フォーム設定ミスで個人情報漏洩｜情シスの確認点

結論から言えば、今回の漏洩は高度な攻撃ではなく、アンケートフォームの「結果の概要を表示する」設定がオンのまま公開されたという、たった1か所の設定ミスが原因です。誰でもノーコードで作れるフォームツールは便利な反面、設定ひとつで全回答が筒抜けになります。情シスとして「現場が勝手に作る個人情報フォーム」をどう統制するかが問われる事案です。

この記事でわかること：

八重瀬町立具志頭中学校で何が起きたのか（事実関係の整理）
なぜ「結果の概要を表示する」設定が危険なのか（仕組み）
現場でフォームを乱立させないために情シスが押さえるべき確認点

何が起きたのか
なぜ起きたのか — 「結果の概要を表示する」という落とし穴
想定されるリスク
現場目線の課題 — フォームは「誰でも作れる」からこそ怖い
情シスはどうすべきか
まとめ
出典

何が起きたのか

沖縄県八重瀬町は、町立具志頭（ぐしかみ）中学校で配布した「家庭調査票」のアンケートフォームに設定ミスがあり、回答した保護者が他の回答者の入力内容まで閲覧できる状態になっていたと公表しました。対象は25世帯・126人分の回答内容です。

経緯はシンプルです。2026年4月8日にフォームを配布し回答受付を開始、翌4月9日に回答を終えた保護者から「他の人の回答が見える」と学校へ指摘があり発覚しました。学校は指摘から7分以内に設定を修正しており、情報が露出していた時間は配布から設定修正までのおよそ17時間に限定されたとしています。町は「6月4日現在、二次被害の発生は確認されていない」と説明しています。

項目	内容
公表主体	沖縄県八重瀬町（町立具志頭中学校）
原因	アンケートフォームの「結果の概要を表示する」設定が誤ってオンのまま公開
影響範囲	家庭調査票の回答 25世帯・126人分
露出期間	配布から設定修正まで約17時間
発覚の経緯	回答した保護者からの指摘（発覚後7分以内に修正）
二次被害	6月4日時点で確認されず

なぜ起きたのか — 「結果の概要を表示する」という落とし穴

原因とされた「結果の概要を表示する」は、Google フォームなどの主要なフォームツールに備わる機能です。これをオンにすると、回答を送信した人が「他の回答者の集計結果（＝入力内容）」を閲覧できるようになります。匿名のアンケートで集計をその場で共有したいときには便利ですが、氏名・住所・家族構成といった記名式の個人情報を集めるフォームでオンにすると、回答が相互に丸見えになる致命的な設定です。

町の説明では、根本的な要因として「ツールの仕様やプライバシーに関わる設定の確認が、担当者個人の判断に委ねられていた」こと、そして公開前のテストが不十分だったことが挙げられています。つまり、設定項目の意味を正しく理解しないまま、テストもせずに本番公開してしまったわけです。担当者を一度でも回答者として試させていれば、17時間ではなく公開前に気づけた可能性が高い事案でした。

想定されるリスク

家庭調査票には、児童・生徒の氏名や住所、家族構成、保護者の職業など、組み合わせると個人を容易に特定できる情報が含まれます。これが回答者間で相互に閲覧できる状態は、次のようなリスクに直結します。

個人の特定と名寄せ：氏名＋住所＋家族構成がそろうと、第三者が容易に個人を特定できる。
スクリーンショットによる二次拡散：閲覧できた時点で、保存・転送を技術的に止める手段はない。「閲覧できただけ」では済まないと考えるべき。
機微情報の混入：自由記述欄には家庭事情など、特に配慮を要する情報が書かれていることがある。

今回は二次被害が確認されていませんが、それは結果論です。露出した時点で「漏洩」として扱い、対応・報告を進める姿勢が求められます。

現場目線の課題 — フォームは「誰でも作れる」からこそ怖い

情シスの実感として悩ましいのは、こうしたフォームが情シスの管理の外で量産される点です。クラウド型のフォームツールはアカウントさえあれば数分で個人情報フォームを公開でき、現場の担当者が善意で、しかし設定の意味を理解しないまま運用してしまいます。サーバーの脆弱性管理のように一元的に目が届かず、「どこの部署が、どんなフォームで、何を集めているか」を情シスが把握しきれないのが実情です。

今回の「担当者個人の判断に委ねられていた」という指摘は、多くの組織に当てはまります。限られた人員で、現場が立てた無数のフォーム一つひとつの設定まで確認するのは現実的に困難です。だからこそ、個人の注意力に頼る運用から、「誰がやっても危険な設定にならない仕組み」へ移すことが要点になります。

情シスはどうすべきか

再発防止の本質は、チェックリストの追加そのものよりも「個人の判断への依存をやめる」ことです。現場で実装しやすい勘所を挙げます。

公開前テストを必須にする：作成者自身が一度回答し、送信後に「他人の回答が見えないか」を必ず目視確認する。今回はこの一手で防げた。
記名式フォームの既定設定を決める：「結果の概要を表示する」は原則オフ、回答の編集・共有も用途がなければ無効にするなど、テンプレート化して配布する。
ダブルチェックと承認フロー：個人情報を扱うフォームは、作成者以外がもう一度設定を確認してから公開する。八重瀬町もダブルチェック義務化とチェックリスト導入を再発防止策に挙げている。
そもそも個人情報を集めすぎない：本当に必要な項目か、フォームで集めるべき情報かを事前に見直す。

あわせて、現場担当者向けの地道な啓発が効きます。中小規模の組織であれば、まずはIPAの公的な指針を共通の土台にするのが近道です。