保険代理店のPC管理、何を記録・確認すべき？業務品質評価を見据えた「証跡」づくり【2026年版】

保険代理店の情報セキュリティ対策というと、ウイルス対策ソフトの導入やパスワードの設定を思い浮かべる人が多いかもしれません。

しかし、実際の業務管理では、

• 誰がどのパソコンを利用しているのか
• どのような操作を制限しているのか
• 異常やルール違反をどのように把握するのか
• 問題を確認した後、誰がどのように対応するのか
• 対応した事実をどのように記録するのか

まで含めて考える必要があります。

生命保険協会の2026年度「業務品質評価基準ガイドライン」でも、個人情報保護に係るシステム面の整備について、外部記憶媒体、アクセスログ、安全なネットワーク、ソフトウェアのインストール、OSの更新、パソコンの紛失対策など、幅広い項目が設けられています。

重要なのは、対策を「導入している」と説明できることだけではありません。

実際に運用し、その状況を確認し、必要に応じて指導や改善を行ったことを示せる状態にしておくことが重要です。

この記事では、保険代理店のPC管理について、特に「証跡」という視点から実務上の確認ポイントを整理します。

※本記事は、2026年8月時点で公表されている生命保険協会の業務品質評価基準ガイドラインなどをもとに、一般的な情報を整理したものです。生命保険協会の業務品質評価運営は、すべての保険代理店に一律に適用される法定の格付け制度ではありません。個別の対応は、代理店の規模、業務特性、取扱情報、所属保険会社の規程などによって異なります。

PC管理で問われるのは「入れたか」ではなく「回っているか」

情報管理規程を策定し、セキュリティソフトを導入していても、それだけで管理態勢が十分に機能しているとは限りません。

たとえば、次のような状態になっていないでしょうか。

• セキュリティソフトを導入した後、管理画面をほとんど確認していない
• 大量のアラートが届くため、重要な通知まで見落としている
• USBメモリーの利用を禁止しているが、システム上は自由に利用できる
• OSやソフトウェアの更新を各従業員へ任せている
• ログを保存しているが、誰も内容を確認していない
• 問題を口頭で注意しただけで、対応記録が残っていない

生命保険協会のガイドラインでは、「態勢を整備している」「仕組みがある」という表現について、ルールを定めて周知するだけでなく、実施し、運用状況を検証し、必要な改善を行っていることを求めています。

つまり、

ルールを作る
→ システムや運用で実施する
→ 実施状況を確認する
→ 問題があれば対応する
→ 対応結果を記録する
→ 必要に応じて改善する

という一連の流れが重要になります。

PC管理における「証跡」とは

証跡とは、実際に管理や対応を行っていることを、後から確認できる資料や記録のことです。

PC管理に関する証跡としては、たとえば次のようなものが考えられます。

• 端末や利用者を記載したIT資産管理台帳
• パソコンやスマートフォンの貸与・返却記録
• システムの権限設定画面
• USBなど外部記憶媒体の利用制御画面
• 外部記憶媒体を一時利用した際の申請・承認記録
• 操作ログやアクセスログ
• ログを確認した記録
• アラートの確認日時と確認者
• 問題が見つかった際の指導メール
• ソフトウェアの削除指示と完了報告
• OSやセキュリティパッチの更新状況一覧
• 自己点検表
• 管理部門や経営陣への報告書

生命保険協会の業務品質調査では、原則として、申告内容だけでなく、取組みの詳細が分かる証跡資料の提出が求められます。特段の指定がない場合、証跡資料が提出されなければ未達成と判定される旨も示されています。

また、一部のシステム関連項目では、製品の一般的なパンフレットだけではなく、自社で実際に設定・運用していることが分かる画面や資料が求められています。

そのため、

この製品には機能がある

という説明と、

当社ではこの機能を有効にし、この担当者が、この頻度で確認している

という説明は、分けて考える必要があります。

1．誰が、どの端末を使っているか把握する

PC管理の出発点は、会社で利用している端末と利用者を把握することです。

少なくとも、次のような情報を整理します。

• 端末名、管理番号
• メーカー、機種
• OS
• 利用者
• 貸与日
• 利用場所
• インストールされている主なソフトウェア
• セキュリティソフトの導入状況
• 返却日
• 廃棄日
• データ消去の実施日

退職者や異動者については、パソコンの返却だけでなく、メール、クラウドストレージ、顧客管理システム、社内システムなどのアカウントが適切に停止・変更されているかも確認します。

2026年度ガイドラインでは、退職時の機器返却、アクセス制限、データの削除・消去などについて、記録して管理することが基本項目として示されています。

「返却してもらったはず」「アカウントは止めたと思う」ではなく、実施日と実施者を記録することが重要です。

2．私物端末と外部記憶媒体をどう管理するか

私物パソコン、私物スマートフォン、USBメモリー、SDカードなどは、情報の持ち出しや保存先の分散につながる可能性があります。

代理店では、まず次の方針を明確にします。

• 私物端末の業務利用を禁止する
• 一定の条件を満たした場合だけ許可する
• 私物端末への個人情報の保存を禁止する
• システムによってデータの移動やコピーを制御する

2026年度ガイドラインでは、私物端末の業務利用または個人情報の保存について、自己点検などで定期的に確認する方法と、システムによって利用や保存を制御する方法が示されています。

外部記憶媒体については、システム制御によって読み書きできない仕組みを整備する項目が設けられています。

また、一時的な利用を認める場合には、

• 利用者が上長の承認を得る
• システム担当者が利用を許可する
• 利用ログを取得する
• 利用後に許可を解除する

といった運用が考えられます。

2026年度ガイドラインでは、外部記憶媒体の利用制御はNo.93、一時的に利用を許可した場合のルールと利用ログはNo.94として整理されており、いずれも応用項目です。

全面的に禁止するのか、例外利用を認めるのかにかかわらず、誰でも自由に利用できる状態は避ける必要があります。

3．ネットワークやWebサービスへの接続を管理する

テレワークや外出先で業務を行う場合、パソコンをどのネットワークへ接続するかも重要です。

2026年度ガイドラインでは、業務用パソコンについて、安全性が確保されたネットワーク接続を行うことが基本項目とされています。

暗号化方式が適切に設定されたネットワークを利用するほか、代理店がセキュリティを確保したVPN接続を用意している場合は、公衆無線LANを利用した接続も、安全性が確保されたものと判断できる場合があります。

一方、会社が管理していないネットワークやサービスを利用する場合には、次のようなリスクがあります。

• 公衆Wi-Fiを経由した通信
• 私物メールへの顧客情報送信
• 無許可のオンラインストレージへのアップロード
• 個人向けファイル共有サービスの利用
• 業務上不要なWebサイトへのアクセス

会社所定以外のWebメールについて、アクセスできないよう制御する方法のほか、アクセスした事実を管理部門が事後的に検知できる仕組みも、2026年度ガイドラインの達成条件として示されています。

ここでも重要なのは、単に規程で禁止するだけでなく、

• システムでアクセスを制御する
• アクセスを検知する
• 問題発生時に履歴を確認できる

といった実効性のある方法を検討することです。

4．ソフトウェアのインストールと更新を管理する

従業員が自由にソフトウェアをインストールできる状態では、業務上不要なソフトウェアや、安全性を確認できないソフトウェアが利用される可能性があります。

2026年度ガイドラインのNo.108では、従業員が業務上利用する電子機器へのソフトウェアのインストールについて、次のいずれかの対応が基本項目として示されています。

• 権限設定によってインストールできないようにする
• インストールをシステムで事後的に検知し、管理部門が削除を指示する

検知しているだけで、削除の指示や対応を行っていない場合は、未達成例として示されています。

したがって、インストール状況を把握するだけでなく、

検知
→ 内容を確認
→ 必要に応じて削除を指示
→ 削除完了を確認
→ 対応を記録

するところまで設計しておくことが重要です。

また、No.109では、OSやソフトウェアの更新状況について、

• システム担当者が一元的に管理する
• 更新が必要な場合に従業員へ連絡する
• 自己点検などでOSやセキュリティパッチのバージョンを定期的に確認する

といった方法が示されています。

更新を各従業員へ任せる場合でも、管理部門が結果を確認できなければ、組織としての管理にはつながりにくくなります。

5．ログは「保存する」だけで終わらせない

PCの操作ログやアクセスログを取得していても、誰も確認していなければ、異常やルール違反の発見にはつながりません。

2026年度ガイドラインのNo.95では、個人情報を管理するシステムへのアクセス状況を定期的にモニタリングし、必要に応じて、不必要なアクセスが多い従業員へ指導することが応用項目として示されています。

ログを取得しているものの、モニタリングを行っていない場合は未達成例とされています。

ログ管理では、次の点を決めておく必要があります。

• どのログを取得するか
• 誰が確認するか
• どの頻度で確認するか
• 何を異常と判断するか
• 異常があった場合、誰へ報告するか
• 誰が本人へ確認・指導するか
• 対応結果をどこへ記録するか
• 未対応のままになっていないか、誰が確認するか

すべてのログを人が一件ずつ確認することは、現実的でない場合もあります。

その場合は、

• 重要度に応じてアラートを絞り込む
• 前日分を一定の時間にまとめる
• 未確認・確認済み・対応中・完了を区別する
• 一定期間未対応の案件を再通知する
• 対応内容をログとひも付けて保存する

といった運用も考えられます。

大切なのはログの量ではなく、問題を発見し、対応し、その事実を説明できることです。

6．持ち出しパソコンの紛失・盗難に備える

営業先や自宅へ持ち出せる業務用パソコンがある場合には、紛失や盗難も想定する必要があります。

2026年度ガイドラインのNo.110では、持ち出し可能な業務用パソコンがある代理店について、パソコン起動時のパスワードに加え、次のような対策のうち、いずれか一つ以上を行うことが基本項目として示されています。

• ハードディスクの暗号化
• 遠隔でのデータ消去
• シンクライアント端末の利用
• その他の情報漏えい対策

技術的な対策とあわせて、

• 紛失発覚時の連絡先
• システムやメールのアカウント停止
• リモートロックやデータ消去の実施者
• 所属保険会社等への報告
• 個人情報保護委員会への報告要否の確認
• 顧客対応
• 原因分析と再発防止

など、事故発生時の対応手順も整理しておく必要があります。

日次・週次・月次で分けると運用しやすい

PC管理の確認作業を、すべて同じ頻度で行う必要はありません。

次のように、確認内容を日次・週次・月次に分ける方法があります。

日次の確認例

• 前日に発生した重要アラート
• 未許可ネットワークへの接続
• 禁止されたWebサービスへのアクセス
• 外部記憶媒体の利用
• 未承認ソフトウェアのインストール
• マルウェア等の検知
• 未対応アラートの有無

週次の確認例

• 対応が完了していないアラート
• 新規端末や新規アカウント
• 退職者・異動者のアカウント停止状況
• OSやソフトウェアの更新状況
• 例外的に許可した操作の終了確認

月次の確認例

• ログのサンプル確認
• 外部記憶媒体の利用実績
• アラートの件数と傾向
• 指導・是正の実施状況
• 管理台帳と実際の端末の照合
• 未解決案件の経営陣・管理部門への報告
• 証跡資料の保存状況

これは公的な資料で一律に定められた頻度ではなく、運用方法の一例です。

代理店の規模、端末数、利用者数、取扱情報、勤務形態などを踏まえて、実効性のある頻度を決めることが重要です。

PC管理ツールを選ぶ際の確認ポイント

PC管理やログ管理のツールを選定する場合は、機能の多さだけでなく、実際に運用できるかを確認します。

特に確認したいのは、次のような点です。

• 誰が、いつ、何をしたか確認できるか
• 端末や利用者を一元管理できるか
• 外部記憶媒体を制御できるか
• 例外的な利用を承認・記録できるか
• 未許可ネットワークやWebサービスを検知・制御できるか
• ソフトウェアのインストールを制御または検知できるか
• OSやソフトウェアの更新状況を把握できるか
• アラートの確認状況や対応結果を保存できるか
• 業務品質調査等に利用できる形で記録を出力できるか
• テレワークや外出先の端末も管理できるか
• アラートが多すぎて運用不能にならないか
• 基準改定時にシステムや対応表が更新されるか
• サポート範囲と代理店側の作業範囲が明確か

「必要な機能があるか」だけでなく、

誰が、毎日または毎月、どの画面を見て、何を判断し、どこへ記録するのか

まで想定して選定することが重要です。

「業務品質評価基準対応」が認定取得を保証するわけではない

PC管理ツールやセキュリティサービスの中には、「業務品質評価基準対応」を掲げるものがあります。

こうしたサービスは、ログ取得、端末制御、外部記憶媒体の制限、ソフトウェア管理などを効率化するうえで有力な選択肢になり得ます。

一方、ツールの導入だけで、業務品質評価の各項目が自動的に達成されるとは限りません。

確認すべきなのは、次の点です。

• 何年度の評価基準に対応しているか
• 具体的にどの設問へ対応しているか
• 基本項目と応用項目のどちらか
• 製品機能だけで対応できる範囲
• 規程の整備や教育など、代理店側の運用が必要な範囲
• 証跡資料として何を出力できるか
• 対応履歴や指導記録まで保存できるか
• 基準改定時にどのように更新されるか

製品は管理を支援する手段です。

最終的には、代理店自身がルールを定め、担当者を決め、日常的に確認・対応し、その記録を残す必要があります。

保険代理店が確認したいPC管理チェックリスト

このチェックリストは、法令や業務品質評価基準の項目をそのまま転記したものではありません。

自社の管理状況を整理するための参考として利用し、具体的な対応については、最新の法令、ガイドライン、所属保険会社の規程などを確認してください。

まとめ｜PC管理は「制御・確認・記録」で考える

保険代理店のPC管理では、セキュリティソフトを導入すること自体が目的ではありません。

重要なのは、

ルールを定める
→ 必要な操作を制御する
→ 利用状況を確認する
→ 問題へ対応する
→ 対応記録を残す
→ 運用を改善する

という仕組みを作ることです。

特に、業務品質評価を受審する代理店では、「対策を行っている」という説明に加え、実際の設定画面、管理台帳、ログ、自己点検表、指導記録などによって、取組みの実態を示せるようにしておく必要があります。

PC管理を「システム担当者だけの仕事」と考えず、経営、管理部門、現場の募集人がそれぞれの役割を理解し、継続的に運用できる態勢を整えることが重要です。

よくある質問

USBメモリーは全面的に禁止しなければならないのでしょうか

2026年度の業務品質評価基準では、外部記憶媒体をシステム制御によって利用できなくする項目は応用項目です。

また、一時的な利用を認める場合には、承認ルールを定め、利用ログを取得する方法も示されています。自社の規程や所属保険会社のルールを確認したうえで、自由利用を避け、適切に制御・管理する必要があります。

操作ログを保存していれば十分ですか

ログを取得・保存するだけでは、必ずしも十分とはいえません。

2026年度ガイドラインでは、アクセスログを定期的にモニタリングし、必要に応じて従業員へ指導する項目があります。ログの確認者、確認頻度、異常時の対応、対応記録まで決めておくことが重要です。

小規模な代理店にも大規模な管理システムが必要ですか

すべての代理店に同一のシステムや管理方法が求められるわけではありません。

代理店の規模、業務内容、端末数、取り扱う個人データの性質などを踏まえて、必要かつ適切な管理方法を検討します。ただし、小規模であることだけを理由に、顧客情報管理や安全管理措置が不要になるわけではありません。

主な参考資料

• 一般社団法人生命保険協会「2026年度 業務品質評価基準ガイドライン（A版）」
• INSURANCE JOURNAL「保険代理店の顧客情報管理とは？個人情報を扱ううえでの管理態勢を考える【2026年版】」