IPA（情報処理推進機構）が発表している「情報セキュリティ10大脅威 2026」では、「『組織』向け脅威」の7位に「内部不正による情報漏洩等」がランクインした。これで11年連続11回目のランクインとなり、セキュリティ対策を考えるうえで、軽視できない脅威となっている。実際に発生した内部不正事件を見てみよう。

約2,895万件の個人情報流出

2014年、国内最大級の通信教育・学習支援サービスを提供している、ある企業では、所有する会員の個人情報が社外に漏洩する事件が起きた。システム開発・運用を担っていたグループ会社の元社員が不正に個人情報を取得し、名簿会社に売却したというものだ。この事件では、代表取締役副会長と最高情報責任者が引責辞任し、2015年の当期純利益で107億円の赤字という損害を出している。

技術情報の持ち出し

2014年、大手総合電機・社会インフラメーカーのパートナー企業に所属していた技術者が企業秘密のデータを持ち出し、転職先の企業に提供した。その後の調査で、その技術者には役員の地位が約束されていたという。持ち出し方法はUSBメモリーへのコピーだった。

IPA「組織における内部不正防止ガイドライン」では、「状況的犯罪予防」の考え方を応用し、内部不正防止の基本原則として以下の五点を挙げている。

• 犯行を難しくする（やりにくくする）
• 捕まるリスクを高める（やると見つかる）
• 犯行の見返りを減らす（割に合わない）
• 犯行の誘因を減らす（その気にさせない）
• 犯罪の弁明をさせない（言い訳させない）

状況的犯罪予防とは、犯罪学者Cornish ＆ Clarkeが提唱した都市空間の犯罪防止理論のこと。監視者の設置などで外部からコントロール可能な環境を適切に定め、犯罪の機会や動機を低減することによって予防対策を行う。

内部不正対策の体制

組織内の内部不正を防ぐためには経営者の関与が重要だ。一方、行き過ぎた対策で企業の活力を損なったり、情報の利活用を阻害したりしないように留意することも必要となる。

経営者の責任を明確化し、「基本方針」を策定して役職員に周知徹底するほか、経営者は総括責任者を任命し、管理体制と実施策が経営者主導の取り組みであることを組織全体に示すことも重要だ。また、総括責任者は、基本方針にのっとった組織横断的な管理体制の構築が求められる。

サプライチェーン全体での内部不正対策を、より強固にするための手法をいくつか紹介する。

秘密指定

重要な情報を棚卸しして、重要度に沿った格付けを行う。取り扱い可能な職位、職種などの役職の範囲を区分に応じて定め、格付け区分が分かるように、機密マークなどの表示を行う。

アクセス管理

情報システム担当は、格付け区分ごとに取り扱い可能な役職のみが重要情報にアクセスできるように設定する。利用者IDやアクセス権の登録・変更・削除などの設定は手順を定めて運用する。アクセス権を持つ従業員が異動・退職した場合は、速やかにIDなどを削除する。

システム管理者が複数いる場合は、管理者IDごとに権限範囲を割り当て、管理者同士が相互に監視できるようにする。

利用者の認証

機密情報にアクセスする従業員や管理者は、個別にIDやパスワードなどを設定する。決して、共有のID・パスワードなどを使用しないようにする。

物理的な管理

重要情報の格納場所などは物理的に境界を定め、入退管理を行う。また、PCやモバイルデバイス、外部記録媒体などは盗難・紛失がないように物理的管理を行い、不要になった際は情報を完全に消去してから廃棄する。そのほか、個人のPCやスマートデバイス、外部記録媒体などの業務利用や持ち込みを適切に制限するBYOD（私用端末の業務利用）の管理も重要となる。

モニタリング

AIなどの最新技術を用いた内部不正モニタリングシステムの活用も推奨されている。人手による判断と組み合わせて、説明責任が果たせるよう仕組みを構築する。また、重要情報へのアクセス履歴や操作履歴のログ・証跡を記録し、保存することも重要となる。

ネットワークの管理

ファイル共有ソフトやSNS、外部オンラインストレージなどの使用を制限し、安全なネットワーク環境を整える。

内部不正対策に加え、業務委託先などを経由した外部からのサイバー攻撃や情報漏洩への備えも欠かせない。

データの受け渡し

委託先などと重要情報を共有する場合、受け渡しから廃棄までを自社で管理する。インターネットを用いた送信や記録媒体などを用いた場合、人的ミスによって、重要情報が関係者以外の手に渡ってしまうことも考慮し、暗号化などを施す。

業務委託時の確認

業務委託時にはセキュリティ対策の事前確認、合意を必須とする。委託先が契約どおりに情報セキュリティ対策を実施しているかを定期的または随時確認する。

従業員への教育を行い、必要に応じて罰則規定を設ける。

派遣社員がいる場合は、派遣元の協力を得て秘密保持義務を課す。

これらの対策は、外部からのサイバー攻撃への備えとしても有効だ。

情報漏洩を防ぐためには、自社の外部と内部の両面から対策を講じていくことが大切だといえる。