鹿児島市が下期に発生した個人情報漏えい事案を11件公表したことは、注意不足では片付かない構造問題を示します。企業でも、業務起因の誤送信・誤公開・設定不備・持ち出しが連鎖すると、顧客や従業員の信頼が長期にわたり毀損します。まずは「どこで」「なぜ」ミスが起きるかを、全社共通の統制として捉える必要があります。
特に、人手不足や繁忙期に例外運用が常態化すると、ルールは存在しても守られない状態になります。情シスは現場の実態を前提に、ミスを前提とした設計へ転換することが重要です。
最頻出はメール・郵送の「宛先／添付」ミスです。外部宛メールの遅延送信、宛先ドメイン制御、Bcc強制など、確認を人からシステムへ寄せます。添付は暗号化運用に依存せず、期限付きリンク共有やダウンロード制限で持ち出し面を減らします。
次にクラウドの誤公開・権限設定不備です。公開範囲、リンク共有、権限継承、検索エンジン索引のチェックをチェックリスト化し、機微情報フォルダは原則「招待制のみ」に固定します。外部共有が発生した際に検知できる監視（ログ監視やCASB等）も、規模に応じて段階導入します。
再発防止の土台は、データ分類と取扱基準の明確化です。個人情報を一括りにせず、機微度に応じて保存場所、共有方法、持ち出し可否、暗号化要件、ログ要件を定義します。基準が曖昧だと現場判断が増え、結果として緩い運用になります。
加えて、最小権限と棚卸しを「異動・退職・委託終了」のイベントに連動させます。四半期ごとの権限レビュー、アカウント停止の自動化、委託先を含むID管理の標準化により、過剰権限や残存アカウントを減らせます。
漏えい時に問われるのは、謝罪の巧拙ではなく、事実の透明性と再発防止の具体性です。対象範囲（人数・項目・期間）、第三者閲覧の可能性、想定される悪用（なりすまし・フィッシング等）を、住民／顧客視点で具体的に示します。相談窓口、本人確認、再発行などの手続きも同時に提示し、不安の解消を優先します。
そのために平時から、証跡確保、報告経路、広報・法務・現場・委託先の役割分担を定め、机上訓練を定例化します。DXを進めるほど影響範囲は拡大するため、調達・要件定義の段階で運用（教育、監査、ログ、権限棚卸し）まで含めた設計を行うことが、再発防止と信頼回復の近道です。
