情報管理措置の落とし穴――「犯歴確認」の影に隠れた「情報管理措置」という真のリスク情報管理措置の落とし穴

こども性暴力防止法（日本版DBS）の施行を12月に控え、世間の関心はどうしても「誰が対象になるのか」「どうやって犯罪事実を確認するのか」という「犯罪事実確認(日本版DBS)」にばかり向きがちです。

しかし、実務運用を開始するにあたり、事業者が最も注意を払い、今すぐ対策を講じるべきは「情報管理措置」です。

情報管理措置で扱うデータは、個人の尊厳に直結する極めて機微な「犯罪歴」です。

もしこの情報が外部に漏洩、あるいはサイバー攻撃によって喪失した場合、事業者が被る社会的・経済的ダメージは計り知れません。「うちは大企業ではないから大丈夫」という油断が、なぜ致命傷になり得るのか。最新のデータとともにその本質を紐解きます。

1. データが示す、中小企業を襲うサイバー脅威の「残酷な現実」

サイバー攻撃や大規模な情報漏洩のニュースを目にすると、どうしても大企業の被害ばかりが目立ちます。統計を見ても、従業員数が多い企業の方がランサムウェアの感染割合自体は高いのが事実です。しかし、本当に注目すべきは「感染した後の結果」にあります。

中小企業における被害の実態を分析すると、以下の深刻なリスクが浮かび上がります。

圧倒的に低い「復旧率」 従業員数299人以下の中小企業は、大企業に比べて被害からの復旧率が著しく低いことがデータから見て取れます。
直接的な事業停止リスク ランサムウェア被害の影響として最も高いのは「復元不能なデータの喪失」や「データの破損」であり、その数値は上昇傾向にあります。これに伴い「システム停止による業務の即時中断」へと追い込まれ、復旧にかかる日数も中小企業ほど長期化しています。

さらに、警察庁が発表した「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月発表）では、AIを用いた自動化・効率化されたサイバー攻撃の兆候がすでに指摘されていました。発表から数ヶ月が経った現在、この脅威が現実のものとなり、被害は深刻化の一途をたどっていることは想像に難くありません。自動化されたAIボットの前では、「小さな学習塾だから」「地域密着の保育施設だから」という理由は通用しないのです。

2. 「ひな型流用」が招く、恐ろしい規程の運用違反

日本版DBSにおいて、過去の犯歴確認自体は国のシステムを通じて行われます。しかし、その作業を行うパソコンやネットワーク環境が、法律の求める「必要な措置の基準」を満たしているかどうかは、各事業所が法施行前から自前で確認・対策しなければなりません。

情報管理に携わる職員の研修はもちろん、重要なのは「情報管理規程」の策定です。こども家庭庁から3種類のひな型が提示されていますが、これをそのまま流用することは極めて危険です。

「規程では厳重な管理が定められているにも関わらず、実際は事務員全員が共用するPCで作業していた」

万が一、このような状態で情報漏洩やサイバー被害が発生した場合、それは単なる「被害」ではなく、「定めた規程を自ら破っていた」という重い過失（運用違反）とみなされます。各事業所で「誰が」「どのように」管理し、万一の際に「どのような報告体制」を敷き、「専用端末のセキュリティをどう管理・維持するか」という点における最適解は、ふたつとして全く同じものはないはずです。