ランサムウェアなどのサイバー攻撃による被害の報告が続いています。日本版DBS認定運用サポートは、こども性暴力防止法（日本版DBS）の認定申請や社内規程づくりを支援する立場として、お預かりする個人情報をできるかぎり少なくすること、そしてインターネットに常時つながった環境で作業しないことを、情報管理の基本方針としています。この記事では、その方針と理由、ご依頼いただく事業者の皆さまにお願いしていることをお伝えします。
mokuji
目次
サイバー攻撃の被害は中小規模の事業者にも広がっています
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年に報告されたランサムウェアの被害は226件でした。被害に遭った企業を規模別に見ると、中小企業が約6割を占めています。侵入経路は、社外から社内のネットワークにつなぐためのVPN機器が6割以上で、インターネットに接続された機器の弱点が狙われています。
| 項目 | 令和7年の状況 |
|---|---|
| ランサムウェア被害の報告件数 | 226件 |
| 被害企業のうち中小企業の割合 | 約6割 |
| 侵入経路のうちVPN機器の割合 | 6割以上 |
| 復旧に総額1,000万円以上かかった組織 | 5割超 |
| サイバー攻撃を想定したBCPを策定済みの組織 | 約18％ |
独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」でした。仕事を頼んだ先が攻撃を受ければ、頼んだ事業者の情報も一緒に危険にさらされます。支援する側の情報管理は、依頼する事業者の安全に直結します。
方針1 個人情報は「預からない」ことを基本にします
情報の漏えいを防ぐいちばん確実な方法は、漏れて困る情報を手元に置かないことです。日本版DBS認定運用サポートでは、ご依頼の目的に必要な範囲を超えて個人情報を集めないことを基本としています。
特に、こども性暴力防止法で扱う「犯罪事実確認書」と「犯罪事実確認記録等」は、プライバシーポリシーでお示ししているとおり、原則として受領・保管しません。こども家庭庁のガイドラインには、こども性暴力防止法関連システム（こまもろうシステム）の画面上だけで犯罪事実確認書を確認し、それ以外では記録・保存しない場合の情報管理規程のひな型も用意されています。規程づくりをご依頼いただく場合も、事業者の皆さまが記録を手元に残さずに済む運用を、まず一緒に検討します。
規程づくりで中心になるのは、組織の体制、担当者の役割、記録の扱い方といった「仕組み」の情報です。従事者一人ひとりの氏名や生年月日などは、必要な場面に限ってお尋ねします。
方針2 常時接続を見直し、オフラインで作業できる工程に組み替えています
インターネットにつながった機器の入口が狙われている情勢を踏まえ、作業環境を常にインターネットに接続しておく前提を見直しました。資料の確認や規程案の作成など、通信を必要としない工程はできるかぎりオフラインで進め、ご連絡や提出など通信が欠かせない場面に限って接続するよう、作業工程を組み立て直しています。
| 工程 | 作業環境の考え方 |
|---|---|
| 資料の確認、規程案・書類の作成 | できるかぎりオフラインで行う |
| 書類の点検・修正 | できるかぎりオフラインで行う |
| ご連絡・ファイルの受け渡し | 必要な場面に限って接続する |
| 申請・届出などの手続 | 必要な場面に限って接続する |
インターネットから切り離された状態で作業していれば、外部からの侵入によって作業中のデータを持ち出される危険を小さくできます。警察庁の報告書も、ランサムウェアによる暗号化への備えとして、オフラインのバックアップといった情報資産の管理を挙げています。
ご依頼いただく事業者の皆さまへのお願い
この方針を守るため、ご依頼の際には次の点にご協力をお願いしています。
- 資料をお送りいただく前に、氏名・生年月日・住所など、個人を特定できる部分を伏せられる場合は伏せてください。必要な情報は、こちらからその都度お伝えします。
- 犯罪事実確認書の写しや、こまもろうシステムの画面を撮影した画像は送らないでください。
- ほかの事業者に業務を委託する場合も、その委託先が預かった情報をいつ、どのように消すのかを確かめておいてください。
委託先に残ったデータが問題になった例もあります。2023年には、社会保険労務士事務所が利用するクラウドサービスがランサムウェア攻撃を受けました。元の委託元が公表した資料では、委託業務の完了後に速やかに廃棄されるはずだったデータがシステムに残っており、個人情報が漏えいしたおそれが生じたとされています。預けたデータは、使い終わった後も残っているかぎり、攻撃の対象になります。
事業者の皆さまが自社で取り組めること
こども性暴力防止法では、犯罪事実確認記録等を扱う事業者自身にも、情報管理規程の作成と、それに沿った管理が求められます。支援を受ける・受けないにかかわらず、次の点は自社で見直すことができます。
| 取り組み | 考え方 |
|---|---|
| 記録を保存しない運用を検討する | こまもろうシステムの画面上だけで確認すれば、手元に漏れる記録が残りません（情報管理規程ひな型①②） |
| 取り扱う人を必要最小限にする | 犯罪事実確認書を見られる人が少ないほど、漏えいの入口も少なくなります |
| 機器の更新とパスワードを見直す | 警察庁の報告書は、ソフトウェアの更新、パスワードの適切な管理、アクセス権限の設定といった基本的な対策の継続が最も重要としています |
| サイバー攻撃を想定したBCPを作る | 被害に遭った組織で策定済みだったのは約18％でした。連絡先や初動を決めておくと、被害の拡大を抑えやすくなります |
こども家庭庁は、民間の中小規模の事業者を対象に、犯罪事実確認記録等の情報管理措置について情報セキュリティの専門家（情報処理安全確保支援士）に相談できるよう支援しています。機器やネットワークの設定に不安がある場合は、こども家庭庁の相談支援のページもあわせてご確認ください。
情報を守ることも、こどもを守る仕組みの一部です
こども性暴力防止法は、従事者の性犯罪歴という、扱いに細心の注意が必要な情報を事業者が取り扱う制度です。支援する側の管理が甘ければ、制度そのものへの信頼が損なわれます。日本版DBS認定運用サポートは、「必要以上に預からない」「常時つながない」を基本に、事業者の皆さまが安心してご相談いただける体制を整えていきます。
まだ何も決まっていない段階でもご相談いただけます。初回のご相談は無料です。自社が対象になるかどうか、先に整える書類、着手する順序を確認できます。
