最近、企業における個人情報流出の報告が相次いでいる。警察庁によれば、2026年上半期に報告されたランサムウェア被害は123件で、半期として集計開始以来の最多となった（参照：令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について 令和8年9月）。
ECサイトでのカード情報の漏えいも後を絶たない。ネット通販でクレジットカード番号を入力したことがある人なら、無関係な話ではない。
情報漏えいが起きると、世間の関心は「どんな攻撃だったか」「開発会社の対策は十分だったか」と、開発会社側の落ち度に向かいやすい。しかし私は、発注者側の判断が適切だったかも、同じくらい重要だと考える。
実際、システムを発注した通販会社と受注した開発会社とで争われたある裁判の判決では、開発会社の過失だけでなく、発注者側が行った判断にも問題があるとし、損害賠償の一部を差し引いた。開発会社から「カード情報を持たない方がいい」と助言されながら、通販会社がカード番号を預かり続けたのだ。
システムの発注側は「何を作るか」に意識が向きやすいが、個人情報を「持たない」判断がいま問われている。発注者側が持つべき視点について、エンジニアとして約30年システム開発に関わり、現在は中小企業の業務改善とシステム開発を支援する経営者の立場から考えてみたい。
Yuliya Taba/iStock
カード番号を預かり続けた発注側
冒頭で触れた、通販会社とシステム開発会社とで争われたある裁判は次のようなものだった。
インテリア商材の通販会社が、889万円でECサイトの受注システムを開発会社に発注。稼働後、サイトは外部からの攻撃を受け、最大7,316件のカード情報が流出した可能性が判明した。通販会社は開発会社に1億円超の損害賠償を求め、東京地裁は2014年1月23日、約2,262万円の支払いを命じた。取引が始まったのは2009年のことだ。
判決は契約書にセキュリティ対策の記載がなくても、開発会社は当時の技術水準に沿った対策を施す義務を負うと判断した。ただ、この判決にはもう一つの結論がある。損害額の3割は、通販会社自身の過失として差し引かれたのだ。開発会社から「カード情報は持たない方が安全で、それが一般的だ」と助言されながら、カード番号を預かり続けていたからだ。
経緯をたどると、このシステムは稼働当初、カード番号をサーバーに残さない仕組みだった。カード番号は決済会社の画面で入力され、通販会社のデータベースには入ってこない。
状況が変わったのは翌年だ。通販会社が、顧客が使ったカードの種類を自社の基幹システムに送れるよう仕様変更を依頼した。これを境に、カード情報がデータベースに保存されるようになった。その後、開発会社から改修の提案と先ほどの助言があったが、通販会社は削除も暗号化も指示しなかった。
判決は開発会社の責任を厳しく認めている。契約書には賠償額を契約金額の範囲に抑える条項があったが、開発会社に重大な過失があるとして適用されなかった。それでも、損害合計約3,232万円のうち3割は発注者の負担になった。便利さのために「持つ」と決め、助言を受けても「持ち続けた」。その判断の重さが、過失割合という数字になったわけだ。
個人情報は資産ではなく負債である
顧客データは「資産」と呼ばれることが多い。だが漏えいのリスクで見れば、持っている量に比例して膨らむ「負債」に近い。この裁判で賠償の対象になったのは、顧客への謝罪や問い合わせ対応の費用、売上の損失などだった。持っていなければ、どれも発生していない。
この判決の後、世の中のルールも同じ方向に動いた。2018年6月に施行された改正割賦販売法は、通販サイトなどの加盟店に対し、カード情報を持たない「非保持化」を原則とした。持つのであれば、PCI DSSというカード業界の国際的なセキュリティ基準への準拠が必要になる。開発会社が当時口にした助言は、今では法律の原則になっている。
冒頭で伝えたように、ランサムウェアの被害は最多となっている。攻撃者が狙うのは、企業が手元に持っているデータだ。
「データを持たないと便利なサービスが作れないのでは」と思うかもしれない。たしかに、リピーターにカード番号を毎回入力させれば、購入の手間は増える。
ただ、カード番号そのものを預からずに再購入を簡単にする仕組みは、決済代行会社がすでに用意している。便利さとカード番号の保持は、切り離して考えられる。
実際、システム開発の現場では、「後で使うかもしれないから、とりあえず全部保存しておいてほしい」という依頼は珍しくない。CSVで書き出されたまま共有フォルダに置かれた顧客リスト、テスト用にコピーされた本番データ、エラーログに残った入力内容。持っている自覚のないデータほど、管理の外に置かれやすい。
「決済代行に任せているから安心」と思いすぎるのにも注意が必要だ。決済を外に「任せる」ことと、自社に「残さないこと」は別だ。決済は外部に任せていても、問い合わせメールに書かれたカード番号、システムのログ、バックアップに情報が残っていれば、漏えいの対象は社内に存在し続ける。
私自身が開発を引き受けるときは、保存するデータごとに「何に使うのか」を発注者に確認している。理由が出てこないデータは、原則として残さない設計にする。持たなければ、守る必要もない。
発注者が決めるべきは「何を持たないか」
システムを発注するとき、経営者は「何を作るか」には時間をかける。一方で「何を持たないか」を決める場面はほとんどない。だが判決が示したのは、この問いに答えなかったことの代償だった。
発注前に、開発会社にこう聞いてほしい。「このデータは、本当に保存する必要があるのか」と。技術的な対策は開発会社にもできる。ただ、データを持つかどうかを最後に決めるのは発注者だ。
カード情報を預からない仕組みを選ぶ。それは技術の話ではなく、経営者が持つべき常識である。
■
久保田 一 株式会社VERVE代表取締役
エンジニア歴約30年。GMOメディア株式会社で開発部長を務めた後、独立して約20年。成功報酬のみで業務改善・システム開発を行う株式会社VERVEを経営し、中小企業・スタートアップ向けに要件定義から実装・運用まで一気通貫で支援している。2026年6月に「中小企業はなぜDXできないのか？」を出版。
【関連記事】
■「国家資格だから安泰」は幻想。士業の仕事が無くなるこれだけの理由と生き残る条件とは？ （横須賀輝尚 経営コンサルタント）
■AIエージェントの「ひとり事務所」が何十社の顧問業務を回す衝撃。士業の未来はどうなる？ （横須賀輝尚 経営コンサルタント）
■5％賃上げでも生活が楽にならないのはなぜ？給料以外の「もう一つの財布」という視点 （藤村哲也 投資顧問助言業）
■ 110万円の家賃を払う板野友美さんとヤクルト高橋奎二さんの判断が正しい理由。(中嶋よしふみ ファイナンシャルプランナー)
■ 世帯年収1560万円の共働き夫婦は、9540万円の湾岸タワーマンションを買えるのか？ その1・生活費は800万？（中嶋よしふみ ファイナンシャルプランナー）
編集部より：この記事は「シェアーズカフェ・オンライン」2026年10月26日のエントリーより転載させていただきました。オリジナル原稿を読みたい方はシェアーズカフェ・オンラインをご覧ください。
コメント