中小企業こそ怖いWebサイトのセキュリティ義務｜改正個人情報保護法の報告義務と、社内で決めるべき最低限のこと
目次
【AIによる要約】
自社サイトの事故が個人情報の漏えいに発展すると、法律上の報告義務が発生します。
最低限やることは、IPA「情報セキュリティ5カ条」を自社サイト用に落とし込んだ社内要件の明文化です。
体制が足りなければ、Webサイト保守管理など外部のプロに任せるのが現実的な判断です。
「うちは中小企業だし、サイバー攻撃のターゲットになるほどのサイトじゃない」——。
当社がWebサイト保守の支援を始めて10年以上、300社以上の企業と関わってきましたが、この言葉を最初に口にされる経営者・担当者は実に多い。そして実際に事故に遭われた企業の多くも、最初は同じことを言っていました。
この記事では、改正個人情報保護法によって中小企業にも及んでいる「セキュリティ上の義務」と、事故が起きたときに何を報告しなければならないのか、そして社内会議でそのまま使える「最低限のセキュリティ要件」を整理します。
「うちは関係ない」が通用しなくなった理由
2022年4月の改正個人情報保護法の施行で、大きな変更がありました。
改正前から「個人情報取扱事業者であればすべて罰則付きの義務」であり、これは今も変わっていません。ここを誤解している会社が非常に多いのですが、従業員名簿や顧客リストを持っている時点で、あなたの会社は「個人情報取扱事業者」です。従業員数500人以下だから義務が免除される、という特例はかつて一時的に存在しましたが、現在は廃止されています。
つまり、問い合わせフォームで受け取ったお名前・メールアドレス、採用応募者の履歴書、顧客の住所——こうした情報をWebサイト経由で扱っている限り、中小企業であっても大手と同じ義務を負っています。
（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」）
事故が起きたとき「報告義務」が発生する
ここが今回の核心です。Webサイトが改ざんされ、DBが覗かれ、問い合わせで集めた個人情報が漏えいした——こうした「漏えい等事故」が起きた場合、事業主は個人情報保護委員会への報告と、本人への通知が義務です。
「なんとなく義務っぽい」ではなく、罰則（命令違反や虚偽報告に対する罰金）のある法律上の義務です。
速報は最短3日以内
報告には「速報」と「確報」の2段階があります。事故の種類と規模によって期限が変わります。
| 事故の種類 | 知った日から速報まで |
|---|---|
| 要配慮個人情報（病歴・犯罪歴等）の漏えい | 3日以内 |
| 不正アクセスによる漏えい | 3日以内 |
| それ以外の漏えい等 | 5日以内 |
| 著名な不正利用の恐れ（1万人超など） | 7日以内 |
※最新の政令・ガイドラインは個人情報保護委員会の公表資料をご確認ください。確報は概ね30日以内（不正アクセス等は120日以内）が目安です。
現場目線で申し上げます。事故が起きてから3日で「いつ・何が・どれだけ漏えたのか」を正確に調査して報告するのは、専門家でも相当に厳しいです。当社も改ざん事故の復旧に何度も立ち会ってきましたが、ログの保全がされていなければ「いつ侵入されたのか」すら特定できません。報告義務への備えとは、事故後の焦りではなく、事故前の設計です。
中小企業のWebサイトに「漏えいリスク」は現実的にある
「うちは ECサイトじゃないから個人情報なんて扱っていない」と思っている会社ほど、事故に遭っています。
- 問い合わせフォーム（氏名・メール・電話番号）
- 採用エントリー（履歴書・経歴）
- メールマガジンの登録者リスト
- 見積もり依頼フォーム（会社名・役職・住所）
この4つ、普通の企業サイトならどこにでもあります。漏えいしうる個人情報は十分に蓄積されているのです。
また、「ターゲットにされない」というのも誤解です。現代の攻撃は手動ではなく自動化ボットが大量のサイトを機械的にスキャンしてきます。WordPressのプラグインに脆弱性が出れば、世界中の対象サイトへ一斉に攻撃が飛びます。「選ばれる」のではなく「当たる」時代です。IPAも「情報セキュリティ5カ条」で中小企業向けに対策の基本を公表しています。
（出典：IPA「SECURITY ACTION（セキュリティ対策自己宣言）」）
社内会議で決めるべき「最低限のセキュリティ要件」
ここからが本題です。法務担当もセキュリティ専門家もいない中小企業が、何を決めれば「最低限の義務を果たした」状態に近づけるのか。IPAの5カ条をWebサイト運営に落とし込むと、次の5項目になります。
要件1: OS・CMS・プラグインを最新に保つ（更新）
WordPressであれば本体・プラグイン・テーマの更新を、少なくとも月1回は確認・適用するルールを決めます。「更新で画面が真っ白になるのが怖い」から放置する会社が多いのですが、放置の方がよほど事故の原因になります。更新は本番に直接触らず、必ずバックアップを取ってから行う——この手順自体を社内ルールにしてください。
要件2: ウイルス対策・不正アクセス対策の基礎（対策）
- 管理画面ログインは総務担当ではなく、作業できる人を限定する
- パスワードの使い回し禁止、二段階認証（2FA）の導入
- 接続元IP制限やWAF（Webアプリケーションファイアウォール）の活用
要件3: パスワード・アカウントの管理ルール（管理）
前任者が退職したのにアカウントが残ったまま、というのは現場で最も多い「事故の温床」です。退職・異動時に必ずアカウントを棚卸しするチェックリストを、総務の離職手続きに組み込みます。
要件4: ログの保全とバックアップ（把握・復旧）
「いつ侵入されたか」を報告できないと、漏えいの範囲を特定できません。サーバーのアクセスログや管理画面ログの保存期間を確認し、最低30日は残る設計にしておきます。バックアップも「取っている」ではなく「復元できる世代管理」かを確認します（詳細はホームページのバックアップは何世代必要？データ消失・改ざんから復元するための世代管理と防衛策をご参照ください）。
要件5: 事故時の初動を「担当者名」まで決めておく（計画）
朝起きたらサイトが改ざんされていた——このとき誰に連絡するのか、サーバー会社の連絡先はどこか、バックアップからどう復元するのか。当社の支援現場でも、事故後に初動マニュアルがなかった会社は対応に丸1日以上溶けていました。報告期限3日が現実味を帯びるのは、この初動が決まっている場合だけです。
「自社でやる」か「外に任せる」かの線引き
ここまで読んで「全部うちでやるのは無理」と感じた方、その感覚は正しいです。
当社の判断基準を言い切ります。
- 更新・監視・ログ保全・初動対応は、専門知識と継続性が要る。社内に専任エンジニアがいないなら外注が現実的です
- アカウント棚卸し・離職時の手続き・個人情報の「何を集めるか」の判断は、自社の業務なので自社で決める
つまり「技術的な守りは外、情報の取り扱い判断は内」に線を引くのが、中小企業の現実解です。月額数万円程度のWebサイト保守管理サービスで更新・監視・初動を任せられる状態にしておくことは、コストではなく報告義務に耐えるための保険と考えるべきです。
自社でも複数のWebサービス・EC事業を運営している当社から見ても、サイトが止まる・情報が漏える損失は、月額保守費用とは桁が違います。機会損失に加え、報告義務を果たせない状態での事故は、取引先・顧客からの信頼を直接毀損します。
やりがちだけど危ない「落とし穴」チェックリスト
最後に、300社以上の支援で繰り返し見てきた落とし穴をまとめます。
- 問い合わせフォームの送信データを、サーバー上に平文で溜め続けている（ログとして残さない設計に）
- 採用応募者の履歴書PDFを、サーバーの公開ディレクトリに置いている
- WordPress管理者のユーザー名が「admin」のまま
- 保守管理を外注しているが、更新の「実施報告」をもらっていない
- サーバーのアクセスログ保存期間が数日しかない
- 個人情報を扱うページだけどSSL化されていない、または証明書の期限切れ
- 事故時の初動連絡先（サーバー会社・保守会社・社内担当）が一覧化されていない
1つでも当てはまるなら、まずそこから潰してください。
まとめ: 「義務」は事故後に慌てるものではなく、事前に仕込むもの
- 中小企業も個人情報取扱事業者として、大手と同じ義務を負っている
- 漏えい等事故が起きたら、個人情報保護委員会と本人への報告・通知が法的義務（速報は最短3日以内）
- 最低限やることは「更新・対策・管理・把握・復旧」の5カ条を、自社サイト用に明文化すること
- 技術的な守りは外注に任せ、情報の取り扱い判断は自社で決める、が現実的な線引き
「うちは大丈夫」は、事故が起きてからでは手遅れです。まずは今日、アカウントの棚卸しと初動連絡先の一覧だけでも作ってみてください。社内で判断が難しければ、Webサイト保守管理のプロに一度相談することをおすすめします。
当社カジヤは、業界歴10年以上・300社以上の支援実績をもとに、Webサイト保守管理サービスを提供しています。代理店を挟まない直接取引で、社内の専任エンジニアが一貫して対応します。セキュリティ義務への備えを整えたい方は、お気軽にお問い合わせフォームからご相談ください。
