情報漏洩の原因と対策｜空調工事会社の顧客台帳を守る
公開日：最終更新日：
編集・発行：KMC株式会社
結論: 原因の多くは「うっかり」と「入口の放置」
情報漏洩の原因は、大きく2つに分かれます。宛先の誤り・書類の渡し間違い・紛失といった人のうっかりと、ぜい弱性の放置や推測されやすいパスワードを突かれる不正アクセスです。個人情報保護委員会の令和6年度の年次報告では、委員会への直接報告のうち、事業者自身が原因の漏えい等で多かったのは誤交付と誤送付で、委託先が原因のものでは不正アクセスが多くを占めました。
空調工事会社では、保守契約先の担当者名・連絡先、住宅のエアコン工事の顧客の住所、点検報告書や工事写真が漏洩の対象になります。対策は、原因ごとに「仕組みで防ぐ」ことです。個人データが漏れたときは、条件に当てはまれば個人情報保護委員会への報告と本人への通知が法律上の義務になります。
数字で見る漏洩の原因（個人情報保護委員会・令和6年度）
個人情報保護委員会「令和6年度 年次報告」によると、令和6年度に処理した個人データの漏えい等の報告は19,056件（前年度12,120件）でした。このうち委員会への直接報告14,198件の、漏えい等の元と原因の内訳から主なものを抜き出します。
| 漏えい等の元 | 原因 | 件数（割合） |
|---|---|---|
| 報告者（事業者自身） | 全体 | 9,494件（66.9%） |
| 誤交付 | 5,329件（37.5%） | |
| 誤送付 | 2,527件（17.8%） | |
| 紛失 | 453件（3.2%） | |
| 不正アクセス | 431件（3.0%） | |
| 委託先 | 全体 | 2,248件（15.8%） |
| 不正アクセス | 1,429件（10.1%） |
報告の類型では、要配慮個人情報（病歴など、扱いに特に配慮が要る情報）を含むものが45.4%で最も多く、次いで不正アクセスなど不正の目的で行われたおそれのあるものが39.9%でした（重複して当てはまるものがあります）。
年次報告は、不正アクセスによる漏えいの原因として、VPN機器などのぜい弱性の対応方法が公開されていたのに放置していたこと、IDやパスワードが推測されやすいものだったこと、設定ミスでデータベースへのアクセス制御が不適切だったことなどを挙げています。
また、年次報告には、人事労務の業務支援システムを運営する会社のサーバがランサムウェアの被害を受け、多数の委託元から報告が寄せられた事案（2,745件）が含まれていると記載されています。自社がしっかりしていても、データを預けた先が攻撃されれば、自社も報告する側になるという実例です。
空調工事会社で起きやすい漏洩
| 場面 | 起きやすい漏洩 | 原因の区分 |
|---|---|---|
| 点検報告書の送付 | 別のビルの報告書を管理会社に送る。複数の顧客への一斉案内で宛先を全員に見せる | 誤送付 |
| 住宅のエアコン工事 | 工事完了報告や保証書を別の顧客に渡す | 誤交付 |
| 外回り | 顧客情報が入ったタブレットやUSBメモリを現場に置き忘れる | 紛失 |
| 事務所のシステム | 更新していないVPN機器から侵入され、顧客台帳が持ち出される | 不正アクセス |
| 写真・図面の共有 | クラウドの共有リンクが「リンクを知っている全員」のまま、協力会社以外に転送される | 設定の誤り |
| 協力会社・再委託先 | 預けた顧客リストが委託先から漏れる | 委託先 |
保守の現場では、個人情報でなくても漏れると困る情報も扱います。建物の入館方法や中央監視の設定は、個人情報保護法の報告の対象にならなくても、顧客の建物の安全に関わります。
原因別の対策早見表
| 原因 | 仕組みで防ぐ対策 | 関連する記事 |
|---|---|---|
| 誤送付 | 送信前の宛先確認の手順を決める。一斉送信は宛先を隠す方法にする | メール事故の対策 |
| 誤交付 | 引き渡し書類は顧客名と現場名を2人で照合してから封入する | |
| 紛失 | 端末は会社貸与にして遠隔消去できるようにし、端末に顧客情報を残さない | MDMの記事 |
| 不正アクセス | VPN機器・OSを最新に保ち、パスワードの使い回しをやめ、二段階認証を設定する | パスワード管理・二段階認証 |
| 設定の誤り | 共有リンクの範囲を「指定した人だけ」に統一し、半年に1回棚卸しする | |
| 委託先 | 顧客情報を渡す協力会社と秘密保持の取り決めを結び、渡す情報を必要最小限にする | サプライチェーン攻撃 |
| 生成AIへの入力 | 入力してよい情報と置き換え方を社内ルールにする | ChatGPTの情報漏洩 |
顧客台帳そのものを、担当者ごとのExcelから、権限を決めて共有できる仕組みにまとめることも漏洩対策になります。どこに何があるか分からない状態では、漏れても気づけません。保守契約の管理術で紹介している台帳の整理は、そのまま情報の棚卸しになります。
漏洩したときの報告義務
個人情報保護法第26条は、個人データの漏えい等のうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告と、原則として本人への通知を義務づけています。規則第7条が定める事態は次の4つです（発生したおそれがある場合も含みます）。
| No | 報告が必要な事態 | 空調工事会社での例 |
|---|---|---|
| 1 | 要配慮個人情報が含まれる個人データの漏えい等 | 従業員の健康診断の結果を含むファイルの漏洩 |
| 2 | 不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等 | 決済に使う顧客のクレジットカード番号の漏洩 |
| 3 | 不正の目的をもって行われたおそれがある行為による個人データの漏えい等 | 不正アクセスやランサムウェアによる顧客台帳の持ち出し |
| 4 | 本人の数が1,000人を超える個人データの漏えい等 | 住宅のエアコン工事の顧客リストを紛失 |
報告の期限は、規則第8条で次のように定められています。
- 事態を知った後、速やかに報告する（速報）
- 事態を知った日から30日以内に報告する（確報）。3の不正の目的のおそれがある事態は60日以内
本人への通知は、事態の状況に応じて速やかに行います。報告が必要かどうかの判断に迷うときは、個人情報保護委員会の「漏えい等の対応とお役立ち資料」で確認します。
漏洩に気づいたときの初動
- 被害の拡大を止める（誤送付なら相手に削除を依頼する、不正アクセスなら端末をネットワークから切り離す）
- 何が・何件・誰の情報が漏れたかを記録する
- 上の4つの事態に当てはまるかを判断し、当てはまれば速報の準備をする
- 顧客（建物の持ち主・管理会社）に連絡する
- 原因を特定し、再発防止策を決める
不正アクセスやランサムウェアが原因の場合の初動は、ランサムウェア対策の記事で詳しく解説しています。
まとめ
- 漏洩の原因は、誤送付・誤交付・紛失のうっかりと、不正アクセスに大きく分かれます
- 令和6年度の漏えい等報告は19,056件。直接報告では誤交付・誤送付が多く、委託先では不正アクセスが多くを占めました
- 空調工事会社では、点検報告書の誤送付、タブレットの紛失、委託先からの漏洩に注意します
- 4つの事態に当てはまれば、速やかな報告、30日以内（不正目的は60日以内）の確報、本人への通知が必要です
出典・参考
- 個人情報保護委員会「令和6年度 年次報告」（PDF）（第2章 漏えい等事案に関する報告の処理状況等、付表 漏えい等元及び漏えい等原因）
- 個人情報の保護に関する法律（e-Gov法令検索）（第26条）
- 個人情報の保護に関する法律施行規則（e-Gov法令検索）（第7条、第8条、第10条）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
法令・報告の手続きは改正されることがあります。実際の判断は個人情報保護委員会の最新の案内で確認してください（最終確認：2026-10-14）。
関連リンク
いまの課題に近いものはどれですか？
選んだお悩みに最適なサービスのご案内ページへ移動します。
2営業日以内に担当者からご連絡します。無理な営業はいたしません。
