個人情報漏えい対策は外部委託先も重要｜実際の被害事例と企業が見直すべきリスク管理を解説

こんばんは！代表の安田です。

企業の個人情報漏えいが相次いで公表されています。

近年、企業の保有する個人情報は、自社のサーバーだけでなく、クラウドサービスや外部委託先のシステムにも保存されています。

そのため、個人情報漏えいのリスクは自社の情報システムだけにとどまりません。

外部委託先やクラウドサービスで不正アクセスが発生した場合、自社の個人情報が流出する可能性もあります。

2026年9月から10月にかけては、パーク24、物語コーポレーション、シチズン時計、東日本旅客鉄道（JR東日本）などが、個人情報の漏えいやその可能性について公表しました。

これらの事例から分かるのは、個人情報を外部のサービスに預けている場合でも、情報漏えいのリスクを十分に管理する必要があるということです。

また、サイバー攻撃を完全に防止することは容易ではありません。

したがって、企業には、不正アクセスを防ぐための対策だけでなく、万が一情報が漏えいした場合に被害をどこまで抑えられるかという観点で、リスクマネジメントを行うことが求められます。

本日は、最近の個人情報漏えい事例を紹介するとともに、外部委託先の管理、クラウドサービスの利用、情報の重要度に応じた管理方法などについて、公認会計士の視点から解説します。

個人情報漏えいの公表が相次ぐ｜2026年の主な事例

2026年9月下旬から10月にかけて、複数の上場企業が個人情報の漏えいやその可能性について公表しました。

今回の資料で紹介されている事例を整理すると、次のとおりです。

企業	公表日	対象規模	主な内容
パーク24	9月28日	約660万アカウント	連結子会社のWebシステムへの不正アクセス
物語コーポレーション	10月5日	約1,078万件	「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセス
シチズン時計	10月6日	約10万人分	業務委託先のサーバーへの不正アクセスによる漏えいの可能性
JR東日本	10月9日	最大約206万件	メール配信の外部サービスからの漏えいの可能性

企業によって個人情報の管理方法や漏えいした情報の種類は異なりますが、共通しているのは、多数の顧客・会員の個人情報が影響を受ける可能性があるという点です。

パーク24では約660万アカウントの個人情報漏えいを公表

パーク24は2026年9月28日、連結子会社のWebシステムが不正アクセスを受け、約660万アカウントの個人情報が漏えいしたと公表しました。

漏えいした情報には、氏名や生年月日だけでなく、運転免許証の画像も含まれているとされています。

運転免許証の画像には、本人確認に関係する重要な情報が含まれます。

そのため、氏名やメールアドレスだけが漏えいした場合と比較して、なりすましなどの二次被害につながるリスクについても慎重に検討する必要があります。

この事例から得られる教訓は、保有する個人情報の件数だけでなく、情報の種類や重要度によって漏えい時の影響が異なるということです。

物語コーポレーションでは約1,078万件の会員情報が流出

外食チェーンを展開する物語コーポレーションは、2026年10月5日、「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスにより、約1,078万件の会員情報が流出したと公表しました。

対象には氏名や電話番号などが含まれているとされています。

飲食店の会員アプリは、顧客との接点を増やすために重要な役割を果たします。

一方、会員数が増加すると、企業が管理する個人情報の件数も増加することになります。

そのため、サービスの利用者が増えるほど、情報漏えいが発生した場合の影響範囲も大きくなる可能性があります。

企業は、会員獲得数やアプリの利用率といった事業上の指標だけでなく、保有する個人情報を適切に管理できる体制が整っているかを確認する必要があります。

外部委託先からも個人情報が漏えいする可能性

今回の事例で特に注目したいのが、外部委託先や外部サービスを通じた情報漏えいです。

＜シチズン時計の事例＞

シチズン時計は2026年10月6日、問い合わせ受付業務で利用していた委託企業のサーバーへの不正アクセスにより、約10万人分の個人情報が漏えいした可能性があると公表しました。対象には氏名や住所などが含まれているとされています。

この事例では、直接問題となったのは自社のサーバーではなく、外部委託先のサーバーです。

＜JR東日本の事例＞

JR東日本は2026年10月9日、メール配信用の外部サービスから、会員のメールアドレスなどの個人情報が最大約206万件漏えいした可能性があると公表しました。

こちらも外部サービスを利用する際の情報管理が問題となる事例です。

自社システムと外部委託先のリスク

管理形態	主なリスク
自社サーバー	自社システムへの不正アクセス
クラウドサービス	クラウド上の情報への不正アクセス等
業務委託先	委託先の管理不備や不正アクセス
メール配信サービス	配信先情報の漏えい
顧客管理システム	大量の会員・顧客情報への影響

外部サービスの利用は業務効率化やコスト削減につながりますが、個人情報の管理に関するリスクを完全に排除できるわけではありません。

「クラウドに預けているから安全」とは限らない

クラウドサービスを利用すると、自社でサーバーを管理する必要がなくなり、運用負担を軽減できる場合があります。

また、専門事業者が提供するセキュリティ機能を利用できるという利点もあります。

しかし、クラウドサービスを利用していること自体が、個人情報の安全性を保証するわけではありません。

例えば、クラウドサービスの提供事業者が適切な対策を講じていたとしても、自社側の設定やアクセス権限に問題があれば、情報漏えいにつながる可能性があります。

また、外部サービスそのものが不正アクセスを受けるリスクもあります。

そのため、クラウドサービスを選定する場合には、利用料金や利便性だけでなく、情報の保護措置や事故発生時の対応内容も確認することが重要です。

情報漏えいの公表増加は、攻撃件数の急増と同じではない

最近、個人情報漏えいに関する公表が相次いでいます。

しかし、短期間に公表が集中したからといって、その期間にサイバー攻撃が急増したと断定できるわけではありません。

今回の資料では、サイバーセキュリティに詳しい神戸大学の森井昌克名誉教授が、この点について注意を促しています。

情報を盗み出すサイバー攻撃では、システムに目立った障害が発生せず、侵入に気付かない場合があります。

その結果、ほかの企業で発生した事故をきっかけとする点検や、後日実施された調査によって、以前から不正アクセスを受けていたことが判明するケースも考えられます。

また、複数の企業が同じ外部サービスを利用している場合には、各社が影響範囲を調査した後に個別に公表するため、公表時期が近くなることもあります。

したがって、個人情報漏えいが発生した時期と、企業がその事実を公表した時期は必ずしも一致しないことに注意が必要です。

サイバー攻撃を完全に防止することは難しい

サイバーセキュリティ対策では、不正アクセスを防ぐための技術的な対策が重要です。

しかし、サイバー攻撃の手法は変化しており、攻撃を完全に防ぐことは容易ではありません。

生成AIの普及などによって攻撃用プログラムの作成が容易になり、攻撃を行なうための技術的なハードルが下がっている可能性も指摘されています。

そのため、企業には不正アクセスを防止する対策だけでなく、侵入や情報漏えいが発生した場合に、被害を最小限に抑えるための対策が求められます。

この考え方は、企業のリスクマネジメントにおいて非常に重要です。

個人情報漏えい対策は「予防」と「被害の最小化」の両方が必要

企業の個人情報管理では、次の2つの観点を区別して考えることが有用です。

観点	目的	対策例
予防	不正アクセスや漏えいを起こりにくくする	アクセス権限の制限、認証の強化、システムの更新
被害の最小化	事故が発生した場合の影響を抑える	保存情報の削減、保管先の分散、事故対応手順の整備
復旧・再発防止	事故後の業務回復と管理体制の改善	原因調査、設定の見直し、管理方法の改善

例えば、不正アクセスを防止する仕組みが十分に整っていても、すべての顧客情報を1か所に集約している場合、重大な事故が発生した際の影響が大きくなる可能性があります。

反対に、不要な情報を保存しない運用としていれば、仮に情報が流出した場合でも、影響範囲を限定できる可能性があります。

重要なのは、「事故を防止できるか」だけでなく、「事故が発生した場合にどのような損害が生じるか」まで検討することです。

個人情報は重要度に応じて管理する

企業が保有する情報について、その重要度を踏まえて管理方法を検討することの重要性が指摘されています。

すべての情報に同じ管理方法を適用するのではなく、漏えいした場合の影響を考慮して保護措置を検討する考え方です。

例えば、次のように整理することが考えられます。

＜情報の重要度に応じた管理の例＞

情報の種類	想定されるリスク	管理上の検討事項
氏名・メールアドレス	不審なメールやなりすまし等への悪用	保存範囲、アクセス制限
住所・電話番号	不正な勧誘やプライバシー侵害	利用目的、保管先の管理
本人確認書類の画像	なりすまし等の二次被害	保存の必要性、厳格なアクセス管理
顧客の契約・取引情報	取引内容の流出、信用への影響	閲覧権限、委託先への提供範囲
事業継続に不可欠な機密情報	競争力や事業継続への重大な影響	保管方法、外部委託の適否

※上表は一般的なリスク管理上の例示です。個人情報の重要度は、情報の組み合わせ、件数、利用目的、漏えい時の影響などによって変わります。

例えば、運転免許証画像については、本人確認が完了した後も長期間保存する必要があるのかを検討することが考えられます。

必要性が低い情報を保存し続ければ、その分、漏えい時の影響が大きくなる可能性があるためです。

個人情報を外部委託する際に確認したいポイント

企業が業務を外部委託する際には、委託料金や業務効率だけでなく、情報漏えい時のリスクも考慮する必要があります。

例えば、顧客管理や問い合わせ受付を外部へ委託する場合、委託先にどの程度の個人情報を提供する必要があるのかを整理することが重要です。

また、外部サービスを選定する際には、セキュリティ対策の内容や、事故発生時の対応について確認する必要があります。

＜委託先選定・契約時の確認事項＞

確認項目	主な確認内容
提供する情報	業務に必要な範囲に限定されているか
情報の保管場所	どこで、どのように管理されるか
アクセス権限	誰が情報を閲覧・操作できるか
セキュリティ対策	情報保護のための措置が講じられているか
再委託	別の事業者への再委託の有無と管理方法
事故発生時の連絡	どのような場合に、いつ連絡されるか
事故対応	原因調査や被害拡大防止に協力してもらえるか
補償・責任分担	情報漏えい時の責任や補償に関する契約内容
契約終了時	情報の返却・削除方法

今回の資料でも、外部サービスを利用する場合には、情報の保護措置、事故発生時の対応、補償などを含む契約条件を理解する必要性が指摘されています。

企業では、委託先へ情報を預けた後も、その情報が適切に管理されているかを確認することが重要です。

コスト削減だけで外部委託を判断しない

外部委託やクラウドサービスの導入には、さまざまな経済的メリットがあります。

例えば、自社でサーバーや専門人材を確保する場合と比較して、外部サービスの利用によって運用コストを削減できる可能性があります。

しかし、コスト削減だけを理由に外部委託を進めることは、必ずしも適切ではありません。

重要な情報を外部へ預けることで、新たなリスクが生じる可能性があるためです。

＜外部委託の経済性を考える際の比較＞

項目	外部委託・クラウド利用	自社管理
初期投資	抑えられる場合がある	設備投資等が必要な場合がある
運用コスト	利用料・委託料等	人件費・設備維持費等
専門的なセキュリティ対策	事業者の対策を利用できる場合がある	自社で必要な体制を確保
情報への管理権限	契約・サービス仕様に左右される	自社で設計できる範囲が広い
外部事業者への依存	生じる	相対的に小さい
情報漏えいリスク	存在する	存在する

自社管理であれば必ず安全というわけではありません。

自社に十分な情報セキュリティの専門人材がいない場合には、専門事業者のサービスを利用した方が適切な場合もあります。

重要なのは、情報の重要度、管理コスト、漏えい時の影響を総合的に比較して判断することです。

特に事業の存続に重大な影響を与える情報については、コストをかけて自社で管理することも含めて検討する必要があります。

個人情報漏えいは企業経営にどのような影響を与える？

個人情報漏えいが発生すると、企業にはさまざまな影響が生じる可能性があります。

公認会計士の視点から見ると、個人情報漏えいは単なる情報システム部門の問題ではなく、経営管理や財務面のリスクにも関係します。

例えば、次のような影響が考えられます。

リスク	企業への影響例
事故対応費用	原因調査、システム復旧、外部専門家への支払い
顧客対応	問い合わせ対応、通知等の費用
損害賠償	具体的な事情に応じた賠償請求等
信用低下	顧客離れ、取引関係への影響
業務停止	システム停止による売上や業務への影響
財務報告	損失・引当金・偶発債務等の検討が必要となる場合

上表は、情報漏えい事故が発生した場合の一般的な検討事項です。今回の4社でこれらの費用や損失が実際に発生したことを示すものではありません。

特に、多数の個人情報を保有している企業では、事故が発生した場合の調査や顧客対応に多大な時間や費用を要する可能性があります。

したがって、情報セキュリティ対策については、日常の運用コストだけでなく、事故発生時の潜在的な損害も考慮して判断することが重要です。

情報漏えい発生時の初動対応も事前に決めておく

情報漏えいを防止するための対策だけでなく、事故発生時に迅速に対応できる体制も重要です。

例えば、従業員が不審なアクセスに気付いた場合、誰に報告するのかが決まっていなければ、対応が遅れる可能性があります。

また、外部委託先で問題が発生した場合、委託元の企業が必要な情報を迅速に受け取れるかも重要です。

実務上は、次のような対応手順をあらかじめ整理しておくことが考えられます。

段階	主な対応
① 事象の把握	不正アクセスや漏えいの疑いを確認
② 被害拡大防止	必要に応じてアクセス制限等を実施
③ 影響範囲の調査	対象情報の種類・件数・保管先等を確認
④ 社内外の連携	経営陣、関係部署、委託先、専門家と情報を共有
⑤ 必要な報告・通知	法令等に基づく報告や本人への通知の要否を確認
⑥ 再発防止	原因に応じて管理体制を改善

これは一般的な初動対応の整理例です。具体的な報告・通知の義務や期限については、個人情報保護法等の適用関係や事案の内容に応じて確認する必要があります。

個人情報のリスク管理は経営者が関与すべき課題

個人情報漏えいへの対策は、情報システム担当者だけで完結するものではありません。

例えば、企業がどの情報を自社で保有し、どの情報を外部委託するかという判断は、経営上の重要な意思決定です。

また、重要な情報について追加のセキュリティ投資を行うかどうかも、経営資源の配分に関係します。

そのため、経営者は少なくとも、自社がどのような重要情報を保有し、どの事業者へ預け、漏えいした場合にどの程度の影響が生じるかを把握しておくことが望まれます。

これは、企業全体のリスクマネジメントや内部統制の一部として考えるべき事項です。

企業が確認したい個人情報管理チェックリスト

確認事項	チェック
自社が保有する個人情報の種類を把握している	□
個人情報を保存しているシステムを一覧化している	□
外部委託先・クラウドサービスを把握している	□
委託先へ提供する情報を必要な範囲に限定している	□
情報の重要度に応じた管理方法を設定している	□
不要な個人情報を長期間保存していないか確認した	□
外部サービスのセキュリティ対策を確認した	□
委託先の事故対応・補償条件を確認した	□
不正アクセス時の連絡体制を整備している	□
情報漏えい時の影響範囲を調査できる	□
経営者が重要情報の管理状況を把握している	□
情報漏えいによる損害を考慮して管理方法を判断している	□

まとめ

2026年9月下旬から10月にかけて、複数の上場企業が個人情報の漏えいやその可能性を公表しました。

今回の事例から分かるのは、個人情報漏えいのリスクが自社の情報システムだけでなく、外部委託先やクラウドサービスにも存在するということです。

特に重要なのは、サイバー攻撃を完全に防止することだけを目標とせず、万が一情報漏えいが発生した場合の被害を最小限に抑える仕組みを整えることです。

企業では、保有する個人情報の種類や重要度を把握したうえで、どの情報を外部に預けるのか、どのような保護措置を求めるのかを検討する必要があります。

また、外部委託やクラウドサービスの利用については、コスト削減効果だけでなく、漏えい時の損害や契約上の補償内容なども考慮して判断することが重要です。

個人情報管理は、情報システム部門だけの仕事ではありません。

企業の信用や事業継続にも関係する経営上のリスクとして、経営者が関与し、全社的なリスクマネジメントの仕組みを構築することが求められます。

今後、企業が個人情報の管理体制を見直す際には、外部サービスの利便性や価格だけではなく、情報の重要度に応じた管理方法と事故発生時の対応体制を、改めて確認しておくことが望まれます。

神戸での起業や開業に関するご相談、確定申告にお困りの方、顧問税理士をお探しの方は安田亮公認会計士・税理士事務所までお問い合わせください！

【この記事の執筆者】

安田 亮（公認会計士・税理士）

安田亮公認会計士・税理士事務所 代表

京都大学経済学部在学中に公認会計士試験に合格。有限責任 あずさ監査法人、株式会社神戸製鋼所での実務経験を経て、2018年に神戸市で独立。

現在は、中小企業から上場企業に対する税務顧問、決算支援、税効果会計、連結決算、新リース会計基準への対応、組織再編、補助金・助成金に関する支援などを行なっています。また、金融機関や大手企業が運営する税務・会計・経営分野のWebメディアにおいて、記事の執筆・監修にも携わっています。

事務所ブログでは、税制改正や会計基準、経営実務に関する情報を、専門用語をできるだけかみ砕き、経営者や経理担当者の方に役立つ形で解説しています。