デジタル庁が運用する国家資格等情報連携・活用システムで、資格管理団体の職員150名分の個人情報が漏えいした。原因は作業手順書の曖昧な記載によるデータ抽出ミスだ。政府のデジタル基盤を担う組織による事故は、公共分野のデータガバナンスと運用設計の脆弱性を投げかける。

ログイン履歴ファイルに他団体の職員情報が混入

デジタル庁は2026年8月7日、国家資格等情報連携・活用システムの運用における個人情報漏えいを公表した。令和8年7月6日、他省庁に送付した「ログイン履歴」ファイルに、本来含めるべきでない資格管理団体の職員150名分の氏名、ユーザーID、所属等のコードが記載されていると送付先の担当者から連絡があった。当該ファイルは送付先で第三者へ転送されておらず削除済みで、現時点で二次被害は確認されていない。

作業手順書の曖昧さがもたらしたデータ抽出の誤り

漏えいの直接的な原因は、システムから抽出した複数のデータを加工する工程にあった。送付先の省庁担当課ユーザのみのログイン履歴を作成すべきところ、運用の作業手順書の記載が曖昧だったため、他の資格管理団体のユーザが含まれた状態でファイルが作成された。これはシステムの技術的な欠陥ではなく、運用プロセスとドキュメント管理の不備に起因するものであり、データの分類・抽出・検証という一連の運用設計に課題があったことを示す。

行政デジタル基盤で高まるデータ運用リスク

国家資格等情報連携・活用システムは、複数の省庁や資格管理団体が関わる政府共通のデジタルインフラである。こうした基盤では、ユーザーの所属や権限に応じたデータの絞り込みが日常的に発生する。今回の事故は、データ抽出を人手の作業手順に依存する運用モデルが、規模の拡大とともにエラーを生みやすい構造にあることを浮き彫りにした。民間のクラウドサービスやAIデータ基盤でも、ログや利用者情報の抽出・共有時の誤混入は同様に起こり得る。

再発防止策と公共データ運用の今後を左右する論点

デジタル庁はチェック体制の強化と作業手順書の点検を再発防止策として示した。しかし、今回のケースが今後を見る上で重視すべきなのは、手順書の改訂にとどまらず、データ抽出・加工・送付の工程に機械的な検証やアクセス制御をどこまで組み込むかという点である。政府のデジタル基盤が多くの組織を接続するほど、人による確認だけでは防げないインシデントの余地が広がる。行政機関や公共システムを手がける事業者にとって、運用設計の透明性と監査可能性は今後より重要な論点になる。