AI・DXと情報セキュリティ

こんにちは。アイエーアイの藤本です。

情報漏えいのニュースを見ると、「うちの会社は大丈夫かな」と気になりますよね。お客様の連絡先、問い合わせフォームに届く情報、ネットショップの注文データ。普段の仕事を少し振り返るだけでも、会社にはいろいろな情報が集まっています。

そこにAIの話も加わると、「何から手をつけたらいいの？」と感じる方もいると思います。まずは、自社でどんな情報を持っていて、誰が管理しているのか。身近なところから、一緒に整理していきましょう。

私たちアイエーアイも、お付き合いしているお客様も、中小企業が中心です。専任のIT担当者がいるとは限りませんし、社長や事務担当の方が、ほかの仕事と兼ねて管理している会社もありますよね。

だから今回は、「専門知識がなくても確認できること」「保守会社に聞けば分かること」まで、できるだけ身近な話にしてみます。忙しい方は、まず後半の「今日から始める3つの確認」を、社内で話すきっかけにしてみてください。

1．「最近の情報漏えいは、AIのせい？」

AIは、文章を考えたり、プログラムを分析したりするのが得意です。仕事を助けてくれる一方で、その力が不審なメールの作成や攻撃用ツールの開発に使われるケースも報告されています。

例えば、Anthropicが2026年9月に公表した報告書には、Claudeをサイバー攻撃などに悪用しようとした活動と、それを阻止した取り組みが紹介されています。AIの悪用は、手元のパソコンなどで動かす「ローカルAI」に限った話ではないんですね。 ［1］

ただ、ここは落ち着いて見ておきたいところです。「AIが悪用されている」という話だけで、国内の情報漏えいも全部AIが原因だとは言えません。個々の事件については、被害企業の調査や公表内容を確認することが大切です。

「社内で動くAIなら安心」と思っていませんか？

ローカルAIは、自社のサーバーや手元のパソコンなどで動かすAIのこと。外部にデータを送らずに処理する構成を選べるので、会社の大切な情報を扱ううえで、メリットがあります。

それでも、使うパソコンの管理や、誰が使えるか、入力した内容がどこに保存されるかは確認が必要です。「社内で動いているから大丈夫」で止めずに、情報の行き先まで見ておきたいですね。

2．情報が漏れたあとも、心配が続くことがあります

メールアドレスが漏れると、迷惑メールや、自分を狙った詐欺につながることがあります。免許証などの画像であれば、なりすましに悪用されるおそれもあります。

パスワードなら変更できます。でも、名前や生年月日、顔写真は、そう簡単に変えられませんよね。「今のところ何も起きていない」で安心しきれないところが、情報漏えいの厄介な点だと思います。

図解①　情報流出から二次被害まで

01　侵入のきっかけ
古いソフト・盗まれた認証情報・公開設定の誤りなど

↓

02　情報の持ち出し
顧客情報・ログイン情報・本人確認書類の画像など

↓

03　二次被害のおそれ
詐欺メール・アカウントの乗っ取り・なりすましなど

3．その情報、本当に集める必要がありますか？

セキュリティというと、まず「どんな対策ソフトを入れるか」を考えるかもしれません。それとあわせて見直したいのが、情報の持ち方です。

「念のため集めておこう」「いつか使うかもしれないから残しておこう」。そんな情報が増えていないか、確認してみてください。Webサイトや仕事の流れを考えるときは、次の3つに分けると整理しやすくなります。

見直す場面	確認したいこと
集める前	その入力項目や書類画像は、本当に必要か。利用目的を説明できるか。
使うとき	担当者だけが閲覧できるか。共有リンクや委託先の権限が広すぎないか。
残すとき	保存期間と管理責任者が決まっているか。不要になった情報を適切に削除できるか。

例えば、ちょっとしたお問い合わせなのに、住所や生年月日まで必須になっていないでしょうか。本人確認書類の画像を、社内の誰でも開けるフォルダに置いていないでしょうか。こうした身近なところにも、見直せる点があります。

本人確認書類などを残す必要がある場合は、業務や法令の条件を確かめたうえで、保存先を分ける、見られる人を限定する、暗号化するといった対策を組み合わせます。ネットにつながない場所に保管するとしても、持ち出すときやデータを戻すときのルールは必要です。

これは気持ちの問題だけではなく、個人情報保護委員会のガイドラインでも、扱える担当者や情報の範囲を絞ること、不正アクセスを防ぐことなどが求められています。［2］

4．専任の担当者がいなくても。今日から始める3つの確認

いきなり高価な機器やソフトを選ぶ前に、まずは今の状態を確認してみましょう。全部を一度に終わらせる必要はありません。分からない項目があれば、確認を頼む相手と、いつまでに聞くかを決めるところからで大丈夫です。

① 会社のメールとサイトに、誰が入れるか

会社のメール、ホームページの管理画面、顧客データを置いているサービス。この3つについて、誰のアカウントがあり、今もその人が使う必要があるかを確認します。

退職した方や、契約が終わった外注先のアカウントが残っていたら、必要なデータの引き継ぎを確認してから利用を止めましょう。みんなで一つのIDを使っている場合も、可能なものから一人ずつのアカウントに分けていきたいですね。

「多要素認証」という言葉は少し難しいですが、例えばパスワードに加えて、手元のスマートフォンでも本人確認する仕組みです。対応しているサービスでは設定しましょう。設定に迷ったら、保守会社などに相談してください。

② ホームページの更新は、誰の担当になっているか

「制作会社に頼んでいるから、全部やってくれているはず」。ここは一度、契約内容を確かめたいところです。記事の更新と、WordPress本体などの安全性に関わる更新は、担当や契約が別になっていることがあります。

ご自身で更新する場合も、バックアップと動作確認の準備が必要です。分からないまま、まとめて更新や削除をするより、担当者と手順を確かめて進めましょう。

③ 大事なデータは、消えたら戻せるか

「バックアップは取っていますか？」に加えて、「何日前のデータを、誰が、どうやって戻せますか？」と聞いてみてください。顧客台帳や受注データが使えなくなったら、明日の仕事に何が困るかを考えると、優先順位もつけやすくなります。

保存先と復元方法は担当者に確認し、実際に戻せるかも定期的に確かめましょう。同期サービスは、削除や変更まで反映されることがあります。「クラウドにあるから大丈夫」と思わず、履歴から戻せる期間や、別のバックアップの有無を確認しておきたいですね。

これらは、IPAの「情報セキュリティ6か条」や中小企業向けガイドラインを、日々の仕事に置き換えた確認例です。端末のウイルス対策や共有設定、攻撃の手口を知ることもあわせて進めましょう。［3］ ［5］

少人数の会社ほど、気をつけたい「つい、いつものやり方で」

忙しいと、使い慣れた方法で済ませたくなるものです。例えば、こんな場面はないでしょうか。

• お客様の名簿を、個人のメールや私用のチャットへ送る。会社で決めた共有方法を使い、見られる人と保存先を確認しましょう。
• 急ぎの送信で、宛先や添付ファイルを確認しない。送る前に一呼吸。社外へ出す情報は、受け取る相手と中身を見直しましょう。
• 共有リンクを「リンクを知っている全員」にしたままにする。必要な相手だけが見られる設定にし、使い終わった共有も見直しましょう。
• 「社長から」「いつもの取引先から」だから、そのまま対応する。急な送金や振込先の変更は、普段から把握している電話番号など、別の方法で確認しましょう。届いたメールに書かれた番号だけを頼りにしないことも大切です。［6］

社内のルールも、最初から立派な冊子にしなくてよいと思います。「顧客データを置く場所」「社外に送る前の確認」「困ったときの連絡先」を、まずA4一枚にまとめてみる。人が入れ替わったときにも、引き継ぎやすくなります。

そして、気になることを見つけた人が、すぐ相談できる雰囲気も大切です。「クリックしてしまったかも」と言われたら、まず一緒に状況を確認する。早く分かるほど、対応に動きやすくなります。

自社でできる確認と、専門家に頼むことを分けておく

担当者や契約を確認する、共有範囲を見直す、社内の連絡先をまとめる。こうしたことは、社内で始められます。一方、サイトが改ざんされた、知らないログインが続いている、顧客情報の流出が疑われるといった場合は、保守会社や専門家へ早めに相談してください。

費用をかけるときも、「何を守るために必要なのか」「導入後は誰が管理するのか」まで聞いてみましょう。製品を入れたあとも続けられるかが、私たちのような小さな会社には大切だと思います。

AIにも、手伝ってもらいましょう

例えば、確認する項目をまとめたり、難しいセキュリティ情報を読みやすく整理したり、社内向けのお知らせの下書きをつくったり。こういう場面では、AIにも手伝ってもらえます。

もちろん、お客様の情報やパスワード、社外に出せない記録を、そのまま外部のAIに入れてよいわけではありません。利用条件や社内ルールを確かめてから使いましょう。

また、実際のシステムの弱点を調べる診断は、対象と許可範囲をはっきりさせ、専門家が管理する手順で行うものです。AIの答えにも間違いはあります。判断や設定の変更は、人が確かめることが欠かせません。

5．もしものとき、最初に誰へ連絡しますか？

何か起きたとき、すぐに連絡する相手の顔が浮かぶでしょうか。社内の責任者、サイトの保守会社、相談できる専門家。電話番号と契約内容を、一か所にまとめておきましょう。会社のメールが使えなくなっても連絡できるよう、紙などでも手元に残しておくと安心です。

不審なアクセスや情報の流出が疑われたら、そうした担当者と連携し、被害を広げない対応と記録の保全を進めます。慌てて記録を消したり、独断で初期化したりすると、原因を調べにくくなることがあるので注意してください。

個人データの漏えい等では、一定の要件に当てはまると、個人情報保護委員会への報告と本人への通知が必要になります。「調査が全部終わってから」と待つのではなく、必要な対応を早めに確認しましょう。［4］

誰が判断するのか、お客様には誰から連絡するのか、委託先には何を頼めるのか。何も起きていない今のうちに、話し合っておきたいですね。IPAの中小企業向けガイドラインには、事故対応の手引きや社内ルールのひな形もあります。［5］

6．私たち自身も、利用者としてできることを

ここまでは会社側の話でしたが、私たち自身もいろいろなサービスに情報を預けています。預けた先からの漏えいは、自分が気をつけるだけでは防げませんよね。それでも、その後の被害を減らすためにできることはあります。

• 漏えいの連絡を受けたら、メール内のリンクからではなく、公式アプリや確認済みの公式サイトから案内を確認する。
• パスワードが漏れたおそれがあれば変更し、同じものを使っていた別のサービスも見直す。
• 利用できる場合は多要素認証を設定し、ログイン履歴や利用明細を確認する。
• 本人確認書類の流出や身に覚えのない契約・請求があれば、案内された窓口や契約先へ早めに相談する。

特に「情報が漏れました。こちらから手続きしてください」という連絡には、慌てず公式の窓口から確認を。上の項目は、IPAが示すログインの安全性や、なりすましへの備えを、日常の行動に置き換えたものです。［3］

便利に使うために、安心できる土台もつくっていきましょう

AIもWebサイトも、仕事を前に進めるための頼もしい道具です。安心して使っていくために、情報の扱い方も一緒に整えていきたいと、私は思っています。

まずは、自社の問い合わせフォームを開いてみる。管理画面に入れる人を確認してみる。バックアップの担当者に声をかけてみる。そんな一つからでも、始められます。大きな会社と同じ体制をすぐにつくるのは難しくても、自社の状況に合わせて、できることを一つずつ増やしていきましょう。

アイエーアイでは、Webサイト制作やDX推進、AI・データ活用のお手伝いをしています。「うちのサイト、誰がどこまで管理しているんだろう」「AIを使いたいけれど、情報の扱いが気になる」。そんな段階でも、お気軽にお声がけください。今の状況を伺いながら、何から見直すか、一緒に考えていきましょう。

Webサイトの運用・AI活用について相談する →

関連記事：【重要】個人情報漏えいに注意｜国の注意喚起と企業が今すぐ確認したい5つの対策

---

参考資料

1. Anthropic「Detecting and countering misuse of AI: September 2026」
2. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
3. IPA「情報セキュリティ6か条」
4. 個人情報保護委員会「漏えい等の対応とお役立ち資料」
5. IPA「中小企業の情報セキュリティ対策ガイドライン」
6. IPA「ビジネスメール詐欺（BEC）対策」