はじめに
日本企業の情報漏洩は「件数」より「規模」が問題になる段階に入りました。2026年は10月上旬時点で、上場企業の100万件以上の漏洩がすでに10件と、2025年通年の6件を上回る過去最悪のペースです（東京商工リサーチ）。
2026年10月9日、国家サイバー統括室（NCO）とIPA（情報処理推進機構）は相次ぐ不正アクセス被害を受けて注意喚起を出し、どちらも、保有データの把握と最小化を対策の柱の一つに挙げました。
いずれの要請も、出発点は「自社がどこに、どんな情報を持っているかを知ること」です。
本記事では、最近の漏洩の傾向を整理したうえで、これからの情報セキュリティのあり方と、非構造化データの可視化・管理基盤であるDataXrayを使って企業が取れる具体策を紹介します。
最近の情報漏洩の傾向
事故件数は横ばいでも、1件あたりの被害規模が急拡大しています。東京商工リサーチの集計（上場企業とその子会社の公表分）は次の通りです。
- 2026年（10月5日時点）：100万件以上の漏洩が10件、うち1,000万件以上が3件（東京商工リサーチ、2026年10月7日）
- 2025年：事故180件、公表企業158社（過去最多）、漏洩は約3,063万人分（前年比93.1%増）（東京商工リサーチ、2026年1月30日）
- 2024年：事故189件、公表企業151社、漏洩は約1,586万人分（東京商工リサーチ、2025年1月21日）
特徴的な傾向は次の4つです。
- ランサムウェアを中心とした不正アクセス：2025年の「ウイルス感染・不正アクセス」は116件で過去最多。漏洩元の約8割は社内システム・サーバーで、1件あたり平均40万人分超が流出しています（東京商工リサーチ）。
- メール・アプリ・会員基盤の大規模流出：2026年は、通信、飲食、カーシェアリングサービスの分野で、数百万件から1,000万件を超える大規模な漏洩が相次ぎました。
- 漏れる情報の「質」の深刻化：本人確認書類の画像など、件数以上に影響が大きい情報が流出した可能性も報告されています。
- 人為ミスとAI利用リスク：「誤表示・誤送信」は2025年も37件と、不正アクセスに次いで多くなっています（東京商工リサーチ）。IPAの「情報セキュリティ10大脅威 2026」組織編では「AIの利用をめぐるサイバーリスク」が初めて3位に入りました（IPA）。
なぜ被害が広がるのか：「どこに何があるか」が見えていない
多くの企業は境界防御やEDRに投資していますが、侵入された後に「何が持ち出されたのか」を即答できません。原因は、守るべきデータの所在が把握できていないことです。
- 非構造化データの膨張：契約書、顧客リスト、設計書などのファイルが、ファイルサーバー、NAS、SharePoint、OneDrive、クラウドのオブジェクトストレージ、メールボックスに散在しています。
- 意図しない場所への保管：機微情報が、誰でも閲覧できる共有フォルダに置かれていたり、業務システムから書き出したCSVファイルのまま個人フォルダに残っていたりして、統制の外にあります。
- 不要データ（ROT）の放置：冗長・陳腐化・些末なデータや、保存期間を過ぎた個人情報が残り続け、漏洩時の被害を不必要に大きくします。
- 権限の過剰付与：異動・退職後も残るアクセス権や、期限のない外部共有リンクなど、業務に必要な範囲を超えた権限が、アカウント侵害時の被害範囲を広げます。
BARCが北米・欧州のデータリーダー225名を対象に行った2026年の調査（DataXrayが共同スポンサー）では、機微データの所在を完全に把握している組織は36%、AI関連データの所在を完全に把握している組織は29%にとどまります（DataXray / BARC研究レポート 2026）。データが見えなければ、守ることもAIに安全に渡すこともできません。
これからの情報セキュリティのあり方：データ中心へ
「侵入を防ぐ」対策に加え、「侵入されても被害を最小化し、説明できる」体制が求められています。鍵になるのは次の3点です。
- データ中心のセキュリティ：境界やデバイスだけでなく、データそのものに「何が書かれ、どれだけ機微か」のラベルを付け、それに応じて暗号化・アクセス制御・保存期間を管理する。
- データ最小化：持たなくてよい個人情報は持たない。不要なデータを削除すれば、漏洩したときの被害はその分だけ小さくなります。
- 説明責任とスピード：個人情報保護法では、一定の漏洩等が発生した場合に個人情報保護委員会への報告と本人通知が義務付けられています。影響範囲を素早く特定できるかが、信頼回復の速度を左右します。
さらに、生成AIやRAG（社内文書検索AI）の導入が進む今、AIに渡すデータの選別もセキュリティの一部になりました。機微情報が混じった文書をそのままAIに取り込めば、権限のない社員への回答として情報が漏れるリスクがあります。
DataXrayで実現できる対策
DataXrayは、すべてのファイルを開いて中身を読み取り、内容を分類したうえで、ラベルの付与、保持期間の設定、墨消し（リダクション）まで実行する非構造化データ・インテリジェンス基盤です。オンプレミス、クラウド、エアギャップ環境のいずれにも導入でき、データがお客様の環境の外に出ることはありません（DataXray）。
- 発見：55種類以上のネイティブコネクタで、ファイル共有、NAS、SharePoint、OneDrive、クラウドのオブジェクトストレージ、メールボックスなどに読み取り専用で接続し、すべてのファイルとメタデータの台帳をつくります。端末やファイルサーバーにエージェントを導入する必要はありません。
- 読み取り：ファイル名やフォルダ名に頼らず、各ファイルを開いて中身を読み取ります。OCRによるスキャン画像、圧縮ファイル、メールの添付ファイルも対象で、100を超える言語に対応します。
- 分類：固定ルール、機械学習、言語モデルを組み合わせ、個人情報、決済カード番号、知的財産などを文脈から判断します。自社独自のカテゴリーも追加できます。
- 実行：分類結果に基づいて保持期間ラベルや墨消しを適用し、ファイル単位の属性をMicrosoft Purview、DLP、暗号化ツールなど既存のセキュリティ製品へ連携します。暗号化やアクセス制御は、連携先のツールが担います。
（出典：DataXray プラットフォーム）
漏洩対策としての効果
- 平時：機微データの置き場所、不要データ（ROT）、過剰な共有を洗い出し、攻撃される前に被害の「最大値」を下げる。NCO・IPAが求める「保有情報の最小化」の実行手段になります。
- 有事：平時にスキャンしておけば、侵害されたサーバーやストレージに何が入っていたかを、検索可能なインデックスから素早く把握し、報告・本人通知の範囲を特定できる。
- AI活用前：RAGやエージェントのパイプラインに取り込む前に分類し、モデルが参照すべきファイルだけをインデックス化する。AI Platformモジュールを使えば、各ユーザーの権限の範囲内でAIアシスタントがファイルを利用できます（DataXray AI Platform）。
役割別の活用ポイント
同じ「データの可視化」でも、役割によって得られる価値が異なります。
経営層（CEO・CISO）
課題：漏洩時の事業・信用リスクを定量的に把握できない。NCO・IPAから、経営層の責任で対策を点検・強化するよう求められている。
活用ポイント：機微データの量と所在を可視化し、投資判断と取締役会への説明の根拠にする（CISO向けガイド）。
情報システム・セキュリティ部門
課題：侵害時に影響範囲を特定できない。所有者不明のファイルや過剰な共有が多い。
活用ポイント：継続スキャンで高リスクの保存場所を特定し、分類結果をMicrosoft PurviewやDLPに連携して保護を強化する。
法務・コンプライアンス部門
課題：個人情報保護法の報告・本人通知、保存期間の管理、訴訟対応。
活用ポイント：個人情報の所在を把握し、本人からの開示請求への対応、訴訟対応のデータ保全（リーガルホールド）、保存期間管理に活用する。
AX・DX推進部門
課題：社内文書をAIに使いたいが、機微情報の混入が怖い。
活用ポイント：AIへの取り込み前に分類し、機微情報を除外・墨消しして、統制されたデータだけをRAGに供給する。
DataXrayは既存のセキュリティ製品を置き換えるのではなく、「何を守るべきか」を教える役割を担います。分類結果は、Microsoft Purview、Netskope、Box Shield、Collibra、Virtru、Thalesなどへ連携できます（DataXray プラットフォーム）。
まとめ：まず「見える化」から
大規模漏洩が続く今、情報セキュリティの出発点は「自社のどこに、どんな機微データがあるかを知ること」です。データが見えれば、不要なデータを減らし、権限を絞り、AIに渡すデータを選別できます。
次の一歩として、重要度の高いファイルサーバーやクラウドストレージ1か所を対象に、DataXrayで機微データの棚卸しを試すことをおすすめします。詳しくはDataXray 日本語サイトをご覧いただくか、デモを予約してください。
出典：「不正アクセスによる漏えい等の事案を踏まえた対応について」（NCO）（https://www.cyber.go.jp/pdf/press/taiou.pdf）（2026年10月9日）