長野県、入札情報システムで個人情報記載の図面を誤公開 — 6部局219件・1,590人分

項目	内容
発生日	2026年6月25日（検知日）
対象組織・業界	長野県（自治体）
攻撃手法	なし（人為的な誤公開）
情報源	Security NEXT（2026年7月23日）

概要

長野県は、2026年7月23日、入札情報システムで公開している工事の入札情報に個人情報が記載された図面を掲載していたことを明らかにしました。調査対象約35%（5,992件）を確認した結果、6部局で219件の図面に個人情報の掲載があり、対象人数は1,590人にのぼることが判明しました。

同県は入札情報の公開を一時停止し、11案件については入札手続きを中止して今後再公告を行う方針です。

経緯

• 2026年6月25日: 入札情報システム上の図面に個人情報が記載されていることを検知
• 2026年6月25日以降: 掲載された全図面（推定約1万7千件）のうち、約35%にあたる5,992件を対象に確認作業を実施
• 2026年7月23日: 公表。6部局219件・1,590人分の個人情報漏えいと発表。入札情報の公開を一時停止、11案件の入札手続きを中止

原因

原因は、入札情報として公開された図面に個人情報が含まれた状態のまま掲載されていたという人為的な誤公開です。図面作成時・公開前の確認プロセスで、個人情報のマスキング・除去が徹底されていなかったものと見られます。

考えられる原因（推測）: 公共工事の入札図面には、隣接地の所有者情報、既設埋設物の使用者情報、私道使用承諾に関する記載等、周辺の個人・法人の情報が付帯することがしばしばあります。図面作成者（工事担当部局または委託先設計事務所）は業務上の必要でこれらの情報を記載し、入札公告担当者は「入札情報として一式を公開する」フローで機械的に掲載してしまうため、両者の間で「公開前に個人情報チェックを行う責任」の所在が曖昧になっているケースが典型的です。6部局にまたがっている点から、県庁全体で共通するプロセス上の欠落があった可能性が考えられます。

対策

組織が学ぶべきこと

1. 「公開前チェック」を業務フローに組み込む

本件のような誤公開事案は、悪意ある第三者の攻撃ではなく、業務プロセスの中に「公開前チェック」というステップが埋め込まれていないことが根本原因です。図面・書類・データを公開する行為が発生する業務では、公開ボタンを押す直前に「個人情報・機密情報が含まれていないか」を確認するチェックリストと担当者の明確化が最低限必要です。

2. 「全部局横断」で発生した意味

6部局にまたがって発生している点は、個々の部局のミスではなく、県庁全体で共通する業務プロセスの欠落を示しています。個別部局への注意喚起では再発防止になりません。全庁で通用する「入札公告時の個人情報チェック手順」を統一し、遵守状況を監査する仕組みが必要です。

3. 調査対象約35%で1,590人分の意味

公表時点で確認できているのは全体の約35%です。残りの約65%（約1万件超）にも同様の個人情報記載がある可能性は否定できません。公表時点の数字は「調査が進めば増える可能性のある暫定値」であり、対象者への通知計画は「今後追加通知の可能性がある」ことを前提に組み立てる必要があります。

ヤグラの視点 — 訓練で防げた分岐点：「公開前の一手間」を身体化する体験訓練

本件は、悪意ある第三者ではなく内部業務プロセスの欠落が原因で、6部局にまたがって発生しました。この種の事案を「注意喚起」で防ぐのは難しく、「公開前に個人情報が含まれていないか確認する」という一手間を、担当者が身体化しているかが分かれ道になります。

セキュリティ意識向上訓練というと、フィッシングメール開封率のような外部攻撃対応の話に寄りがちですが、内部業務における情報公開判断もアウェアネスの対象です。誰が・どの書類を・どのプロセスで公開するときに・何をチェックすべきか——これを部局別・業務別のリアリティを持って訓練する仕組みが、この種の誤公開の再発防止に効きます。ヤグラの アウェアネス は、AIによる訓練シナリオの自動提案機能を持ち、外部攻撃対応だけでなく組織固有の業務リスク（誤公開・誤送信含む）に沿った訓練の企画立案も対象にできます。

今後の対応

長野県は残る約65%の入札情報についても順次確認を進める方針で、追加の対象人数・件数の公表が続く可能性があります。入札手続きが中止された11案件については、個人情報を除去した図面で再公告される予定です。

更新履歴

日時	内容
2026-08-02	初稿公開（2026年7月23日 Security NEXT報道時点）