安全管理措置の更新案：MFA・ログ保護を委託契約と監査項目へ落とし込む

結論：全項目の一律義務化と扱わず、委託先の実装範囲を確認する

編集上の法的論点整理：本案を根拠に、すべての委託先へ特定製品の購入やすべての例示の実装を求める整理は避けてください。先に、取り扱う個人データ、接続経路、管理権限、委託業務を特定し、現行の安全管理措置と契約上の分担を照合します。

実務上の提案：法務は安全管理措置の条項・監査権・事故対応協力を、情シスは構成・設定・ログ・検証結果を持ち寄ります。採用していない手法については、対象外の理由、代替措置、残るリスク、承認者を記録します。「例示だから対応不要」という逆方向の判断も、現行の安全管理措置の必要性を検討する根拠にはなりません。

背景と法的根拠：現行の安全管理・委託先監督と更新案を区別する

確認済み事実：第374回個人情報保護委員会は2026年10月28日に開催され、通則編等の安全管理措置の更新案を会議資料として掲載しています。資料2-1は、クラウド利用や攻撃動向を踏まえた手法の例示等の追加・明確化として説明しています。

確認済み事実：現行の通則編3-4-2は法第23条の安全管理措置を、3-4-4は法第25条の委託先監督を扱います。委託先選定、契約、取扱状況の把握を、扱うデータや業務のリスクに応じて検討する構造です。

確認済み事実：資料2-2-1は、講じなければならない措置と、その実践方法の例示を区別しています。例示のすべてを講じなければ直ちに違法となるわけではなく、適切な手法が例示に限定されるわけでもないと説明しています。編集上の整理として、この区別を監査質問票の判定基準にも反映します。

具体的な期日・対象範囲・関係条項

日付の確認：会議開催日＝2026-10-28、掲載確認日＝2026-10-29。会議資料の独立した公表日＝null、最終更新日＝null、更新案の確定適用日＝null、具体的な意見募集開始日・締切日＝nullです。sourcesの会議ページのsourceDateは開催日であり、規則やガイドラインの施行日ではありません。

確認済み事実：資料2-1のスケジュール案は、委員会決議後1か月の意見募集と、その後可能な限り早い改正事項の決定・施行を示しています。以前の2027年4月施行という予定を、そのまま確定期限として転記しないでください。

対象の整理：本記事は民間事業者向けの通則編別添10、法第23条、委託に該当する場合の法第25条を軸にします。会議資料には特定個人情報のガイドラインに関する案もありますが、取扱対象の違いを省略して同一の契約別紙へ流用しないでください。

編集上の留意点：クラウドサービスの名称だけで法第25条の委託該当性を決めず、契約と実際の個人データの取扱いを確認します。本記事は、すべてのクラウド契約について委託に該当するという前提を置きません。

契約書・社内規程・SLAで確認する条項と文言

編集上の条項案：受託者は、別紙に定める対象システム及び取扱業務について、認証、権限管理、ログの保存及び保護、不正アクセスの検知並びに被害拡大防止に関する措置を実施する。適用対象、例外、代替措置、実施主体及び確認資料は同別紙に定める。重要な変更が生じた場合の連絡方法及び協議手順も同別紙に定める。

証跡提供の条項案：受託者は、合意した監査の目的及び範囲に必要な資料を、合意した方法及び期限で委託者に提供する。他の顧客の情報、個人情報及び営業秘密に配慮し、開示制限があるときは、理由及び代替資料を示して協議する。これは交渉用の検討材料であり、無制限のログ開示権や立入監査権を意味しません。

運用別紙の確認点：認証対象には一般利用者だけでなく管理者、保守担当、外部利用者を含めて棚卸しします。MFAの適用範囲、緊急用経路、許可端末の判定、例外承認・終了条件、ログの項目・保存期間・改ざん防止、検知時の連絡先と停止権限を個別に合意します。

SLAとの接続：稼働率を満たすことと、必要な認証・監査証跡を確保することは別に確認します。監視やログ取得の追加料金、緊急隔離による停止の扱い、復旧承認、調査費用、再委託先への確認を、契約本文・DPA・SLA・運用別紙の優先関係と照合します。案の公開だけで既存契約が自動的に変更されたとは扱いません。

技術仕様・責任分界・監査証跡の法務・情シス連携

確認済み事実：更新案には、複数の認証手法の組合せ、アクセス要求時の動的な状況の評価、許可された端末、特権アカウントの限定が示されています。資料2-2-2では、ログの一定期間の保管・保護・分析と、侵害されたシステムの停止・隔離やアカウント無効化なども例示されています。

編集上の確認方法：MFAを導入しているという回答には、対象サービス・アカウント、適用されない経路、実際の認証記録を対応付けます。端末制御は登録の有無だけでなく、何を安全な状態と判断し、不適合時にどう拒否するかを情シスと確認します。製品名や認証取得の有無だけで充足を判定しないことを提案します。

ログの別紙には、対象イベント、取得元、時刻基準、保存先、閲覧・削除権限、提供手順、費用を記載します。本案から一律の保存日数は導けません。目的、事故調査に要する期間、契約、保存に伴う情報漏えいリスクを踏まえて定め、取得・検索・取り出しができるかを試験します。

侵入後の対応は、監視委託先が検知する役割、運用委託先が隔離する役割、業務責任者が停止・再開を承認する役割を分けます。緊急時の事前承認条件と事後報告、証跡保存、誤検知時の復旧を合わせて定めます。停止権限だけを追加して復旧条件を空欄にすると、事業継続上の問題が残ります。

法務部門向け実務チェックリスト／対応手順

手順1：現行ガイドラインと今回の案を別ファイル・別版で保管し、対象条項、案の状態、確認日、追跡担当者を台帳化します。手順2：個人データの所在と取扱主体を確認し、委託契約と運用別紙を集めます。手順3：認証・端末・権限・ログ・隔離の各項目について、実装、証跡、例外、責任者を照合します。

手順4：不足を、現在のリスクへの対応と、案の確定後に判断する改訂に分けます。手順5：契約更新や追加費用の承認前に、少数の対象で認証拒否、ログ取出し、緊急連絡、隔離・復旧の手順を確認します。手順6：正式な意見募集・結果・確定版を確認し、必要な改訂と教育を承認します。意見提出そのものは本記事の公開と別の行為です。

公式一次情報と本記事の対応範囲

根拠資料は、下記の個人情報保護委員会の会議ページ、配付資料及び現行の通則編です。日付が月までしか確認できない資料は、日を補完せずsourceDateをnullとしています。確認済み事実と、当事務所による条項案・点検方法の提案は本文で区別しています。

本記事は個別案件の法的助言や代理交渉を行うものではなく、検討材料です。山崎行政書士事務所では行政書士の業務範囲内で契約書類・社内規程の作成支援や事実関係の整理を行います。具体的な義務の充足、紛争、代理交渉その他の判断は、個別事案に応じて弁護士等の専門家への確認が必要です。