主要情報通信基盤データベースのリスク評価戦略

セキュリティコンサルティング会社ではPMが大幅に不足している状況が続いており、その一方で、以前からまったく異なる分野で働いていた４０～５０代の人が入社し、PMとして担当者対応業務を行っているケースが非常に多いです。 そのため、技術分野に携わったことも、コンサルティングやセキュリティに関わったこともない４０～５０代のPMは、業務が非常に難しく、ほかのPMから業務の引き継ぎを受けて学ぼうという意識で入社し、その後も業務を続けています。私もPM向けの研修や業務の引き継ぎを行う際、以下の内容で進めてきましたが、満足度は高いです。

ISMS-P認証取得およびISO27001/ISO27701認証取得のための教育

<既存の個人情報担当業務は廃止し、改革を推進する必要性とそれに対する代案の提示> 個人情報チームと個人情報担当者の業務分担を変更し、個人情報の取り扱いを透明に公開するとともに、開発者と一体となったTFTチームを組織し、国民が選択できるDFDの提供や選択権の付与など、国民の目線に立った管理面での支援人員の配置と技術的保護措置を実現するため、個人情報ワンチーム体制による模擬ハッキング＋セキュリティ監視の推進など、さまざまな懸案（情報漏えい事故に関する事項）について意見を提示する講義です。

従来、ISMS-Pなどの認証推進の根拠として用いられていた課徴金の減免等については、最近、クーパン、SKT、ロッテカードなどで相次いで発生した大規模な個人情報流出事故を受け、個人情報保護法施行令が改正され、事前予防的な保護体制を達成した場合、流出事故発生時の課徴金（売上高の10%から40%を減免）を軽減する画期的な制度が施行された。 したがって、従来の個人情報保護法に基づいて点検・管理することも困難であった個人情報処理システムの点検や、個人情報専任人員の確保等について、今や減免制度を通じて優先的に導入する法的根拠が整備されたため、個人情報保護規程に反映すべき内容が追加された。また、追加の個人情報関連活動実績を作成し、個人情報保護ソリューション等の導入実績に関する予算検討も実施すべき時期となった。したがって、2026年度下半期から施行する内容が遅滞なく個人情報管理体制に反映され、CPOへの報告が実施できるようにしなければならない。

NAVER、Kakao、Tossが取り組んでいるサービスの個人情報保護レビューについて学びながら、 国内のコンサルティングおよび個人情報保護チームのレベル向上を目的とした教育です。 サービスに合わせた個人情報保護を適用すべき箇所や、 サービス点検時にどのような点を確認すべきかをご案内します。 一般的な法律や点検チェックリストではなく、Ｄｅｅｐな点検教育であり、チェックリストも提供します。

月1回または年1回などの情報セキュリティの日、個人情報保護の日といった行事・キャンペーンの実績がやや低調になりつつある現状において、規程に定義されておらず、記念品を配布するだけで終わってしまう意識向上キャンペーンを、さまざまな機関の優秀事例を参考にして導入し、昨年比で改善することを目的とする。 これからは、情報セキュリティチーム主催の記念品配布行事から、役職員が一緒に守っていく行事へとつなげていく必要があり、セキュリティの内在化に向けたコミュニケーション体制を整備し、相互理解を深める必要がある。 最終的には、役職員が情報セキュリティや個人情報保護法などを十分に理解してこそ、ハッキングや内部者による脅威から組織を守ることができる現実的な状況にある。各種事業の発注から受託者管理、アプリケーションの統制およびセキュリティ設定、各種情報化事業の企画、IT監査など、セキュリティチームではない部署の担当者・責任者が総括責任を負うことになっている業務が多い。そのため、セキュリティチームは業務を各部署に分担しているものの、各部署は不満を表明するだけにとどまっている現状から脱却するための時間として活用する必要がある（内部協議体だけでは不十分）。 強力な人事評価において、セキュリティに関する評価点制度を反映させる必要がある。また、抜き打ち監査を通じて規則を守らなかった者には減給や停職などの懲戒を行う一方、セキュリティを適切に遵守し、セキュリティ面で成果を立証した者には、インセンティブ制度を通じて多額の報奨金を支給し、役職員が自ら取り組むセキュリティの内在化を実現する必要がある。そのため、CISO主導のもとCEOへの報告を通じて、部署評価・個人評価のKPIを調整する必要がある。また、部署別の情報セキュリティ責任者・担当者の指定制度を設け、役職手当を支給することにより、各部署が管理する文書の漏えいや委託業者の管理など、ハッキングや情報漏えいから組織を保護できる人的セキュリティ体制を強化する必要がある。

カード会社および保険会社で同種のハッキング事故が繰り返され、多数の国民の個人情報が流出。 その他の個人情報取扱事業者でも、同じ原因と同じ攻撃手法を防げず、事故が繰り返されている。 検知はできないものの、監視体制の高度化に予算を費やし、人員を継続的に追加採用している一方で、報告体制や社内規定の不備は解消されないまま。 理解しがたい管理体制により、顧客の不満や不便が続き、サービスへの信頼がゼロになる'という問題を解決するため、継続的な研究と案内を目的に行われる講義の一部です。

連携情報の漏えい事故が発生・公表されたことを受け、CI情報の重要性や管理状況の評価などが実施されることとなった。これに伴い、専門教育を実施する。

個人情報監査1の講義に続き、社内の個人情報担当者の業務高度化が不十分で、毎年前年踏襲で業務を続け、怠慢による事故の事前防止・阻止が不十分な状態が続いている。 CEO、CPO、部門長、部長などの役員の個人情報保護に対する理解不足により、重要ポイントに関する個人情報保護チーム独自の教育やコミュニケーションが不十分である。 個人情報チームは、個人情報を担当する部署として、正確な法的判断と点検のためのチェックリスト（法律上の最低限の条項に基づく点検だけでは、非常に多くの死角が生じる）のみを使い続けているという問題を改善する必要がある。 正確な判例および制裁に基づく点検が必要であるため、正確な知識を身につけるための教育を実施する必要がある。

個人情報保護政策協議会および実務協議会などの各種案件を推進するとともに、経営陣（CEO）に対し、個人情報保護責任者（CPO）による安全管理措置および法的義務事項の遵守状況の点検結果などを報告する体制を構築 個人情報の自主監査体制を整備・推進し、近年のハッキングや情報漏えい事故について、専門的な内部事前調査および点検を実施する必要がある 既存のISMS-Pなどの認証制度では事故を防止できないことを認識 さまざまなサービスや業界の特性を反映した監査チェックリストを整備し、1,000社以上の協力会社や100か所以上の営業拠点などにおける社内の個人情報ファイルや業務（フロー分析）を含む、多岐にわたる広範な業務を推進すべきであるにもかかわらず、実施されていない。また、さまざまな死角を防ぐべきところ、専門家がその存在を把握しておらず、防御できていない。 既存のセキュリティ体制に対する適切な監査が実施されておらず、管理体制に関する既存の専門家が実際には専門家ではないという問題により、事故が継続的に発生し、リスクが残存している 今回の勉強会を通じて死角を解消し、既存のセキュリティ体制の点検を強化（詳細点検を実施）することで改善事項を抽出し、報告を進める

情報保護本部のセキュリティ監査業務として、現地監査等の実施時に参考となる2026年度の事例を交え、監査の特性を踏まえた具体的な点検方法（実査）や、既存の業務体制を点検したうえで改善できるよう教育する。

金融AIセキュリティ（PART1. 基本）では、AIセキュリティの概要について説明しました。本講義は、実際の模擬ハッカー（Red TEAM）を対象としたセキュリティ審査で必要となるAIチェックについて、実務担当者向けに解説するものですので、ぜひ参考にしてください。 本講義では実践的な内容を扱い、技術面について、どのように模擬ハッキングを実施すればよいかを説明します（チェックリスト付き）。 学習する際にAIを難しく感じたり、AIガイドラインがモデルを基準に作られているため審査が難しく、各企業で適用できていないケースが非常に多かったりするのではないでしょうか。また、実際にAIセキュリティガバナンスを構築するにあたり、監査時にさまざまなフィードバックを受けたこともあるかと思います。その理由は、当然ながら、社内の運用状況においてAIセキュリティに関する確かな証拠がないためです。今こそ構築に取り組むべき時です。AIセキュリティについて学び、AIセキュリティ担当者を目指してみてはいかがでしょうか。

ついに、ここ7〜8年ほど曖昧なまま定着していたAIセキュリティ審査（国家情報院／金融保安院）のチェックリストについて、実務者の立場から見ても正確だと実感できるようになり、管理体制をどのように変更・構築・運用すべきか、その全体像が固まりました。 AIセキュリティとは何か、そして2026.6以降、どのように改善すべきかについて、国内トップクラスの企業（情報セキュリティの水準が国内最高レベル）の基準に基づいてお話しします。（基礎や概念の説明ではありません*） 本内容をPART1（基本・概要）とPART2（発展・セキュリティ審議）に分けて研修を作成しましたので、参考にしてください。

2026年6月の個人情報保護法および個人情報保護委員会による実態点検に際し、事前に告知した今後の予防的な保護体制の構築に向けて、各企業が自社の現状を確認し、今後の改善ポイントを洗い出して改善計画を策定できるよう、まず個人情報担当者が関連事項を認識し、理解を深めることを目的としています。 また、個人信用情報の保護業務に関する助言・コンサルティングを8年以上にわたり行ってきた経験をもとに、戦略の策定や経営陣向け報告資料の作成に役立てていただくため、本研修を制作しました。

公共機関を対象とした個人情報保護水準評価コンサルティングを計6年間実施し、担当したすべての機関で最高ランクを達成（中央行政機関、公企業、小規模公共機関、自治体など、さまざまな公共機関で最高ランクを維持。同一機関への継続的なコンサルティング実績あり）。100点（全国1位）の達成実績も保有。 2026年版の手引きを基準に、Coupangの事態を受けて強化されたペナルティや変更された指標を踏まえ、定量・定性レポートの作成に必要な取り組みや実績の確保を効果的に配分。企業の状況に応じて、過剰に投資する場合も、戦略的に対応を抑える場合も、十分に優良事例として評価されることが可能。

管理体制の点検担当者は、理論や知識が不足しているため、新技術（クラウド管理体制）の点検能力が不十分 企業へのハッキングによる事故を防ぐため、管理体制の不備を洗い出して事前に予防する人材の専門性を高めるための教育 既存インフラや模擬ハッキングの担当者が、管理体制の担当者へ移行するための教育 裏付けデータの提供により、確かな能力と資料を確保！

主要情報通信基盤施設のみの点検経験しかなく、電子金融基盤施設に関する経験が不足している場合や、サーバー、DB、ネットワーク、セキュリティ機器に関する経験はあるものの、インフラPLまたはPMの経験が不足しており、基盤施設事業全般に関する理解が不足している場合には、ネットワークインフラの点検項目に関する点検能力の確保および点検のバックデータの提供が必要です。

パブリック／プライベートクラウド環境におけるPaaS（従来のWEB/WAS区分）がインハウスPaaS運用に移行するのに伴い、クラウド資産の識別・分類、重要度の算定、リスク評価への反映など、ISMS-Pをはじめとする認証要件を含め、金融会社のセキュリティ標準（電子金融基盤施設の脆弱性分析・評価時）において、2026年にコンテナ点検およびプライベートクラウド管理体制の点検項目が新設・強化される。また、主要情報通信基盤施設においても、仮想化およびクラウド関連項目が新設・変更される。インフラ点検担当者約10名を統括管理するインフラPL向けの研修。脆弱性点検担当者向けの研修。

プライベートクラウド点検の裏付けデータが不足!! IaaS点検の経験者が非常に不足!! 裏付けデータの提供により、実務スキルを向上させ、主要情報通信基盤施設の点検／金融分野の脆弱性分析・評価／ISMS-P／ISO27001など、各種認証に活用 インフラ点検要員約10名を統括管理するインフラPL向け専門教育 クラウド管理体制の技術的領域に関する理解と点検データを提供!

金融会社の模擬ハッキング／模擬侵入テストを統括するProject Leaderを対象に、模擬ハッカー（WEB、Mobile、HTS）の統括管理に向けたインサイトおよび資料を提供 各パートで脆弱性が見つからない場合、空欄（白紙）の報告書を提出する状況が繰り返し発生（公共機関も同様） そのため、点検項目ごとの点検実績を教育資料と併せて作成するよう統制 各テーマに沿った点検を実施し、セキュリティレビューや自社のセキュリティ審査に活用して検証