情報漏洩とBCP～イメージと現場の実態のあいだで

2026年9月7日

サイバー攻撃のニュースでは、「個人情報漏洩」の有無が強調されることがあります。
二重脅迫型ランサムウェアの被害が発生した場合は、数万件、数十万件、ときには数百万件規模の情報流出が報道されることもあります。そのため、多くの人は「大規模サイバー攻撃≒大量の個人情報の漏えい」という印象を持っているかもしれません。

しかし、実際のプレスリリースや調査報告書を読むと、少し違った景色が見えてきます。
医療機関に限らず、多くの組織で発生している個人情報漏洩の中には、
　　•　書類の誤交付
　　•　USBメモリの紛失
　　•　Webサイトへの誤掲載
　　•　SNS投稿時の写り込み
といった、比較的身近な、日常業務の中で起こる事案も数多く存在します。現場で繰り返し起きているのは、高度なサイバー攻撃だけではありません。

むしろ日常業務の延長線上で発生するヒューマンエラーや運用上の問題の方が、はるかに多く見られ、USBメモリや外付けSSDの大容量化に伴い、1回の紛失でも20年前とは比べものにならないサイズの情報の漏えいを引き起こしかねないようになり、数万件単位の漏えいが起こり得るようにもなったのです。

このことは、私たちIT担当者にとって「ある」示唆を与えてくれます。

「気を付ける」だけでは事故は減らない

個人情報漏洩の再発防止策としてよく見かける言葉があります。
「職員への注意喚起を徹底する」 「再教育を実施する」
もちろん必要な取り組みです。
しかし現実には、同じタイプの事故が何年も繰り返されています。
なぜでしょうか。
それは、人間が不真面目だからではありません。
例えばUSBメモリの紛失を考えてみます。USBを持ち出した職員も、決して紛失しようと思っていたわけではありません。忙しい業務の中で、たまたま確認が抜けたり、いつもと違う行動を取ったりした結果として発生します。
Webサイトへの誤掲載も同様です。
ページの表示確認は実施していたものの、Excelの別シートやPDF内部に情報が残っていたために漏洩が発生するケースがあります。違うミスを防ごうとして慎重になった結果、ファイル名に詳細な名前（被写体のフルネーム）をつけてしまうことや、クリアな写真を掲載したくて、写り込んだ掲示物が読めてしまうこともあります。
つまり問題は、「注意力が足りなかった」だけではなく、「注意力に依存した仕組みになっていた」ことにあるのです。
実際、多くの事故を見ていると、
　　•　手順が昔のまま
　　•　確認方法が属人的
　　•　忙しいと省略できてしまう
という特徴が見えてきます。
だからこそ、近年の安全管理では「人に頑張らせる」よりも、「人が間違えにくい仕組みを作る」ことが重視になります。
これはセキュリティだけでなく、品質管理にも共通する考え方ではないでしょうか。

情報漏洩とBCPは同じ問題ではない

そして、もう一つ誤解されやすい点があります。
それが「個人情報漏洩」と「BCP」の関係です。
大きく報道されるサイバー攻撃事案を見ると、
　　•　情報が盗まれた
　　•　システムが停止した
　　•　業務が混乱した
といった出来事が同時に発生することが少なくありません。
そのため、私たちは無意識のうちにこれらを一つの問題として捉えがちです。
しかし、本来は別々に評価すべき問題です。
個人情報保護の観点で重要なのは、
「どの情報が漏れたのか」 「何人分なのか」 「本人への影響はどうか」
という点です。
一方、BCPで問われるのは、
「業務を継続できるか」 「顧客や患者、利用者の安全を守れるか」 、「製品やサービスの品質を維持できるのか」、「いつ復旧できるのか」という点になります。
例えば、数万件の要配慮個人情報を保存したUSBメモリを紛失した場合は重大な個人情報漏洩になり得ますが、通常は組織全体の業務停止には至りません。
逆に、ランサムウェアによって電子カルテが使用不能になれば、情報が漏れたかどうかの確認より先に、診療や業務をどう継続できるかが重要になります。

つまり、
「個人情報漏洩対応」と「BCP対応」は、どちらも重要だが見ているものが違う
ということです。
ニュースでは両者が一緒に語られることが多いため見えにくいのですが、実際の現場では別の判断軸があります。異なる部署が取り扱うことや、報告が必要な公的機関が異なることもあります。

たとえば、個人情報保護委員会は、漏洩した情報についての報告は求めますが、それによって生じた事業継続への影響の報告は義務付けていません（ただし、特記事項や再発防止策等の記載内容の自由度が高い欄に記載することは可能です）。業務の継続に影響する（重大なシステム障害を伴う）サイバー攻撃の場合は、監督官庁や各種ステークホルダーへの報告と調整が必要になります。情報漏洩も発生している場合は、その報告も、優先順位の考慮が求められることになります。

おわりに

個人情報漏洩というと、私たちはつい攻撃者や技術的な対策に目を向けがちです。
しかし実際には、多くの事故は日常業務の中で発生しています。そして、その再発防止策も「もっと注意する」ではなく、「どうすれば間違えにくくなるか」を考える方向に変化しています。そして、その中で、システムを活かす方法を探らなければなりません。

また、サイバー攻撃のニュースで大きく報道される事案の多くは、実際には「情報漏洩だけ」の問題ではありません。そこには業務停止やシステム障害が伴っていることが多く、その部分こそがBCPの議論の中心になります。

IT担当者としては、個人情報保護とBCPのどちらか一方だけを見るのではなく、それぞれが何を守ろうとしているのかを理解することが大切です。情報を守ることも重要です。しかし、その情報を使って行われている業務を止めないことは、時に、多くの人の安全にも関わるぐらい重要なのです。

「ITを守ることは目的ではありません。情報を支え、業務を支え、その先にいる人を支えることが目的です。ITも見なければならない。しかし、ITだけを見ていてはいけないのです。」

この一文で締めくくりたいと思います。

社会医療法人愛仁会　山田 夕子

「人見知りの勝手に情シス」から公認セキュリティ監査人補へ。激流に流されるように走り続けた結果、6000人規模の組織に新しいポジションまで作ってしまいました
サイバー攻撃対応を扱う机上演習の中の人。「人の判断」を支える仕組みづくりと、BCPの実践がライフワーク。
趣味は楽器演奏と古代史。夫が城と戦国時代を語り始めると長いのが悩み。

© PC・ネットワークの管理・活用を考える会