大津町職員が個人情報1件を目的外利用、戒告処分と管理職への厳重注意

項目	内容
発生日	2026年4月中旬に発覚
対象組織・業界	熊本県大津町（自治体）
攻撃手法	職員による個人情報の目的外利用（内部不正）
情報源	Security NEXT（2026年6月9日）

概要

サイバー攻撃で問題になる情報は「攻撃者に取られたか」ですが、自治体・医療機関・教育機関では別のタイプの情報リスクが常につきまといます。正当な権限を持つ職員が、その権限を業務外の目的で使うタイプの事案です。

2026年6月9日、熊本県大津町は、健康福祉部子育て支援課の職員が業務と関係ない目的で個人情報を取得・利用していたと公表しました。当該職員に戒告の懲戒処分、当時の管理監督者（部長・課長・審議員）に厳重注意を実施しています。

経緯

• 2026年4月中旬: 事案発生・発覚
• 2026年5月29日: 当該職員へ戒告処分
• 2026年6月9日: 公表

原因

対象情報は「個人情報1件」とされ、詳細は公表されていません。

考えられる原因（推測）: 業務システム上での閲覧は正規権限で成立するため、システムログには「業務中の正当なアクセス」としか記録されません。多くの目的外利用は、閲覧そのものではなく別の場面での引用・利用（第三者との会話・私用連絡等）で初めて発覚します。「見えたこと」自体を問題にできる仕組みがなければ、この種の事案は日常的に発生していても捕捉できません。

対策

組織が学ぶべきこと

1. 「攻撃者ではなく職員」という前提の必要性

外部からの攻撃対策はどの組織も進めていますが、正規権限を持つ職員による目的外利用は、認証ログを見ても検知できません。「誰が」ではなく「なぜ」を問う仕組み——業務コンテキストとアクセスを紐づけるログ設計——が必要になります。

2. アクセスログの粒度と保存期間

本件は情報1件の目的外利用として発覚しましたが、同じ職員による過去の類似アクセスがなかったかを遡及調査するには、アクセスログを「誰が・いつ・どの情報を」まで記録し、十分な期間保持する必要があります。多くの組織で、この点の設計が「認証ログはあるが操作ログはない」状態になっています。

3. 定期的な業務外アクセスの棚卸し

月次・四半期で「業務時間外の閲覧」「担当外区域の閲覧」といった異常パターンを機械的に洗い出す監査は、事案発生前の抑止力にもなります。個別事案が発覚してから対応するのではなく、平時からのモニタリングが本質的な対策です。

ヤグラの視点 — 過去の類似アクセスをAIが監査する

同じ職員が過去にも同種のアクセスをしていた可能性を、月次で機械的に洗い出せるか——この問いに答えられるかどうかで、内部不正への対応力が決まります。人手で全職員のアクセスログを見るのは不可能ですが、AIによる異常パターン検知なら、業務コンテキストと照らして「通常と違う閲覧」を炙り出せます。

ヤグラの AI SOC は、システムログを組織固有のコンテキスト（部門・業務・時間帯）と照合し、通常時と異なるアクセスを継続的に監査する仕組みを提供します。「攻撃者を捕まえる」だけでなく「正規ユーザーの異常挙動」も守備範囲に含めることが、公的機関のような多様なリスクを抱える組織の現実解です。

今後の対応

同町は個人情報の管理体制見直しと、職員に対するコンプライアンス研修の徹底による再発防止に取り組むとしています。

更新履歴

日時	内容
2026-07-28	過去アーカイブとして記事化（キュレーション）