機微情報とは、漏洩、不正利用、改ざんなどが起きた場合に、本人や企業へ大きな不利益を与える可能性があるため、通常の情報より慎重な管理が必要な情報を指す言葉です。
企業では、病歴や健康診断結果などの個人情報だけでなく、マイナンバー、認証情報、金融情報、顧客データ、契約条件、設計図、研究開発情報、未公表の経営情報なども、実務上「機微な情報」として扱われることがあります。
ただし、「機微情報」は個人情報保護法で一律に定義された単一の法的区分ではありません。法律上は「要配慮個人情報」「特定個人情報」「営業秘密」など、それぞれ異なる定義と保護ルールがあります。また、信用分野の個人情報保護ガイドラインでは「機微（センシティブ）情報」という独自の範囲が定められています。
そのため企業では、「機微情報という名称かどうか」ではなく、どの法令・契約・社内規程が適用され、漏洩時にどの程度の影響が生じる情報なのかを分類して管理する必要があります。
機微情報とは
機微情報は、一般に「外部へ漏れたり、不適切に利用されたりすると影響が大きいため、慎重に取り扱うべき情報」という意味で使われます。
英語ではSensitive Information、Sensitive Dataなどと表現されます。
一方、日本の法令では「機微情報」という一つのカテゴリーですべてを定義しているわけではありません。
たとえば、個人情報保護法では差別や偏見などの不利益につながり得る情報を「要配慮個人情報」と定義しています。
個人情報保護委員会のガイドラインでは、次のような情報が要配慮個人情報に含まれます。
- 人種
- 信条
- 社会的身分
- 病歴
- 犯罪の経歴
- 犯罪被害を受けた事実
- 身体障害、知的障害、精神障害などに関する情報
- 健康診断やストレスチェックなどの結果
- 保健指導の内容
- 診療・調剤に関する情報
- 逮捕、捜索、勾留など刑事事件に関する手続が行われた事実
- 少年保護事件に関する手続が行われた事実
これらは「機微情報」と呼ばれることがありますが、企業で管理すべき機微情報の範囲は要配慮個人情報だけではありません。
機微情報の具体例
企業が機微性を考慮して管理する情報は、大きく次のように整理できます。
| 分類 | 具体例 | 主なリスク |
|---|---|---|
| 要配慮個人情報 | 病歴、健康診断結果、障害、犯罪歴など | 差別、偏見、プライバシー侵害 |
| 本人確認・識別情報 | マイナンバー、本人確認書類、生体認証情報 | なりすまし、不正契約 |
| 金融・決済情報 | 銀行口座、カード情報、ローン残高、資産情報 | 金銭被害、詐欺 |
| 認証情報 | ID、パスワード、APIキー、秘密鍵、セッション情報 | アカウント乗っ取り、システム侵害 |
| 顧客・従業員情報 | 顧客名簿、人事評価、給与、緊急連絡先 | プライバシー侵害、フィッシング |
| 経営情報 | 未公表決算、M&A、事業計画、価格戦略 | 株価・交渉・競争への影響 |
| 技術情報 | 設計図、ソースコード、製造方法、研究開発データ | 技術流出、競争力低下 |
| 契約・取引情報 | 仕入価格、取引条件、提携内容 | 交渉力低下、取引先への影響 |
| セキュリティ情報 | ネットワーク構成、脆弱性情報、管理者情報 | 攻撃への悪用 |
この表のすべてが、個人情報保護法上の「要配慮個人情報」に該当するわけではありません。
機微性は、情報の種類だけでなく「漏れた場合に何が起こるか」で評価します。
たとえば、公開済みのメールアドレスは単体では機微性が低い場合があります。一方、役員のメールアドレス、社内ID、取引先情報、組織図などと組み合わされると、標的型フィッシングやBECに使われる可能性が高まります。
機微情報と要配慮個人情報の違い
「機微情報」と「要配慮個人情報」は同じ意味で使われることがありますが、厳密には異なります。
| 用語 | 位置付け | 主な対象 |
|---|---|---|
| 機微情報 | 一般用語。分野や組織によって範囲が異なる | 個人情報、認証情報、営業秘密、経営情報など |
| 要配慮個人情報 | 個人情報保護法で定義 | 病歴、健康診断結果、障害、犯罪歴など |
| 個人情報 | 個人情報保護法で定義 | 氏名、住所、電話番号など、個人を識別できる情報 |
| 特定個人情報 | マイナンバー法上の区分 | マイナンバーを含む個人情報 |
| 営業秘密 | 不正競争防止法で定義 | 秘密管理性・有用性・非公知性を満たす技術・営業情報 |
| 機密情報 | 組織の情報分類で使われる用語 | 社外秘、秘密情報、重要な業務情報など |
個人情報保護法上の分類については、個人情報とは？分類の違いと企業での適切な取り扱い方を解説で整理しています。
「機微情報」は法律上の統一定義ではない
企業が注意したいのは、「機微情報」という言葉が常に同じ範囲を意味するわけではない点です。
個人情報保護法には「機微情報」という一般的な法定区分はありません。
一方、信用分野における個人情報保護ガイドラインでは、「機微（センシティブ）情報」という用語が明確に使われています。
同ガイドラインでは、要配慮個人情報に加えて、
- 労働組合への加盟
- 門地
- 本籍地
- 保健医療
- 性生活
などに関する情報を、一定の例外を除いて「機微（センシティブ）情報」として扱っています。
この定義は与信事業者向けのガイドライン上のものです。
そのため、「労働組合への加盟や本籍地はすべて個人情報保護法上の要配慮個人情報である」と一般化するのは正確ではありません。
企業では、自社が属する業界の法令・ガイドラインを確認した上で情報分類を決める必要があります。
機微情報と営業秘密の違い
企業秘密も広い意味では機微情報として扱われますが、不正競争防止法の「営業秘密」とは区別します。
経済産業省によると、営業秘密として不正競争防止法の保護を受けるには、次の3要件を満たす必要があります。
- 秘密管理性：秘密として管理されている
- 有用性：事業活動に有用な技術上・営業上の情報である
- 非公知性：公然と知られていない
たとえば新製品の設計図が社内で慎重に扱うべき機微情報であっても、秘密として管理されていなければ、不正競争防止法上の営業秘密として認められない可能性があります。
「機微だから守る」だけでなく、法的保護を受けたい情報については、秘密表示、アクセス制限、規程、従業員教育などによって秘密管理性を確保する必要があります。
機微情報の漏洩で何が起こるのか
機微情報の漏洩は、一般的な連絡先情報の漏洩より影響が長期化する場合があります。
健康・医療情報
病歴や健康診断結果は変更できない情報です。
漏洩すると、本人のプライバシー侵害だけでなく、差別、偏見、不適切な勧誘などにつながる可能性があります。
認証情報
パスワード、秘密鍵、APIキーなどが漏れると、他システムへの侵入に直接利用される可能性があります。
漏洩した情報そのものより、その情報を使った二次侵害の方が大きな被害につながるケースもあります。
財務・金融情報
口座情報、ローン残高、資産情報などは、詐欺やなりすましを高度化する材料になります。
氏名、住所、電話番号などと組み合わせることで、本人を狙ったソーシャルエンジニアリングにも利用できます。
技術・営業情報
設計情報、ソースコード、仕入価格、顧客リストなどが流出すると、競合他社への技術流出や取引条件の悪化につながる可能性があります。
個人情報と異なり、被害対象が「本人」ではなく企業の競争力そのものになるケースがあります。
セキュリティ対策Labで取り上げた機微情報の漏洩事例
セキュリティ対策Labでは、健康・医療情報などの要配慮個人情報や、その他の高リスク情報が影響を受けた事例を継続的に取り上げています。
ここでは、機微情報管理の観点で参考になる事例を整理します。
審調社 医療情報を含む約1,200件の漏洩を確認
保険調査などを行う審調社は、ランサムウェア被害後の調査で、委託元から受けた調査データの漏洩を確認しました。
セキュリティ対策Labがまとめた最終報告では、番号、氏名等に加えて要配慮個人情報である医療情報を含むものが約1,200件確認されています。
保険・共済分野では、氏名だけでなく医療情報や契約関連情報が同じ業務データに含まれる場合があります。
委託先が攻撃を受けることで、複数の委託元が保有する機微情報へ影響が波及する点も確認できます。
奈良県 職員142人分の健康診断結果を誤送信
奈良県では2025年、職員の健康診断結果を含む名簿が、本来共有する必要のない所属へ誤送信される事案が発生しました。
対象は142人分で、氏名、職員番号、所属、生年月日のほか、健康管理指導区分や再検査項目などが含まれていました。
健康診断結果は個人情報保護法上の要配慮個人情報に該当します。
この事例は、サイバー攻撃がなくても、アクセス範囲や送信先の設定ミスだけで機微情報が漏洩することを示しています。
奈良県職員の健康診断結果が誤送信、142名分の要配慮個人情報が一斉送付される
美濃工業 従業員・元従業員の健康診断結果が漏洩した可能性
美濃工業はサイバー攻撃を受け、一部の業務用サーバーやPCが暗号化されました。
その後の調査で、業務用サーバーから外部への情報送信が確認され、従業員・元従業員に関する個人情報が含まれていた可能性が公表されました。
対象となり得る情報には、
- 氏名
- 性別
- 生年月日
- 国籍
- 住所
- メールアドレス
- 所属、役職
- 健康診断結果などの健康情報
が含まれます。
ただし、外部送信されたデータの内容を完全には特定できず、健康診断結果等が実際に漏洩したことまで確定した事案ではありません。
IHIグループ健保・RIZAP 210人分の個人情報を生成AIへ参照
IHIグループ健康保険組合では、特定保健指導を委託していたRIZAPの従業員が、対象者210人分の個人情報を生成AIへ参照させた事案が公表されました。
特定保健指導では健康診断結果や保健指導内容など、要配慮個人情報を扱う可能性があります。
ただし、今回生成AIへ参照された具体的な情報項目は公表されておらず、第三者への漏洩も確認されていません。
このため「210人分の要配慮個人情報が漏洩した」と断定することはできません。
一方、機微情報を扱う業務で、従業員が外部AIサービスへデータを入力できる状態をどのように管理するかという課題が表面化した事例です。
IHIグループ健保、RIZAP委託業務が210名分の個人情報を生成AIに参照
機微情報を守るための防御方法
機微情報は「取り扱い注意」とラベルを付けるだけでは守れません。
企業では、情報の分類、アクセス制御、持ち出し防止、監視、削除までを一連の仕組みとして設計します。
1．機微情報を分類し、所在を把握する
最初に行うのは「どの情報が機微情報か」を決めることです。
情報分類の例として、
- 公開情報
- 社内情報
- 機密情報
- 高機密情報
などの段階を設けます。
そのうえで、高機密情報に該当するデータについて、
- 保存場所
- 管理部門
- データオーナー
- 利用者
- 保存期間
- 委託先
- バックアップ先
を把握します。
機微情報がどこにあるか分からなければ、漏洩時に影響範囲を調査することもできません。
2．アクセス権限を最小化する
機微情報へアクセスできる従業員は、業務上必要な範囲へ限定します。
具体的には、
- RBACによる職務別アクセス制御
- 特権IDの分離
- 退職・異動時の権限削除
- 定期的なアクセス権レビュー
- 共有アカウントの廃止
- MFAの適用
などを組み合わせます。
「社内ネットワークにいるから閲覧できる」という設計ではなく、情報ごとにアクセス可能な利用者を限定します。
3．DLPで外部送信・アップロードを制御する
メール誤送信、クラウドストレージ、USBメモリ、生成AIなどへのデータ持ち出しには、DLP（Data Loss Prevention）を利用できます。
たとえば、
- マイナンバーを含むファイルの外部送信を遮断
- 大量の個人情報をメール添付した場合に警告
- 未承認クラウドへのアップロードを禁止
- 個人向け生成AIへのファイル送信を制御
- USBメモリへのコピーを制限
といったルールを設定します。
特に生成AIでは、利用ルールを周知するだけでなく、CASB、SSE、Webフィルタリング、DLPなどで実際のデータ送信を把握することが対策になります。
関連記事：AIや生成AIの情報漏洩 事例を解説
4．保存時・通信時に暗号化する
機微情報は、保存中と通信中の両方で保護します。
- PC・サーバーのディスク暗号化
- データベース暗号化
- ファイル暗号化
- TLSによる通信暗号化
- バックアップ暗号化
- 暗号鍵の分離管理
などが対象になります。
ただし、正規利用者のアカウントが乗っ取られた場合、暗号化済みデータを正規権限で閲覧される可能性があります。
暗号化だけでなく、ID・アクセス管理と監視を組み合わせる必要があります。
5．EDR・SIEMで不正アクセスを監視する
機微情報へアクセスする端末やサーバーでは、不正な操作を検知できる状態を作ります。
確認したいログは次のとおりです。
- ログイン
- ファイルアクセス
- 権限変更
- 大量ダウンロード
- 外部通信
- USB利用
- クラウド管理操作
- データエクスポート
EDRやSIEMを導入していても、アラートを確認する担当者がいなければ検知後の対応が遅れます。
重要なデータについては、「誰が、いつ、何件閲覧・取得したか」を追跡できる状態を維持します。
6．データを必要以上に保存しない
機微情報は、保有量が多いほど漏洩時の影響も大きくなります。
業務上必要な保存期間を定め、
- 退職者情報
- 過去の健康診断データ
- 古い顧客情報
- 不要になったバックアップ
- 一時作業用ファイル
- データ移行時のコピー
などを定期的に削除します。
システム移行やデータ分析のために作られた一時ファイルが、そのまま数年間残るケースにも注意が必要です。
7．委託先・SaaS・生成AIまで管理対象にする
自社が機微情報を適切に管理していても、委託先で漏洩する場合があります。
契約時には、
- 再委託の有無
- データ保存国
- アクセス権限
- ログ取得
- 暗号化
- データ削除
- インシデント通知期限
- 生成AIへの入力可否
- 契約終了後のデータ消去
を確認します。
審調社の事例のように、委託先のインシデントが複数の委託元へ波及するケースもあります。
8．内部不正を前提に操作ログを残す
機微情報の漏洩原因は外部攻撃だけではありません。
従業員や委託先による不正持ち出し、誤操作も想定します。
- 大量ダウンロードの検知
- 退職予定者の権限確認
- USB・クラウドへの持ち出し監視
- メール転送の監視
- 管理者操作ログ
- データエクスポート承認
などを組み合わせます。
監視する場合は、従業員への通知、就業規則、プライバシーへの配慮なども合わせて設計します。
機微情報が漏洩した場合の対応
機微情報の漏洩または漏洩のおそれが判明した場合は、まず情報の種類と影響範囲を確認します。
主な確認項目は次のとおりです。
- どの情報が対象か
- 対象人数・件数
- 実際に外部へ送信・閲覧されたか
- 認証情報や秘密鍵が含まれるか
- 要配慮個人情報が含まれるか
- マイナンバーが含まれるか
- 営業秘密が含まれるか
- 個人情報保護委員会などへの報告義務があるか
- 本人通知が必要か
- パスワード変更や鍵失効など即時措置が必要か
要配慮個人情報を含む個人データの漏洩等が発生した、または発生したおそれがある場合、個人情報保護法上、個人情報保護委員会への報告と本人通知が必要になるケースがあります。
一方、営業秘密や認証情報は別の対応が必要です。
秘密鍵が漏れた場合は鍵を失効し、パスワードが漏れた場合はセッション失効やパスワード変更を行います。
「機微情報漏洩」という一つの言葉だけで対応を決めず、情報の種類ごとに必要な措置を分けます。
情報システム部門が確認したいポイント
企業で機微情報を管理する際は、次の項目を確認できます。
- 自社で「機微情報」に分類する情報を定義しているか
- 要配慮個人情報、特定個人情報、営業秘密を区別しているか
- 機微情報の保存場所を一覧化しているか
- 情報ごとにデータオーナーが決まっているか
- アクセス権限を定期的にレビューしているか
- DLPで外部送信やクラウドアップロードを制御できるか
- 個人向け生成AIへ機微情報を送信できないようにしているか
- 重要データへのアクセスログを保存しているか
- 不要になったデータを削除しているか
- 委託先の機微情報管理を契約・監査で確認しているか
- 漏洩時の報告・本人通知・認証情報失効の手順を定めているか
機微情報の管理では、「秘密」と表示するだけでなく、情報分類に応じてアクセス権、暗号化、DLP、ログ監視、保存期間、委託先管理を変える必要があります。
まとめ
機微情報とは、漏洩や不正利用によって本人や企業へ大きな不利益を与える可能性があるため、慎重な取り扱いが必要な情報を指す一般的な表現です。
個人情報保護法の「要配慮個人情報」と同義ではなく、企業ではマイナンバー、金融情報、認証情報、営業秘密、経営情報、技術情報なども機微情報として管理する場合があります。
実務では、「何が機微情報か」を決めるだけでなく、
- 法令上の区分
- 漏洩時の影響
- 保存場所
- アクセスできる人
- 外部送信方法
- 保存期間
- 委託先
- 漏洩時の対応
まで決めておく必要があります。
特に健康・医療情報などの要配慮個人情報は、取得・第三者提供・漏洩時の対応に個人情報保護法上のルールがあるため、一般的な社内機密情報とは分けて管理します。
