LMSセキュリティ認証、ISMAPとPマークは同じものを保証していない

2,242万人分の人事データを凍らせたのは、高度な攻撃ではなかった

2023年6月、社会保険と人事労務の業務支援システムをSaaSで提供していたエムケイシステムのサーバが不正アクセスを受け、ランサムウェアで個人データが暗号化された。預かっていたのは、顧客企業の従業員等の氏名、生年月日、性別、住所、基礎年金番号、雇用保険被保険者番号、そしてマイナンバー。利用者は社会保険労務士事務所2,754事業所、管理事業所は約57万、システム上の本人数は最大で約2,242万人にのぼった。

個人情報保護委員会は2024年3月25日、同社に個人情報保護法第147条にもとづく指導を行った。目を向けるべきは処分の重さではなく、認定された中身である。ユーザのパスワードルールが脆弱で、管理者権限のパスワードも類推可能。セキュリティ更新が滞って深刻な脆弱性が残り、ログの監視も不十分で侵入を検知できなかった。結論は、技術的安全管理措置(法第23条)の不備。基本が抜け落ちていた、というだけの話だ。

同じ構図は国境を越えても変わらない。2026年6月10日、韓国の個人情報保護委員会は、EC大手クパンに同国史上最大となる課徴金6,246億ウォン超を科した。流出規模は約3,755万人分。それでも委員会の評価は「高度なハッキング」ではなく、認証署名鍵の管理とアクセス制御という基本的な安全管理体制の不備だった。

LMSに預けているのは、従業員の氏名、社員番号、所属、等級、評価履歴、学習履歴である。リスキリングやDX人材育成への投資が広がり、人材開発支援助成金を使った研修が積み上がるほど、この集約は進む。それにもかかわらず、ベンダーを選ぶ段階で握っている材料は、たいてい提案書の一行、「セキュリティ認証取得済み」でしかない。その一行が何を保証し、何を保証していないのか。見分けられる担当者は、そう多くない。

ISMAP、ISMS、Pマークは、それぞれ違う質問に答えている

この三つはまとめて語られがちだが、答えている問いが違う。ISMAP(政府情報システムのためのセキュリティ評価制度)は、政府の求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価し、登録しておく制度だ。NISC、デジタル庁、総務省、経済産業省が枠組みをつくり、IPAが運用支援機関としてポータルを運用する。物差しとなるISMAP管理基準は、ISO/IEC 27001と27002をベースに、クラウド向けの27017、政府統一基準、米国のNIST SP 800-53を統合したもの。政府機関等は原則としてISMAP等クラウドサービスリスト掲載のサービスから調達し、低リスク業務向けにはISMAP-LIUの枠もある。答えているのは「このクラウドサービスを政府調達に載せてよいか」である。

ISMS(ISO/IEC 27001)は、組織の情報セキュリティマネジメント全般が対象だ。国内の認証取得組織は約8,600。ここで個人情報は「情報資産の一種」にすぎず、取得・利用・第三者提供・開示請求対応・廃棄という固有のライフサイクルは、独立した審査領域として置かれていない。

その空白を正面から見るのが、プライバシーマークとISO/IEC 27701である。Pマークが基礎とするJIS Q 15001は対象を個人情報のみに絞った規格で、付与事業者は約17,700社。ISO/IEC 27701はISO/IEC 27001と27002の拡張規格で、日本ではISMS-PIMS認証として運用される。肝心なのは、これがISMS認証を前提としたアドオンだという点だ。ISMSを持っているだけでは、27701が見る領域は審査されていない。問いの立て方は、国が違っても変わらない。韓国の認証体系が、それを図にしている。

注目すべきは図の右下の箱だ。個人情報の処理段階に関する21項目が、独立した領域として置かれている。情報セキュリティだけを認証する韓国のISMSは、この21項目が抜けた80項目で終わる。日本のISMSとPマーク/27701の関係に、そのまま重なる。

ISMAPだけを持つLMSは、「従業員の個人データを取得から廃棄までどう管理しているか」を一度も審査されていない。管理が甘いのではなく、その項目が審査表に載っていなかったのだ。どちらの認証が優れているかを競う問題ではない。

2026年7月に成立した改正法は、二つの方向へ同時に動いた

2026年7月10日、改正個人情報保護法が参議院本会議で可決され、成立した。施行は原則として、公布の日から起算して2年を超えない範囲内である。

目を引くのは課徴金制度の新設(第148条の3から第148条の17)だろう。だが対象行為は四類型に限られる。不適正な利用の禁止(法第19条)違反、適正な取得(法第20条第1項)違反、第三者提供の制限(法第27条第1項)違反、統計特例違反。加えて、相当の注意を怠ったかという主観的要素、権利利益の侵害、本人1,000人を基準とする大規模事案という条件で絞られる。つまり、安全管理措置(法第23条)違反と委託先の監督(法第25条)違反は、課徴金の対象に入っていない。「漏えいさせたら課徴金」という理解は、今回の改正に関するかぎり正しくない。

もう一方で動いたのが、委託の規律だ。委託先には「委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない」義務が明文で課される。逆に、委託契約で取扱いの方法の全部を合意し、取扱状況を委託元が把握する措置にも合意すれば、その委託先への法第4章の義務規定の適用は原則免除される(安全管理に係る義務は残る)。委託契約書は、事故のあとに読み返す文書ではなく、事故の前に自社の立ち位置を決めておく文書になった。

漏えい等報告も合理化される。権利利益の保護に欠けるおそれが少ない場合は本人通知義務が緩和され(第26条第2項)、違法な第三者提供が報告対象事態に加わる。報告窓口も、サイバー攻撃対処能力強化法の施行に合わせてNCO(国家サイバー統括室)の下へ一元化される方向だ。罰則の側は射程を絞り、委託と報告の側は精緻になった。LMSの選定に効くのは、後者である。

委託先が漏らしても、委員会に報告するのは発注した側だ

ここが最も誤解されている。ベンダーが事故を起こせば、責任を負うのはベンダーだけだと考えられがちだ。法はそうできていない。

従業員の個人データをLMSに預けた瞬間、自社は委託元になり、LMSベンダーは委託先になる。法第25条は委託元に、委託先への必要かつ適切な監督を義務づける。ガイドラインはこれを三つに分解する。適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握である。

問題は、漏えいが起きたときの建付けだ。法第26条第1項により、報告対象事態(規則第7条)が発生すると、委員会への報告義務は委託元と委託先の双方が負う。ところが委託先は、法第26条第1項ただし書と施行規則第9条に従い、報告義務を負う委託元へ事態の発生を通知したときは、自らの報告義務を免除される。

もう一度読んでいただきたい。ベンダーは、自社へ通知すれば足りる。委員会への報告と、対象となった従業員全員への本人通知は、発注した側に残るのである。

同時に、時計が動き出す。速報は事態を知った後に速やかに、目安は概ね3日から5日以内。確報は30日以内、不正の目的によるおそれがある場合は60日以内。ランサムウェアや不正アクセスは後者だ。本人への通知も、困難な場合を除いて義務である。

条文上の話にとどまらない。エムケイシステムの事案で委員会が受領した漏えい等報告は3,067件、本人数にして7,496,080人分。これは同社自身の報告を除いた数である。内訳は、社労士事務所等が2,459件、顧問先事業者が404件、企業等が204件。ベンダー1社の事故に対して、報告書を書いたのは顧客の側だった。

委員会は同じ公表資料で、ユーザ(エムケイ社の委託元)の多くが委託の認識に乏しく、監督が不十分だった可能性を指摘した。社労士事務所に自社従業員のデータを預けていたクライアント企業も、自ら法第23条の安全管理措置義務を負い、委託先に対して法第25条の監督義務を負うと明記している。クラウドサービスの利用が個人データの取扱いの委託に該当しうること、該当すれば委託元に監督義務があること。規制当局自身が、ここまで踏み込んで注意喚起している。

民事はさらに直接的だ。ベネッセの個人情報流出事件で、東京地裁は2023年2月27日、委託先である関連会社のセキュリティ対策を確認していなかったとして委託元の監督義務違反を認め、1人あたり3,300円の賠償を命じた。NTT西日本グループでも、保守運用を担う会社の元派遣社員が管理者アカウントを悪用し、約928万件の顧客情報を10年近く持ち出していた。LMSの導入も、まったく同じ構造の中にある。

一件の事故が自社に残す請求書には、何行あるのか

「漏れたらベンダーが払うだろう」という認識が、なぜ危ういのか。実際に自社へ回ってくる項目を並べれば、はっきりする。

返ってくるのは、報告であり、通知であり、監督責任であり、賠償である。制裁金額の大きさだけで危険度を測ると、実際に降ってくる作業量と説明責任を見誤る。従業員3,000人規模の企業で、学習履歴と人事情報がまとめて外に出たとする。60日の時計が動くなかで、確報の作成、3,000人への個別通知、原因調査、委託先への是正要求、そして「なぜこのベンダーを選んだのか」という社内への説明が同時に走る。被害者が顧客ではなく自社の従業員であることは、問題を軽くしない。その関係は、事故のあとも続くからだ。

自社の漏えいは「うっかり」で起き、委託先の漏えいは「攻撃」で起きる

個人情報保護委員会の令和6年度年次報告に、人材育成の担当者が見過ごせない非対称が記録されている。報告者自身に由来する漏えい等9,494件では、最多の原因が誤交付・誤送付・誤廃棄で7,923件、83.5パーセント。委託先に由来する漏えい等2,248件では、最多の原因が不正アクセスで1,429件、62.8パーセントだった。同年度の指導及び助言は395件、勧告は1件である。

自社で起きる事故の8割は「うっかり」であり、委託先で起きる事故の6割は「攻撃」だ。攻撃者は、データが集約された場所を狙う。そしてLMSは、企業のなかで従業員データが最もきれいに集約される場所のひとつである。

韓国の統計も同じ方向を指す。2025年の流出届出447件のうち民間企業が319件、前年比57パーセント増。原因はハッキングが62パーセントで最多だった。日本の委託先由来の不正アクセス62.8パーセントとほぼ同じ数字が並ぶのは、偶然ではない。図の残りも見ておきたい。業務上の過失25パーセント、システムエラー5パーセント、故意の流出3パーセントを足せば、3件に1件は外部からの攻撃ではなく、内部の手続きと管理から起きている。インフラの堅牢さではなく、個人データのライフサイクル管理の問題である。

それでも、認証書一枚を万能扱いしてはいけない

「PマークかISO/IEC 27701の有無を確認すればよい」と整理したなら、半分だけ正しい。限界も併せて述べておきたい。認証は、特定時点の検証にすぎない。エムケイシステムの事案が突きつけたのは、運用の劣化こそが事故の直接原因になるという事実だった。取得した時点と、事故が起きる時点は同じではない。

適用範囲も、ほぼすべてを左右する。ベンダーが認証を持っていても、その範囲が導入するサービスを含んでいないことがある。

そして、クラウドには責任分界がある。ベンダーが「当社はお客様のデータを見ません」と説明したとき、それが担保されているかは別途確認すべき事項だ。ガイドラインQ&A 7-53は、クラウド事業者が個人データを取り扱わないこととなっている場合を、契約条項での定めと適切なアクセス制御の両方が揃う場合に限っている。エムケイシステムで委員会が委託関係を認定した決め手も、保守用IDに個人データの取得を防止する技術的措置がなかったことだった。認証は最低限のフィルターであって、免罪符ではない。

LMS選定で、実際に文書で求めるべき六つのこと

提案書の認証ロゴを数える代わりに、次の六点を文書で要求すればよい。いずれもRFPの評価項目に落とせるし、稟議書の添付資料にもなる。

認証書の原本と、そこに書かれた適用範囲。 認証番号、有効期間、維持状況を確認する。ISMS認証はISMS-ACの認証取得組織検索、PマークはJIPDECの付与事業者検索、ISMAPはIPAが運用するISMAPポータルのクラウドサービスリストで、誰でも直接照会できる。ベンダーの説明ではなく、公式の一覧で確かめる。

導入するサービス名が、その適用範囲に入っているか。 会社が認証を取得していることと、その製品が適用範囲に含まれていることは、まったく別の話だ。

個人データのライフサイクルを審査対象とする認証があるか。 ISMSだけか、PマークやISO/IEC 27701まであるのか。27701はISMSへのアドオンであり、ISMSだけでは、その領域は審査されていない。

委託契約に「取扱いの方法」がどこまで書かれているか。 法第25条の監督は、適切な委託先の選定、委託契約の締結、取扱状況の把握で評価される。改正法は、取扱いの方法をどこまで合意したかによって、委託先に適用される義務の範囲まで変える。契約書のひな形は、早めに法務部門と共有しておきたい。

監督を実際に行い、記録に残しているか。 「万全の体制です」というベンダーの説明を受け取るだけでは、取扱状況の把握を果たしたことにならない。年1回以上の委託先管理の点検と、その証跡が要る。

漏えい時の連絡が、契約と運用に落ちているか。 委託先は自社に通知すれば報告義務を免れ、委員会への報告と従業員への通知は自社に残る。速報の目安は概ね3日から5日以内だ。誰がいつ、どの経路で連絡するのかが契約になければ、その時計は自社が知らないうちに進む。

六点とも、セキュリティ部門の専門用語を使わずに、人材育成の担当者の言葉で聞いてかまわない。情報システム部門や法務部門との合議は、そのあとで十分だ。文書で答えが返ってこない項目があるなら、それ自体が一つの答えである。

私たちが、韓国でISMS-Pを先に取得した理由

タッチクラスを運営する株式会社ニューインは、韓国のISMS-P認証を保有している。認証番号はISMS-P-KISA-2025-066、認証範囲はオンライン教育プラットフォームサービス、有効期間は2025年12月3日から2028年12月2日までである。韓国の制度で、情報セキュリティの管理体系と個人情報の処理段階の双方を審査する統合認証にあたる。日本のPマークやISO/IEC 27701を取得しているという意味ではない。韓国の制度のなかで、どちらを先に取るかを選んだという話にすぎない。

その順番にした理由は単純だ。企業向け教育プラットフォームが預かるのは、クラウドインフラである前に、従業員の個人データである。取得から廃棄、本人の権利保障までを審査対象に含む認証こそが、この事業にとって最も直接的な保証になると判断した。もちろん、認証が事故を防いでくれるわけではない。ただ、どの項目を審査されたのかだけは、ベンダーを選ぶ側がいつでも確認できる状態にあるべきだ。

日本でLMSを選ぶ担当者が持ち帰るべき点は、二つでよい。認証ロゴの数を数えるのをやめ、個人データの取得から廃棄までが審査表に載っているかを確かめること。そして、事故が起きたときに委員会へ報告書を書くのは誰なのかを、契約書の上で先に決めておくことである。

あわせて読みたい記事

• 個人AIツールの拡大を防ぐ人材育成：禁止ではなく安全な業務習慣を教える
• 規制産業の教育管理は、受講完了率より監査証跡の設計が重要になる
• cmi5学習データ設計：LMS外の業務経験まで証拠としてつなぐ

参考文献

• 個人情報保護委員会「株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について」(2024年3月25日、法第147条にもとづく指導): https://www.ppc.go.jp/files/pdf/240325_houdou.pdf
• 個人情報保護委員会「個人情報保護法等の一部を改正する法律案について」(2026年4月、課徴金制度・委託規律・漏えい等報告): https://www.ppc.go.jp/files/pdf/260407_kisyahaifusiryou.pdf
• 参議院「個人情報の保護に関する法律等の一部を改正する法律案」議案情報(2026年7月10日可決・成立): https://www.sangiin.go.jp/japanese/joho1/kousei/gian/221/meisai/m221080221054.htm
• 個人情報保護委員会「令和6年度 個人情報保護委員会 年次報告」(漏えい等報告の原因分析、指導及び助言395件、勧告1件): https://www.ppc.go.jp/aboutus/report/annual_report_2024/
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」(速報は概ね3〜5日以内、確報は30日以内・不正の目的の場合60日以内、報告対象事態): https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会 よくある質問「委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。」(法第26条第1項ただし書、施行規則第9条による委託先の報告義務免除): https://www.ppc.go.jp/all_faq_index/faq3-qb3-8/
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(法第23条の安全管理措置、法第25条の委託先の監督): https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
• 個人情報保護委員会 よくある質問「個人情報取扱事業者等が個人情報保護法に違反した場合、どのような措置が採られるのですか。」(法第178条、法第184条の両罰規定): https://www.ppc.go.jp/all_faq_index/faq1-q11-1/
• e-Gov法令検索「個人情報の保護に関する法律施行規則」: https://laws.e-gov.go.jp/law/428M60020000003
• 内閣サイバーセキュリティセンター(NISC)「政府情報システムのためのセキュリティ評価制度(ISMAP)」: https://www.cyber.go.jp/policy/group/general/ismap.html
• ISMAPポータル「ISMAP概要」および「ISMAPクラウドサービスリスト」(運用支援機関はIPA): https://www.ismap.go.jp/csm?id=cloud_service_list
• 情報マネジメントシステム認定センター(ISMS-AC)「ISMS認証取得組織数推移」: https://isms.jp/lst/ind/suii.html
• 情報マネジメントシステム認定センター(ISMS-AC)「ISMS-PIMS認証」(ISO/IEC 27701:2019、ISMS認証への拡張): https://isms.jp/isms-pims.html
• 日本情報経済社会推進協会(JIPDEC)「プライバシーマーク制度」(JIS Q 15001、付与事業者数): https://privacymark.jp/
• 日本経済新聞「ベネッセ情報流出、1人3300円賠償命令 東京地裁判決」(2023年2月27日判決、委託元の監督義務違反を認定): https://www.nikkei.com/article/DGXZQOUE242UP0U3A220C2000000/
• NTT西日本「お客さま情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取組みについて」(2024年2月29日、約928万件): https://www.ntt-west.co.jp/news/2402/pdf/240229a_1.pdf
• 韓国 政策ブリーフィング「韓国個人情報保護委員会、クパンに対し過去最大となる課徴金6,246億ウォン超を賦課」(2026年6月10日): https://www.korea.kr/news/policyNewsView.do?newsId=148966578
• 韓国個人情報保護委員会・韓国インターネット振興院「2025年 個人情報流出届出および調査・処分事例の分析」(2026年5月15日): https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12078
• 韓国 個人情報ポータル(韓国個人情報保護委員会・韓国インターネット振興院)「ISMS-P認証基準」: https://www.privacy.go.kr/front/contents/cntntsView.do?contsNo=59
• 韓国インターネット振興院(KISA)「ISMS-P認証書 発給状況の公式一覧」: https://isms-p.or.kr/sttus/cert/selectCrtfctIsueList.do