実際に起きていたこと

人的ミスだけで91%を占めます。サイバー攻撃による漏えいは272件中わずか5件（1.8%）でした。1件あたりの規模も中央値83人と小さく、大量流出型ではありません。委託先が絡む事案は45件（16.5%）。

代表的な事案

• 個人情報を含むPCを電車内に置き忘れ（埼玉県／8万件・データは暗号化済み）
• 選挙人名簿照合用データを含むメディア5枚を紛失（狛江市／69,244人）
• 窓口で公開している台帳図面に個人情報が含まれていた（長野県／49,660人）

優先すべきこと

• メールの宛先確認と一斉送信の運用——最多の原因です。BCC徹底、一定人数以上は上長確認、送信前の一時保留などの仕組み化が直接効きます。
• 紙・USB・PCの持ち出しルール——2位が紛失。「暗号化してあったか」で被害の大きさが変わります。埼玉県の事例が暗号化済みだった点は重要です。
• 公開前の目視チェック——サイト掲載や窓口公開の図面・台帳に個人情報が混ざる事故が繰り返し起きています。
• ウイルス対策やファイアウォールの強化は、この統計上は優先度が低いと言えます（ただし後述の限界も読んでください）。

実際に起きていたこと

攻撃（不正アクセス＋ランサムウェア）が37.5%。自治体の1.8%とは正反対の構図です。1件あたりの規模も中央値1,341人と、自治体（83人）の約16倍。委託先が絡む事案は54件（23.8%）で、4件に1件近くが自社の外で起きています。

代表的な事案

• ゲーム利用者の内部識別子を広告ツールへ外部送信（LINEヤフー／710万件・氏名や住所ではなく識別子）
• Cisco製品のゼロデイ脆弱性を突かれた（国内スパム対策サービス／約357万件）
• 複数のECサイトから顧客情報が流出（ユニバーサルミュージック／約310万件）

優先すべきこと

• 外向きの機器・サービスのパッチ適用——上位事案はゼロデイを含む脆弱性の悪用です。VPN、メールゲートウェイ、EC基盤など「インターネットに面しているもの」から。
• 委託先の管理——23.8%が委託絡み。個人データの取扱いを委託する場合、委託元には個人情報保護法第25条による監督義務があります。契約書だけでなく、実際の取扱い状況の確認まで。
• それでも最多は誤操作（31.7%）——攻撃対策に集中して、メール誤送信や設定ミスの手順を放置しないでください。両方必要です。
• ランサムウェアに備えるなら インシデント対応プレイブック をどうぞ。

実際に起きていたこと

8つの組織種別のなかで、「紛失・誤廃棄」が1位になるのは医療・介護だけです。しかも中身に強い共通点があり、廃棄した端末と、持ち出したUSBメモリにほぼ集約されます。内部不正の比率（13.2%）が全体平均（5.4%）の2倍を超えている点も、この分野の特徴です。

代表的な事案

• 廃棄端末の内蔵HDDが外部に流通、内部に患者情報（北海道医療センター／176万件）
• 医療機器保守用VPN経由でランサム攻撃を受けデータベースを窃取（日本医科大学武蔵小杉病院／13万人）
• 廃棄PCや内蔵SSDが所在不明（JR仙台病院／6,639人）、患者情報を含むUSBメモリの紛失（複数病院）

優先すべきこと

• 廃棄する端末の処理を、記録が残る形にする——最大規模の事案が「廃棄したはずのHDDが市場に出回った」でした。物理破壊の証明書まで受け取る運用に。
• USBメモリの持ち出し——紛失事案の常連です。暗号化必須にするか、そもそも持ち出させない方式へ。
• 保守ベンダーの接続経路——医療機器の保守用VPNが侵入口になった事例があります。常時接続を切り、必要時だけ開ける運用に。
• 閲覧ログの確認——内部不正の比率が高い分野です。カルテの閲覧記録を「誰も見ていない」状態にしないこと。

実際に起きていたこと

誤操作が60%と、8種別で最も高い比率です。学生名簿や成績情報のメール誤送信が中心。一方で委託先が絡む事案は30件中1件（3.3%）と最も低く、外注より内製で回っている実態がうかがえます。件数は少ないものの、攻撃を受けたときの規模は大きくなります。

代表的な事案

• スパム対策機器へのゼロデイ攻撃からディレクトリサーバへ横展開（慶応大／222,508件）
• 元職員が個人情報を掲示板に投稿、システム設定にも不備（津田塾大／22,444人）

優先すべきこと

• 学生・保護者への一斉送信の手順——最多の原因です。宛先の自動チェックや送信保留を仕組みに組み込むこと。
• 退職・卒業時のアカウント停止——元職員による事案が起きています。人の出入りが多い組織ほど、ここが穴になります。
• 認証基盤への横展開を止める——1台の機器が破られたあと、ディレクトリサーバまで到達された事例があります。入口対策だけでなく、内部で広がらせない設計を。

13件の内訳：紛失・誤廃棄9件／誤操作・設定ミス3件／不正アクセス1件。件数は少ないものの、紙と物理メディアの紛失に偏っているのが目を引きます。印鑑届やディスクといった、金融機関特有の保管物が失われていました。

一方で、規模が突出したのは唯一の不正アクセス事案でした。「件数は少ないが、当たると桁が違う」という構図がはっきり出ています。

実際の事案

• 契約者サイトなどから顧客約438万人の個人情報が流出（アフラック生命保険／不正アクセス）
• 27店舗で印鑑届の紛失が判明、誤廃棄の可能性（豊川信用金庫／13,640件）
• 顧客取引データを保存したディスク2枚が所在不明（西村証券／4,104人）

示唆されること

• 紙・物理メディアの保管台帳——「いつ・どこに・何があるか」が分からないと、紛失に気づくのも遅れます。
• 顧客サイトの防御——件数は1件でも、規模は438万人。ネット銀行のセキュリティ比較もあわせてどうぞ。

12件の内訳：誤操作・設定ミス9件／ランサムウェア1件／不正アクセス1件／紛失1件。4分の3が誤操作で、その多くがメールの誤送信でした。

実際の事案

• システム開発環境から個人情報が流出した可能性（国立国会図書館／40,373件）
• 提出先に誤ったメールアドレスを入力し、職員や家族の個人情報が第三者へ（農林水産省／4,571人）
• 商談会の案内メールで送信ミス、メールアドレスが流出（長野県産業振興機構／733人）

示唆されること

• メール送信の二重確認——自治体と同じ構図です。手順の仕組み化がそのまま効きます。
• 開発環境の扱い——本番ではなく開発環境から漏れた事例があります。テストデータに実データを使わないこと。

11件の内訳：不正アクセス7件／ランサムウェア1件／内部不正1件／誤操作1件／不明1件。攻撃起因が8件（72.7%）と、8種別のなかで最も攻撃に偏っています。

そして委託先が絡む事案が6件（54.5%）と、これも全種別で最高でした。全体平均が19.5%なので、2.8倍です。件数は少ないので断定はできませんが、サプライチェーンを通じた侵入という構図が見て取れます。

実際の事案

• 個人情報流出の可能性、生産や販売活動には影響なし（村田製作所／73,000件）
• ウェブ問い合わせフォームの入力情報が外部流出（川本製作所／2,545件）
• 建設作業所のNASで情報流出か、設定に問題（佐藤工業／1,850件）

示唆されること

• 取引先・委託先の経路——半数以上が自社の外です。自社だけを固めても届きません。
• 現場に置かれた機器——作業所のNASのように、情報システム部門の管理外にある機器が穴になります。NASのセキュリティの考え方は業務用にも通じます。
• 問い合わせフォーム——外向きのWebは、目立たないところほど放置されがちです。

11件の内訳：誤操作・設定ミス10件／誤公開・設定ミス1件。11件すべてが人的ミスで、攻撃による事案はゼロでした。8種別のなかで最も一方向に偏っています。

実際の事案

• 契約照会システムで他人の個人情報が閲覧可能になっていた（生命保険協会／37,000件）
• 非表示にした個人情報を削除済みと誤認して外部へ誤送信（川越商工会議所／4,363件）
• 無関係の企業に個人情報を誤送信、システム改修時の不具合（ふるさと島根定住財団／3,661件）

示唆されること

• 「非表示」は削除ではない——表計算ファイルで行や列を非表示にしただけでは、データは残っています。この誤解による事故が実際に起きています。
• システム改修後の確認——改修のタイミングで表示範囲が変わり、他人の情報が見えるようになる事故が複数ありました。