【日本版DBS】専門家なしで対応するとどうなる？情報管理措置の見落としがちな5つのリスク

こんにちは。行政書士・情報処理安全確保支援士の毛利です。
日頃のちょっとした悩みに行政書士がお答えする、教えてもーりーのコーナーです。
今回は、情報管理措置を専門家なしで対応した場合に直面するリスクについてのお話です。

自分たちで対応できちゃう気がするけれど・・・

「情報管理規程のひな型は公開されているし、自分たちで対応できるんじゃないの？」

こう考える事業者様は少なくありません。
実際、規程のひな型自体はこども家庭庁のウェブサイトから無料でダウンロードできます。
書式を埋めるだけであれば、専門家に依頼しなくても対応は可能です。

しかし、「ひな型を埋めて提出できる」ことと、「情報管理措置が適切に実施できている」ことは、別の話です。
この記事では、専門家を交えずに自力対応した場合に見落としがちなリスクを、行政書士かつ情報処理安全確保支援士（登録セキスペ）の立場から整理します。

リスク1：ひな型と実態が乖離したまま提出してしまう

情報管理規程のひな型は3種類（ひな型①・②・③）あり、「こまもろうシステムの情報を閲覧する責任者が一人なのか複数名なのか」、「システム以外で記録・保存を行うか否か」によって、選ぶべきものが異なります。

自力で対応する場合、「とりあえず一番シンプルなひな型①を使っておこう」と、実態を十分に検討せずに選んでしまうケースが見られます。
しかし、実際には複数の担当者が閲覧していたり、紙の書類も併用しているのに、責任者一人・記録保存なしを前提としたひな型①を提出してしまうと、規程と実態が乖離した状態になります。

この乖離は、平時には表面化しません。
しかし、万が一漏えいが発生した際に、「規程通りに運用されていなかった」と判断される可能性があります。
これが事業者としての管理責任が問われるリスクにつながります。

リスク2：アクセス権限の設計が甘くなる

規程のひな型には「取扱者」を記載する欄がありますが、「誰が実際にどこまでアクセスできるか？」という具体的な設計は、ひな型を埋めるだけでは完成しません。

自力で対応する場合、以下のような状態になりがちです。

「担当者」とだけ記載し、具体的に誰が該当するか曖昧なまま
現場のスタッフ全員がシステムにアクセスできる状態を放置
退職者のアクセス権限が削除されないまま残っている

こうした状態は、規程上は「対応済み」に見えても、実際の情報セキュリティとしては不十分です。
「誰が、どこまでアクセスできるか？」を必要最小限に設計することは、情報セキュリティの専門知識が求められる領域であり、法律の条文を読むだけでは気づきにくいポイントです。

アクセス権限の設計については、こちらで詳しく解説しています。

【日本版DBS】どう設計すればいい？犯罪事実確認記録等のアクセス権限。「最小権限の原則」を解説

リスク3：継続的な見直しのフェーズが抜け落ちる

これは以前の記事でも触れましたが、情報管理措置は規程の作成・提出で完了するものではありません。
取扱状況を定期的に把握し、必要に応じて規程を見直すところまでを含めて、情報管理措置とされています。

こども性暴力防止法施行ガイドラインでは、この取扱状況の把握・見直しについて、情報処理安全確保支援士等のセキュリティ資格を保有する者が実施することが標準的な対応として位置づけられています。
自力対応の場合、規程を提出した時点で「対応完了」と考えてしまい、このフェーズがそのまま抜け落ちてしまうケースが多く見られます。