小規模な事業者で、担当者が実質1人しかいない場合はどうすればいいですか？

担当者が1人であっても、その担当者が不在の場合の代替フロー（誰がバックアップするか？）を事前に検討しておくことをおすすめします。また、「ひな型①：責任者一人のみ・記録保存なし」が、この体制に対応しています。

システムのアクセスログは、こまもろうシステム側で自動的に記録されますか？

システムの仕様については、こども家庭庁が公表する最新のマニュアル等をご確認ください。システム側の記録内容に応じて、事業者側で追加の記録・管理が必要になる場合があります。

もちろん可能です。組織体制の変化に応じて、情報管理規程とアクセス権限の設計を随時見直すことが、求められています。

教えてもーりー

2026年9月13日 / 最終更新日時 : 2026年9月16日 zabardast こども性暴力防止法

こんにちは。行政書士・情報処理安全確保支援士の毛利です。
日頃のちょっとした悩みに行政書士がお答えする、教えてもーりーのコーナーです。
今回は、犯罪事実確認記録等へのアクセス権限の設計についてのお話です。

これまでの記事で、情報管理措置には「アクセス権限の設計」が欠かせないことを繰り返しお伝えしてきました。
しかし、「具体的にどう設計すればいいのか？」という点は、法律の条文を読むだけでは分かりません。

この記事では、情報セキュリティの世界で基本とされる「最小権限の原則」という考え方をもとに、犯罪事実確認記録等へのアクセス権限をどう設計すべきかを、行政書士かつ情報処理安全確保支援士（登録セキスペ）の立場から具体的に解説します。

こまもろうシステムで得た犯罪事実確認記録等は、性犯罪前科という極めて機微な個人情報です。
この情報に「誰が」「どこまで」アクセスできるかを設計せずに運用すると、以下のようなリスクが生じます。

情報管理規程に「取扱者」を記載するだけでは、これらのリスクは解消されません。
規程に書いた内容を、実際のシステム・運用に反映させる作業が、アクセス権限の設計です。

最小権限の原則とは、情報セキュリティの世界で広く使われている基本的な考え方で、「業務上必要な人に、必要な範囲でのみ、アクセス権限を与える」というものです。

「念のため、みんなが見られるようにしておく」などという発想は、最小権限の原則の対極にあります。
情報管理措置においても、この原則に基づいた設計が当然に求められます。

まず、犯罪事実確認記録等に「業務上、本当にアクセスする必要がある人」を特定します。

現場の一般スタッフ、アルバイト・パートスタッフの大多数は、通常この情報にアクセスする必要はありません。
「知っておいた方が安心だから」という理由でアクセス権限を与えることは、最小権限の原則に反します。

アクセス権限は、一括りに「アクセスできる／できない」で考えるのではなく、以下のように行為ごとに分けて設計すると、より安全な体制になります。

権限の種類	内容	与える対象の例
閲覧権限	情報を見ることができる	管理責任者、および人事・採用担当者（新規採用時など、業務上の必要がある場合に限る）
記録・保存権限	情報を記録・保存できる	管理責任者、または管理責任者が指名した特定の担当者1名
削除・廃棄権限	情報を削除・廃棄できる	管理責任者のみ（担当者が廃棄作業を行う場合も、管理責任者の承認・立会いを必須とする）

このように、権限の種類によって対象者の範囲を変えることがポイントです。
「閲覧」よりも「記録・保存」、「記録・保存」よりも「削除・廃棄」のほうが、情報に対する影響が大きい行為であるため、より限定された人にのみ権限を与える設計が望まれます。

複数拠点を持つ事業者では、本部と各拠点でこの権限をどう分けるかも、事前に整理しておく必要があります。