ニュースリリース

個人情報保護法対策では、中小・中堅企業は大企業に大きく遅れを取っている

大企業、中小・中堅企業ともに、現在の自社の対策の満足度はそれほど高くない

知識の面でも、中小・中堅企業は苦慮している

さらに、上記回答の中小・中堅企業を細かく分類すると、以下のようなことが見て取れる。

大企業と中小・中堅企業では、個人情報保護法に対する「課題」は異なる

ITセキュリティの面でも中小・中堅企業の対応は遅れている

補足　（数字は「導入している」及び「予定／計画中」の値）

今回の調査で、個人情報保護法への対策を実施しているのが、大企業の90.1%に対して、中小・中堅企業は48.2%と少ないことがわかりました。そして、その原因が、進め方や具体的な対策がよくわからないといった初期の部分での問題であることもわかりました。法のガイドラインが業種別に分かれたものの、企業規模を区別せずに制定されたことにより、大企業を想定した努力目標が多く、それ以外の企業としては具体的にどこまでやればよいのかわからなくなっているようです。その結果、中小・中堅企業からは難解なものとして敬遠されたのか、個人情報と個人データなどの定義といった基本の理解すら進んでいない状況です。理解ができていないにもかかわらず、自社の対策が十分であるという回答をしている企業については、実際には十分な対策が実施されていない可能性があります。また、今後も個人情報保護法の対策をする予定がないという企業が、大企業の0%に対し、中小・中堅企業では26.3%と高い割合を占めていますが、これら26.3%の企業すべてが個人情報取扱事業者に該当しないとは考えにくく、やはり事業者の定義の理解ができておらずに、自社が法の対象ではないという誤解があるのではないかと思います。中小・中堅企業においては、まずは、基本的なことの理解を進めるとともに、雛形として参照できるような具体的な対策事例が提示される必要がありそうです。

個人情報の漏洩事故などが、マスコミでも大きく取り上げられているにもかかわらず、そのためのITセキュリティ対策は、半数以上の中小・中堅企業で未対応のままです。対策項目を細かく見てみると、大企業との差異が大きな項目のほとんどは、社員の故意による不正を想定したような項目が目立ちます。この種の対策項目については、監視やアクセス制限などに頼りすぎずに、別の方法で社内の状況の見渡しができるという前提であれば、これらの項目を控えることは中小・中堅企業にとって悪いことではないと思います。大企業では、全社を見渡すということは不可能でしょうから、これらの項目についてもある程度の対策を実施する必要があります。実際には、性善説を前提とした上で、性悪説についても追加的に想定するというのは、大企業においても同じことです。ただしこれらの項目の中で、PCのデータ暗号化に関しては、故意ばかりではなく過失によるPCの紛失や盗難などから、個人情報を守ることにも役立つため、今やすべての規模の企業において、ウイルス対策と同程度に対策を進めるべきであると思います。日本では、仮にデータを暗号化してもそれ以外にデータの流出防止対策を別途追加するのであれば、データの暗号化を省いてしまうことが多いようです。その結果、アクセス制限や監視、ディスクの完全消去などに注力するのをよく見かけますが、過失の流出や機器の盗難のことも考えれば暗号化をむしろ先に進めるべきでしょう。また、PCのパスワード保護などの基本を徹底することは、情報保護の意識を毎日の仕事の中で定着させる上でも重要です。そのようなITセキュリティ対策について、広く共通した具体例が提示されれば、業種・業態や企業規模にはあまり依存しないため、中小・中堅企業においても対策を向上させることができるものと考えます。

今回の調査から、中小・中堅企業における個人情報保護とITセキュリティ対策の遅れがわかりました。その原因のひとつとして、大企業を対象とした高額のコンサルティングサービスばかりが目立ったことにより、対策のノウハウを得ることの敷居が高くしてなってしまったことをあげられるかもしれません。実際の対策内容は、それほど複雑に考えるものではなく、「お客様情報の取扱い方法を改善するのに必要な対策は何か」を考えればよく、基本的で単純な事項がほとんどです。そのことを認識してもらうには、大企業での対策事例が雛形のように情報共有されれば、具体的な対策内容がイメージしやすくなることで、中小・中堅企業での対策の促進と向上に役立つものと思います。