発覚後に外部からの取得を遮断し、診断範囲の拡大や設定の監視強化などの再発防止策を公表しています。

参考：GMOトラスト・ログイン「お客様情報の漏えいに関するお詫びとお知らせ（第三報）」

GMOでは別のサービスでも不正アクセスが発生

さらに2026年10月には、GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」でも、不正アクセスが発生しました。

同社は、一部の顧客のサーバー環境に不正なプログラムが設置されたことを確認したと発表しています。

その後の調査では、サービスのシステムにセキュリティ上の問題が存在し、顧客情報が外部に持ち出された事実も確認されています。

2026年10月24日の公表では、一部の顧客から取引口座で身に覚えのない取引があったとの報告も寄せられていると説明しています。

もちろん、先ほどのGMOトラスト・ログインとは別の事案であり、両者の原因が共通していると確認されたわけではありません。

しかし、インターネットインフラを専門とする大企業グループでも、こうした問題が発生するという現実は、私たちが企業の安全性を判断するうえで考えるべき材料になるでしょう。

参考：GMOインターネット「お名前.com デスクトップクラウドへの不正アクセスに関するお知らせ」

参考：同社「サイバー攻撃について（第4報）」

プライバシーマークを審査する側でも情報漏えいが起きていた

もうひとつ、考えさせられる事例があります。

2023年、プライバシーマーク制度を運営するJIPDEC（日本情報経済社会推進協会）が、審査関連資料の情報漏えいについて公表しました。

審査業務に携わる審査員が、規程に違反して審査資料を個人所有の機器などに保管していたことが問題となりました。

調査の結果、最大888社の審査関連資料などが漏えいしたおそれがあるとされています。

さらに注目したいのは、JIPDECが公表した原因のひとつです。

同協会は、審査員が作業終了後に資料を廃棄しているという届出を信用し、実際には確認していなかったと説明しています。

つまり、ルールは存在していました。

資料を廃棄することも定められていました。

しかし、そのルールが実際に守られているかどうかは、確認されていなかったのです。

個人情報の適切な管理を審査する仕組みの中で起きた問題だからこそ、考えさせられます。

もちろん、この事例だけでプライバシーマーク制度全体が無意味だと断定することはできません。

しかし、認証や管理規程が存在することと、それが現場で正しく運用されていることは、必ずしも一致しないのです。

参考：JIPDEC「プライバシーマーク審査関連資料の漏えいについて（第2報）」

大企業なら安心、という考え方も通用しない

2024年にはKADOKAWAグループがランサムウェア攻撃を受け、サービス停止や個人情報の漏えいが発生しました。

2025年にはアサヒグループでも大規模なサイバー攻撃によるシステム障害が発生し、受注や出荷などの業務に深刻な影響が及びました。

アサヒグループが2026年2月に公表した調査結果では、攻撃者がネットワーク機器を経由して侵入し、複数のサーバーへ侵入していたことなどが明らかになっています。

どちらも、多くの人材と設備を抱える大企業です。

ただし、これらの事故の原因が、技術者からの警告を経営側が無視したことにあると確認されているわけではありません。

それぞれの事故原因は区別して考える必要があります。

それでも、企業の規模が大きければ安全だという考え方は、改める必要があるでしょう。

資金力があることと、適切な対策が実行されていることは別です。

専門の部署が存在することと、現場で発見された問題が解決されていることも別です。

では、なぜそのような違いが生まれるのでしょうか。

技術者が危険性を指摘しても、何年も放置される現実

筆者自身、過去にあるシステムについて、使用されているソフトウェアのバージョンが古く、すでにサポートも終了していたことから、システムの刷新を提言した経験があります。

サポートが終了したソフトウェアを使い続けることには、明確なリスクがあります。

新しい脆弱性が発見されても、開発元から修正プログラムが提供されない場合があるためです。

当然ながら、サポートが終了しているからといって、直ちに情報漏えいが発生するわけではありません。

しかし、問題が発見されたときに修正できない可能性がある環境を使い続けることは、それだけリスクを抱え続けることになります。

そのため、刷新の必要性を説明し、対応を提言しました。

ところが、その後も何年もの間、刷新されることなく放置されていました。

技術的な問題は把握されていました。

改善の必要性も伝えていました。

それでも、実際の対応にはつながらなかったのです。

もちろん、システムの刷新には費用も時間もかかります。業務への影響も考慮しなければなりません。

すべてのシステムを直ちに更新することが現実的ではない場合もあります。

しかし、それならば、どのようなリスクが残るのか、いつまでに対応するのか、それまでにどのような代替対策を講じるのかを判断する必要があります。

技術者が問題を発見し、改善を提言していても、組織が動かなければ何も変わりません。

この経験から、セキュリティは技術だけの問題ではなく、組織の意思決定の問題でもあると考えるようになりました。

大企業ほど、現場との距離が遠くなることもある

企業が大きくなるほど、経営層、情報システム部門、セキュリティ管理部門、監査部門、外部の開発会社や保守会社など、関係する組織も増えていきます。

それぞれの役割や責任が明確になることには意味があります。

しかし、組織が複雑になるほど、現場で発生している問題が意思決定者まで正しく伝わらなくなる可能性もあります。

たとえば、技術者が重大な問題を発見したとします。

ところが、改善には予算が必要です。システムを停止する必要があるかもしれません。

そのため、報告書を作成し、管理者に説明し、さらに上位の責任者の判断を待つことになります。

この過程で、技術的な問題の深刻さが十分に伝わらなかったらどうなるでしょうか。

「現在は問題なく動いている」

「これまで事故が起きていない」

「今すぐ対応する予算がない」

こうした理由で対応が先送りされる可能性があります。

しかし、正常に動いていることは、安全であることの証明にはなりません。

サポートが終了したソフトウェアでも、何年も正常に動き続けることはあります。

むしろ、見た目に問題がないため、改善の必要性が理解されにくいのです。

経営者には経営者の判断があり、技術者には技術者の視点があります。

どちらか一方だけでセキュリティを管理することはできません。

問題は、その間で情報が正しく共有され、必要な判断が行われているかどうかです。

本当に必要なセキュリティ対策とは？

ここまで紹介した事例を振り返ると、問題の性質はそれぞれ異なります。

GMOトラスト・ログインでは、定期的な診断を実施していたものの、問題のあるストレージが診断対象から漏れていました。

JIPDECの事例では、管理ルールが存在していても、実際に守られているかどうかの確認が不足していました。

筆者自身が経験した事例では、技術的な問題を把握し、改善を提言しても、実際の対応につながりませんでした。

これらを考えると、本当に必要なセキュリティ対策が見えてきます。

それは、認証や報告書の存在だけで安心せず、実際の状態を継続的に検証し、問題が見つかれば確実に改善する仕組みを持つことです。

そのためには、少なくとも次の4つが必要だと考えます。

1. 実態を正確に把握する

まず、自社のシステムが実際にどのような状態にあるのかを把握することです。

どのようなサーバーが存在しているのか。

何のソフトウェアが動いているのか。

サポートが終了しているものはないか。

外部に公開されているファイルやストレージは、どのような設定になっているのか。

誰が管理し、どの会社が運用を担当しているのか。

こうした情報を正確に把握できていなければ、そもそも何を守るべきなのかも分かりません。

特に重要なのは、把握しているつもりにならないことです。

管理台帳に記載されている内容と、実際に動いているシステムの状態が一致しているかまで確認する必要があります。

2. 問題を継続的に発見する

次に、問題を発見する仕組みが必要です。

脆弱性情報の監視、ソフトウェアの更新状況の確認、外部公開設定の点検、不正アクセスやファイル改ざんの監視などです。

ただし、診断を実施すれば十分というわけではありません。

今回のGMOの事例が示すように、診断対象から漏れている場所に問題が存在する可能性もあります。

そのため、何を確認し、何を確認していないのかを明確にする必要があります。

また、一度診断すれば終わりではありません。

システムは日々変更され、新しい脆弱性も発見されます。

昨日まで問題がなかったとしても、今日も安全であるとは限らないのです。

3. 発見した問題を放置させない

そして、私が最も重要だと考えているのが、この部分です。

どれだけ高度なセキュリティ診断を実施しても、発見された問題が放置されるのであれば、その効果は限定的です。

技術者が危険性を指摘した。

管理部門が報告を受けた。

しかし、予算や調整の都合で何年も改善されない。

これでは、問題を発見する仕組みだけが存在していて、実際のセキュリティ対策は進んでいません。

必要なのは、問題が発見されたときに、誰が対応を判断し、いつまでに改善するのかを決めることです。

すぐに改善できない場合には、代替対策を講じ、残るリスクを明確にしたうえで、責任者が判断しなければなりません。

対応が遅れている場合に、経営側がその状況を把握できる仕組みも必要でしょう。

技術者が問題を発見するだけでは不十分です。発見された問題が、確実に組織の意思決定につながることが必要なのです。

4. 改善されたことを実際に検証する

最後は、対策が本当に機能しているかを確認することです。

「対応しました」という報告だけで終わらせないことが重要です。

古いソフトウェアを更新したのであれば、実際に稼働しているバージョンを確認する。

外部からのアクセスを制限したのであれば、外部からアクセスできなくなっていることを確認する。

バックアップを取得しているのであれば、実際に復旧できるかを試す。

問題が解消されたことを、実際の設定やテスト結果などの根拠に基づいて確認する必要があります。

そして、同じ問題が再発しないよう、継続的に点検することも欠かせません。

対策を実施したという報告と、対策が有効に機能しているという事実は、同じではないのです。

セキュリティ対策の目的を見失ってはいけない

プライバシーマークやISMS（ISO/IEC 27001）認証を取得すること自体が悪いわけではありません。

適切に運用されていれば、企業の管理体制を整え、継続的な改善を促す有効な仕組みになります。

しかし、認証を取得することや、監査で問題を指摘されないことが目的になってしまえば、本来守るべきものが見えなくなる危険性があります。

私たちが守るべきなのは、認証マークでも監査の評価でもありません。

お客様から預かった個人情報であり、企業の大切な情報資産であり、事業を継続するためのシステムです。

そのためには、セキュリティ診断の実施件数や管理規程の数を増やすだけでは不十分です。

問題がないかを調べる。

問題が見つかったら改善する。

改善されたことを確認する。

この当たり前のことを、組織として継続できるかどうかが重要なのです。

そして、その仕組みを機能させるためには、経営者と現場の技術者が同じ問題を認識し、必要な判断を行える関係でなければなりません。

信用すべきなのは、看板ではなく実態

プライバシーマークを取得していることも、大企業であることも、企業を評価するうえでの参考情報にはなります。

しかし、それだけで安全だと判断することはできません。

どれほど立派なセキュリティ方針を掲げていても、実際の現場で危険な状態が放置されているのであれば、その方針は十分に機能していないことになります。

逆に、企業の規模が小さくても、システムの状態を正確に把握し、問題を継続的に発見して改善しているのであれば、評価すべき実態があります。

これから企業のセキュリティを評価する際には、認証の有無だけでなく、次のようなことを確認する必要があるのではないでしょうか。

「最後にセキュリティ診断を実施したのはいつですか？」

という質問だけでは不十分です。

「その診断では、どこまで確認しましたか？」

「何か問題は見つかりましたか？」

「見つかった問題は、その後どうなりましたか？」

「対応が完了したことを、何によって確認しましたか？」

そこまで確認して、初めて実際の安全性を評価するための材料がそろいます。

もちろん、どのような対策を行っても、すべての事故を防ぐことはできません。

だからこそ、日々の状態を把握し、問題を早期に発見し、必要な対策を講じ、万が一の際にも被害を抑えて復旧できる体制が必要になります。

本当に必要なセキュリティ対策とは、問題がないと信じるための仕組みではなく、問題を見つけ、放置せず、改善し続けるための仕組みなのです。

認証マークの有無や企業の規模ではなく、実際に何を確認し、何を改善しているのか。

これからは、そこを信用の基準にするべきではないでしょうか。

参考資料

一覧を見る
RELATED

RELATED POST

関連記事

Company

Company

会社概要

Blog

blog

ブログ

もっと見る
もっと見る