顧客情報漏えい防止のためのルール
＜１．申込書管理（工程管理）ルール＞
顧客情報の紛失・誤廃棄の多くは、基本的な整理整頓や日常の書類管理が不十分な状況で発生しています。
日頃から代理店事務所の整理整頓を実施するとともに、授受・保管のルールを定め、紛失・誤廃棄が
発生しない体制とします。
当社は、次の要件を満たした、代理店の実態にあった申込書管理（工程管理）ルールを定めること
（または、次の要件に準じ、申込書の適正管理および誤廃棄防止を図れる管理を行うこと）を
必須ルールとして定めています。
＜要件＞
・保険契約の申込書（添付書類を含みます）は、申込書管理ボックスを用いて、他の書類・帳票等とは分別して管理します。
・誤廃棄を防ぐため、顧客情報を含む書類はすぐに廃棄せず、廃棄箱に保管し、一定期間経過後、廃棄します。
・顧客情報が記載された書類等は机上放置せず、すみやかに所定の保管場所に整理し、終業時は施錠保管します。
前記ルールの他、「ネット口振」等ペーパーレスによる手続きも有効な取組みです。
＜２．代理店事務所外持ち出し時のルール＞
顧客情報が記載・記録された書類や電子媒体（USBメモリ等）、パソコンを代理店事務所外へ持ち出す場合には、
次のとおりとします。
（１）顧客情報の持ち出しは、当日必要な情報に限定するなど必要最小限にとどめます。
（２）持ち出した顧客情報は常時携行し、自らの管理下に置きます。※
※顧客情報を入れた鞄等は、車中（トランク内も含みます）に放置せず、電車やバス等の交通機関を利用する場合は、
網棚の上に置いてはいけません。
（３）個人データを持ち出す場合には、「管理区域外持出し管理簿」（ＳＪ－ＮＥＴ（代理店掲示板））＞リンク
に記録するなど、その所在、管理状況を把握しておきます。
（４）やむを得ず持ち出した情報を携行したまま帰宅する場合は、事前に情報管理者などの上司の
承認を得ます。
（５）顧客情報を含む書類・電子媒体・パソコンを宴席・懇親会へ絶対に持ち込んではいけません。
なお、会社貸与・個人所有を問わず業務利用する携帯端末（iOS、iPadOS、AndroidをOSとするものをいいます。)
は「管理区域外持出し管理簿」記録の対象外とします。
＜３．代理店事務所内の防犯対策上のルール＞
（１）顧客情報が記載・記録された書類や電子媒体（USBメモリ等）、パソコン等は机上等に放置せず、
施錠できるキャビネットやロッカー等へ保管します。
（２）営業時間外における厳重な入室管理（施錠、警備会社・警備システムの利用等）を徹底し、
外部の者が侵入できない措置を講じます。
＜４．電子メール・ＦＡＸ送信時のルール＞
（１）顧客情報を電子メールやＦＡＸにより送信する際には、送信先の番号やアドレスを慎重に
確認してから送信します。
（２）顧客情報が記録されたファイルを電子メールに添付する場合は、暗号化やパスワードを設定します。
＜５．移送のルール＞
（１）顧客情報が記載された書類等を送付する際には、送付先、送付書類の内容を照合します。
（２）代理店－保険会社間における計上書類（申込書・その他計上に必要な書類）の紛失事故が多発しています。
保険の有無責にかかわるリスクが発生するだけでなく、お客さまからの信頼を失いかねません。
そのため、代理店－保険会社間の顧客情報を含む書類の受け渡しの際は、必ず「顧客情報送付状」等を
利用します。
【推奨】誤送付防止のための取組み
ダブルチェック
封入者以外の人によるダブルチェックを行います。
（例）封筒裏面に封入者・チェック者が押印するなど、チェックが
確実に行われた証跡を残します。
送付物チェック
封入する送付物が正しいか、入れ間違い・混入がないか確認します。
宛先・宛名チェック
送付する宛先・宛名が正しいか、根拠となる資料に基づき確認します。
＊宛先と送付物の入れ間違いを防ぐため、窓あき封筒を利用することも効果的です。
＊混入を防ぐために、整理整頓を行いましょう。
＜６．受領時のルール＞
（１）顧客情報が記載・記録された書類や電子媒体（USBメモリ等）を受領した場合は、送付状等に記載された内容と
実際に受領した内容が一致していることを確認します。
（２）送付状等の内容と実際に受領した内容が異なっている場合や、送付状が誤っている場合は、すみやかに
送付元に連絡します。
＜７．情報廃棄時のルール＞
代理店業務上不要になった顧客情報は、媒体に即して適切な方法で処理します。
（１）顧客情報が記載された書類の廃棄は、シュレッダー等による裁断、焼却または溶解処理を行います。
誤廃棄を防ぐため、顧客情報を含む書類はすぐにシュレッダーにかけず、廃棄箱に保管し、
一定期間経過後、廃棄してください。
（２）顧客情報が記録されている電子媒体（CD等）の廃棄は、保存データ消去を確実に行ったうえで、
シュレッダーにかける、ハサミなどで切れ込みを入れるなどの破壊処理（または破壊処理に準じた処理）を
行います。
＜８．お客さま等からの照会対応ルール＞
契約照会や事故処理状況等について電話などによる照会があり、照会者がお客さまご本人であると
識別できない場合は、必ず本人確認を行ったうえで対応します。
（1）お客さまからの電話による照会対応
①受電時のお客さまご本人の確認
まず最初に次の項目をご本人から聴取して、それらが一致することを確認します。
ア．氏名（フルネーム） イ．住所 ウ．生年月日 エ．電話番号
＊氏名（フルネーム）および住所は必須要件。これが一致しない場合は、原則すべての対応をお断りします。
＊生年月日、電話番号については、データを保有していない場合は確認を省略します。
②照会しようとしている契約等に関する確認
お客さまが照会しようとしている契約等に関して、登録されている項目と一致することを確認します。
ア．証券番号をご本人から聴取して、登録されている証券番号と一致すれば、「（２）電話照会への
回答の要領」にしたがって回答可能です。
イ．ご本人が証券番号を忘れているときなどは、登録されている項目をいくつか確認し、電話の相手が
お客さま本人であることが推定されれば、「（２）電話照会への回答の要領」にしたがって回答可能です。
・登録番号（自動車保険）・目的所在地（火災保険等）・取扱代理店名（共通）
・団体名（団体契約の場合）など（２項目以上確認することが望ましい）
（2）電話照会への回答の要領
契約等に登録された電話番号にかけなおして回答することが原則です。
＊ただし、次の条件を全て満たす場合に、受電中の通話内で回答すること、または契約等に登録されていない電話番号に
かけなおして回答することも可とします。
・電話の相手が、お客さまご本人であることが十分に推定されていること
（既に当該お客さまについての氏名および声質等の人物上の特徴を存知している場合であって、
その特徴から、照会者が他の第三者ではないことを確認できる場合）
・問い合わせの内容が一般的な照会であって、万が一なりすましであった場合でもお客さま本人や
第三者の権利利益を害するおそれが極めて少ない内容であること
（3）お客さまご本人以外からの電話照会への回答
①ご本人以外からの照会に対しては、原則として回答不可です。
②ただし、同居のご家族からの照会の場合であって、ご家族に回答することについて、ご本人が実質的に
同意していると判断できる場合は、次の項目を除き、受電中の通話内で回答可能です。
ア．事故に関する情報 イ．保険金に関する情報 ウ．満期（解約）返戻金に関する情報
前記３つの情報は、プライバシーや利害に深く関わる情報であるため、回答に際して、必ずご本人の
同意が必要です。
（4）その他の場合
破産管財人等の倒産手続関係者や税務署等の公的機関から契約内容の照会を受けたときは、営業担当店宛に
連絡してください。保険会社から回答します。
＜９．業務利用機器等に関するルール＞
代理店業務に使用する機器※１、機器等※２については、次の安全管理措置を講じなければなりません。
「業務利用機器等に関するルールチェックシート・解説書」（ＳＪ－ＮＥＴ（代理店掲示板））＜リンク
等を参考に各措置を実施してください。
No ルール（各ルールの詳細は後記のとおり）
（１） パスワードの強化
（２） ユーザーIDの個人ごとの設定
（３） フリーメールの業務利用禁止
（４） 不要なデータの削除
（５） 機器廃棄時のデータ削除
（６） 業務利用機器等の私的利用禁止、個人所有機器等の業務利用時の管理
（７） セキュリティ対策が十分にできている機器・クラウドサービスの利用
（８） 業務利用機器へのセキュリティ設定の実施
（９） 携帯電話・スマートフォンのアドレス帳管理
（10） 提供元が不明確なネットワークへの接続禁止
（11） ホームページへの適切なセキュリティ対策（ウイルス対策・暗号化等）の実施
※１機器とは、端末（パソコン、タブレット、スマートフォン、携帯電話等）に加えて、端末周辺機器やUSB等の外部媒体、
ファイルサーバ、NAS（特定の端末とのみ接続されるハードディスクとは異なり、ネットワークに直接接続し、
パソコン等などからネットワークを通じてアクセスできる外部記憶装置（ストレージ）のこと）等を指します。
※２機器等とは、機器に加えて、システム、メールサービスまたはその他外部サービス（クラウドサービス等）を
指します。
（1）パスワードの強化
世間ではパスワード解読によって、情報を盗み取ろうとする事件が多発しています。
例えば、全ての文字の組み合わせを試す攻撃（総当たり攻撃）、パスワードに使われることが多い文字を
順次試す攻撃、当該利用者が別のインターネットサイトで用いているパスワードを不正入手し、
それを用いるような攻撃等、様々な攻撃が日々行われています。
パスワードが推測されたり解析されたりすることで、代理店業務に使用するシステム、メールサービスや
その他外部サービスにおいて不正にログインされ、情報が漏えいしてしまう危険性があります。
お客さまの情報を守るために次のとおり対応します。
※３@nifty等のメールサービスでは、前回パスワードを入力した日時を表示するサービス、アカウントロック機能により、
自身の操作以外でアカウントロックしてしまうことで不正アクセスの可能性に気付けるサービス、警告アラート通知機能により、
不正アクセスの可能性に気づけるサービス等が用意されています。
※４指定回数以上のパスワード誤り時のアカウントロック機能、海外からのアクセスを禁止するアクセス制限等を指します。
※５不正ログイン対策として、二つの段階を経る認証方式である「二段階認証」や、複数の要素を用いた
認証方式である「二要素認証」等が提供されています。「要素」とは、認証に用いる情報の種類を指し、大きく3つに分類できます。
①記憶認証：ユーザーが知っていること（パスワードや秘密の質問等）②所持認証：ユーザーが持っているもの
（電子証明書、ICカード、パスワード生成器等）③生体認証：ユーザーの身体的特性（指紋、静脈、虹彩、顔、掌紋、筆跡等）。
二段階認証の主な例としては、ID/パスワードの認証後に、登録済のメールアドレスに通知されるワンタイムパスワードを
入力する方式があります。ただし、サービスやシステムによっては、異なる呼称をすることがあります。
（2）ユーザーIDの個人ごとの設定
業務利用機器等（クラウドサービスを含む）においてユーザーIDを共有していると、使用権限のない従業者
に情報が漏えいしたり、問題発生時に使用者の特定ができず、原因調査を正確に行えない危険性があります。
そのため、次のとおり対応します。
次の事項とあわせ、台帳等（ＳＪ－ＮＥＴ（代理店掲示板））を使ってIDの管理を行う。
・ユーザーID共有は原則行わない。
・業務分担に応じた個人情報へのアクセス制御※６を実施する。
・従業者の入社、退職や異動に伴う、IDの追加・削除を適切に行う体制を構築する。
・従業者の入社、退職や異動に伴うIDの追加・削除を含め、IDの使用状況について定期的に確認を行う。
※６事前にいくつかの条件を設定し、条件に合致した特定のアクセスを禁止（コンピュータに接続させない等）することです。
代表的なアクセス制限として「二段階認証」、「二要素認証」があります。
（3）フリーメールの業務利用禁止
フリーメール※７は、フリーメール業者がメールの内容を機械的に読み取り、ユーザーに見せる広告を
選ぶ材料にする等、業務上の情報を利活用されてしまうリスクや、問題発生時にフリーメール業者から
調査に協力してもらえないリスクがあります。そのため、次のとおり対応します。
※７インターネットメールを無料で提供するサービスを指します。Yahoo!メール（@yahoo.co.jp）、Gmail(@gmail.com)、
iCloud（@iCloud.com）、Outlook.com（@outlook.jp、@outlook.com、@hotmail.co.jp、@msn.com）等があります。
〇保険業務に使用しているパソコン等では、フリーメールの業務利用を原則禁止とする。
〇やむを得ず利用する場合、自店として業務利用状況を把握したうえで、誓約書等（ＳＪ－ＮＥＴ（代理店掲示板））を用いて
前記ルール（1）の強固な認証（パスワード）設定に加え、次の対策を行う。
・二段階認証または二要素認証を設定する。
・不必要なメールを削除する。
（4）不要なデータの削除
業務で使用したデータやメールの内容には、顧客の氏名・住所・生年月日・電話番号やクレジットカード情報・
銀行口座情報等の個人情報が含まれている可能性があります。これらの情報を機器やシステム、メールサービス、
その他外部サービスに長期間保存している場合、不正アクセス、機器の盗難や紛失等が発生すると情報漏えいの
被害が大きくなります。そのため、次のとおり対応します。
次の要領で不要なデータを定期的に削除・廃棄する。
・メール等データ保存期間の定めのないものについては、自店で削除・廃棄のルールを定め、
ルールに従いデータを削除・廃棄する。
・データ保存期間（用済廃棄含む）を越えたものはすみやかに削除・廃棄する。
（5）業務利用機器等の廃棄時のデータ削除
パソコン等では、保存されているデータの削除操作（「削除」や「初期化」）を行っても、特殊なソフトウェア等を
利用することで、削除されたはずのファイルを復元することが可能です。
業務利用機器等を廃棄する際、廃棄委託先から個人情報が漏えいしてしまう可能性があります。
そのため、次のとおり対応します。
〇個人情報が保存されている機器について設置場所を確認し、台帳等（ＳＪ－ＮＥＴ（代理店掲示板））で管理する。
〇機器の廃棄においては市販のデータ消去ソフト※８による消去、物理的破壊、信頼できる専門業者への
廃棄依頼のいずれかによる方法で確実にデータ破棄（消去）されたことを確認する。
なお、専門業者に廃棄を依頼した場合、破壊前・破壊後の写真等、廃棄が確実になされた証明を
取り付ける。
※８パソコン、外付けハードディスク、メモリ等のデータを復元できないレベルまで完全データ消去を行えるソフトのことです。
製品として、ターミネータ10plus、電子データシュレッダー等があります。
（6）業務利用機器等の私的利用禁止、個人所有機器等の業務利用時の管理
業務利用機器等の私的利用、従業者の個人所有機器等の業務利用については、私的に利用したサービスや
機能により情報漏えいやウイルス感染等のリスクが高くなります。
Webページの中には、表示、閲覧により不正プログラムがダウンロードされたり、Web入力情報を
詐取するものが存在します。また、ウイルス感染による被害は、端末が起動できなくなるものから、
情報を削除、破壊、外部流出させるもの、社内ネットワークを麻痺させるような重大なものまで存在します。
そのため、業務利用機器等の私的利用を原則禁止とし、個人所有機器等の業務利用時は、
「（１）パスワードの強化」、「（７）セキュリティ対策が十分にできている機器・クラウドサービスの利用」に
示されているセキュリティルールを遵守する旨を、誓約書等（ＳＪ－ＮＥＴ（代理店掲示板））を用いて
徹底するなど、必要な措置を講じてください。
（7）セキュリティ対策が十分にできている機器・クラウドサービスの利用
信頼のおけないメーカーや販路で機器を購入して利用したり、セキュリティが確保できていない
クラウドサービスを利用した場合、ウイルスが仕掛けられていたり、不正アクセスが行われ、情報が
流出してしまう危険性があります。そのため、次のとおり対応します。
〇業務で利用する機器は、暗号化、パスワード設定等のアクセス制御ができる機器を選定する。
また、ウイルス対策、外部からの不正アクセス対策を実施する。
〇クラウドサービスは、不正アクセス等に対して十分なセキュリティを確保し、事故情報の開示、
再発防止等の協力を得られるサービスを選定する。また、「二段階認証または二要素認証」を
利用できるサービスを選定し、設定する。
顧客情報が漏えいし、不正利用された場合、企業の信用失墜、損害賠償等大きな損失に繋がります。
なお、問題が発生した場合に原因調査を正確に行えるよう、個人情報を保存する機器を限定し、できるだけ
長めにアクセス履歴※９を取得・保管します。
※９コンピュータの操作やネットワークを介して行われたアクセス等の記録を指します。クラウドサービス等の中には、
ログ管理機能でアクセス履歴を取得・保管することが可能な製品やサービスがあります。保管日数等設定が可能な場合は、
できるだけ長めの設定を行います。パソコンについては、Windowsであれば、パソコン上で稼働したソフトウェア等の
動作の記録（ログ）が残っており、参照可能な状態となっています。
（8）業務利用機器へのセキュリティ設定の実施
代理店業務に使用する機器において、紛失・盗難等により、個人情報が外部に漏えいする危険性があります。
そのため、次のとおり対応します。
〇代理店業務に使用する機器内へのデータ保存のルール（ファイルにパスワードを設定する等）を
定める。
〇機器にはパスワードを設定する。特に、持ち出し可能な機器に個人情報を保存する場合には、
自店内で適切に管理を行うとともに、暗号化またはファイルにはパスワードを設定する。
個人データを保存している業務用パソコン等にはセキュリティ対策ソフト（ウイルスバスター、ノートン等）を
導入し、定期的にパターンファイル等を更新します。
＊セキュリティ対策ソフトを導入しても定期的に最新のパターンファイル等に更新していなければ、新たなウイルスを
駆除することはできません。また、セキュリティ対策ソフトでは検出できないウイルスやスパイウェアがあるため、
セキュリティ対策ソフトの導入だけでは万全とは言えず、インターネットの利用に際しては、私的な利用を禁止し、
不審なウェブサイトにアクセスしないようにする等十分留意する必要があります。
また、業務用パソコン等にファイル共有ソフト（Winny等）をインストールしてはいけません。
＊ファイル共有ソフトだけでなく、娯楽ソフトをネット上からダウンロードしたり、出所の不明な無償ソフトを利用することは
リスクが高いため、十分な注意が必要です。
＊ファイル共有ソフト検知ツール（WinnyGuardまたは特別調査員Ⅱ（ＣＤ）等）を用いて、定期的にファイル共有ソフトの
導入有無の点検を実施します。
（9）携帯電話・スマートフォンのアドレス帳管理
顧客情報が含まれた機器等を、社外紛失あるいは盗難（車上荒らし・置き引き等）された場合、パスワード設定が
されていたとしても、情報が漏えいし、お客さまにご迷惑をかけるリスクがあります。
そのため、特に携帯電話・スマートフォンのアドレス帳管理は、次のとおり対応します。
○携帯電話・スマートフォンには、パスワードまたはパスコードを設定する。
○アドレス帳登録件数は、必要最小限とする。
○紛失や盗難発生時、電話会社へ直ちに連絡して利用停止やデータ削除手続きを行う。
【推奨】
○アドレス帳登録に際し、次の「アドレス帳への登録例」を参考に姓のみや略称・イニシャルを活用して
個人の特定性を排除する。
○携帯電話・スマートフォンの本体にアドレス帳を保存せず、信頼のおけるクラウド上にアドレス帳を
保存するサービス（いわゆるＷＥＢ電話帳等）を利用する。
（10）提供元が不明確なネットワークへの接続禁止
近年、無線LAN（≒ Wi-Fi※1０）の技術が進歩し、ネットワーク接続の際はWi-Fiの利用が増えてきています。
空港、カフェ、駅、図書館等で、事前申込等も不要で、誰でも無料で利用できるWi-Fiが用意されています。
このようなネットワークは気軽に接続できる便利さの反面、通信の内容が暗号化されていない場合も
あり、悪意と知識を持った者に閲覧される可能性があります。
そのため、次のとおり対応します。
※1０無線LANのブランド名であり、無線LANとほぼ同義です。またWi-Fiスポットとは、カフェやレストラン、主要駅等の
外出先で、高速インターネットを利用できる公衆無線LAN（Wi-Fi）サービスのことです。
〇無線LAN（≒Wi-Fi）を利用する場合、提供元が明確で、暗号化とパスワードの設定がされている無線LANに接続する。
【禁止の一例】
パスワード入力が不要なWi-Fi サービス（公衆施設のWi-Fiスポット等）の利用
〇無線LANの暗号化方式は、WPA2またはWPA3を使用し、できるだけ長いパスワードを設定する。
（11）ホームページへの適切なセキュリティ対策（ウイルス対策・暗号化等）の実施
ホームページは十分なセキュリティ対策を実施していると思っても、予期できない脆弱な部分から
攻撃を受け、情報漏えいや表示内容の改ざん等が行われる危険性があります。また、昨今の攻撃技術の
進歩によって脆弱性が発見されると、たちまち外部から多数の攻撃を受ける危険性が高まるため、定期的な
安全性チェックを行うとともに、脆弱性が発見された場合には早く対策を実施することが必要です。
そのため、次のとおり対応します。
〇ホームページが稼働するサーバーに、次の適切なセキュリティ対策を実施する。
・ウイルス対策ソフトを導入し、ウイルス定義ファイルを最新の状況に保つ。
・インターネット上での盗聴や改ざんを防止するため、最低限お客さまに個人情報を入力いただくページは、
TLS 1.2※11以上による暗号化を設定する。
・ホームページ管理用パソコン等に適切なセキュリティ対策を実施する。
また、組織外から遠隔操作でホームページの管理・メンテナンスを実施する場合、安全なアクセスを
確保する（アクセスするIPアドレス※12を制限し、パスワードは前記ルール（１）と同レベルとする等）。
・スマートフォン等のモバイルアプリを構築・運用する場合についてもホームページと同様の管理を行う。
＜１０．サイバーセキュリティ対策の強化＞
近年では、代理店がサイバー攻撃を受け、その結果としてお客さまの個人情報等が漏えいする事例も発生
しています。これらの情報が漏えいしてしまった場合、被害の拡大を防止するために事業を停止しなければ
ならない状況となることも想定されます。
このため、代理店においてもサイバーセキュリティ対策を講じる必要があります。具体的な対策としては、
以下の対応が挙げられますが、サイバー攻撃は日々巧妙化しているため、対策について定期的にＰＤＣＡを
行うことが重要です。特に、実際にサイバー攻撃を受けた場合や顧客情報の漏えい等が発生した場合の対応は、
コンティンジェンシープラン※を定めておく必要があります。
※不測の事態が起こった時にできる限り迅速に通常業務に復旧させその被害を最小限に留めることを可能にするため、リスク
発生時に企業や従業員が取るべき行動指針や事前対策を定めたもののことです。
＜１１．SNS※1（Facebook、X（旧Twitter）、LINE等）利用上のルール＞
※１ソーシャル・ネットワーキング・サービスの略称です。
ＳＮＳ等に誤って顧客情報を投稿・送信した場合、情報が拡散し、非常に広範囲な漏えいにつながります。
また、サーバーの所在を含め、セキュリティ対策の水準も不明であることが多く、適切な管理が
極めて困難なため、顧客情報を投稿・送信してはいけません。ただし、当社が一定のセキュリティ要件を
満たしていると判断した仕組み※2を除きます。
※２ 当社提供のＳＯＭＰＯチャット、ＬＩＮＥチャット（事故対応サービス）、モバソンチャット
＜１２．テレワークに関するルール＞
テレワークを実施する場合は、情報セキュリティに関する社内規則等を定めてください。
＜１３．オンライン会議利用上のルール＞
オンラインによる会議や顧客面談等を実施する場合、情報漏えい・サイバー攻撃等のセキュリティリスクに
十分注意してください。
・ 招待メールを受けてWeb会議アプリにより、外部とのオンライン会議や顧客とのオンライン面
談を行う場合、メールの送信元を十分に確認すること。自ら主催して、オンラインによる
会議や顧客面談を行う場合、会議参加者や顧客の本人確認として、パスワード設定機能、待機室
ロビー）での参加者確認機能、参加者の事前登録機能などを利用可能なときには、必要に応じて
活用すること。※
※ オンラインによるWeb会議がクラウドサービスを使って行われる場合、負荷分散のため海外のデータセンターが
利用されることがあります。無料のクラウドサービスでは契約手続きが取られないために、データセンターが置かれた
国によっては、政府が法に基づきデータを強制収容するリスクがあることに注意する必要があります。