情報漏えいとは、社外に出してはいけない情報が外部に流出することです。個人情報保護委員会のガイドライン（通則編）は、個人データの「漏えい」を外部への流出と定め、誤送付、誤送信、設定ミスによる公開、盗難、不正アクセスなどを事例に挙げています。設計図面のような営業秘密でも、起きることは同じです。
今日やることは2つです。1つ目は、クラウドの管理画面で社外に共有しているファイルを確かめること。2つ目は、最近退職した人のアカウントが止まっているかを確かめることです。どちらも新しい製品は要りません。
情報漏えい対策の全体像の中で、この記事は社内から漏れる経路に絞ります。
社内からの漏えいは実際に多い？
外からの攻撃だけでなく、社内起点も上位に入っています。
IPAの情報セキュリティ10大脅威 2026では、組織向けの7位が「内部不正による情報漏えい等」で、11年連続の選出です。
同じIPAの企業における営業秘密管理に関する実態調査2024の報告書概要を見ると、漏えいの経路は次のとおりでした。2025年1月のウェブアンケート（1,200人）で、過去5年以内の漏えいを認識していた回答者35.5%（426人）に経路を聞いた複数回答です。なお、前回の2020年度調査は郵送だったため、IPAは増減の比較に調査方法の違いが影響している可能性を注記しています。
| 漏えいの経路 |
割合 |
| 外部からのサイバー攻撃等 |
36.6% |
| 現職従業員等のルール不徹底 |
32.6% |
| 現職従業員等の金銭目的などの動機 |
31.5% |
| 現職従業員等の誤操作・誤認 |
25.4% |
| 中途退職者（役員・正規社員） |
17.8% |
| 定年退職者 |
12.0% |
攻撃への備えと並べて、社内の経路にも手を打つ理由がここにあります。外部からの攻撃は別の記事に任せ、ここでは経路を4つに分けて考えます。
4つの経路と対策の対応表
対策を一覧にするより、経路ごとに「どう漏れるか」と「何で塞ぐか」を対応させると、抜けが見えます。
| 経路 |
起きること |
ルールと設定 |
足りないときの製品 |
| メール |
宛先違い、BCCの入れ忘れ、添付の取り違え |
一斉送信の手順、添付の扱い |
DLP |
| 持ち出し |
USB紛失、ノートPCの盗難、私物への複製 |
暗号化、私物USBの禁止 |
デバイス制御 |
| クラウド共有 |
共有リンクの公開しすぎ、設定ミス |
外部共有の制限、棚卸し |
DLP |
| 退職者 |
アカウントの止め忘れ、データの持ち去り |
返還チェックリスト、秘密保持 |
内部不正対策 |
1つの製品ですべてを塞ごうとすると、高くつくうえに使いこなせません。経路ごとに、今あるもので足りるかを見ていきます。
メールからの漏えいはどう防ぐ？
宛先の間違いは人がやる以上なくせないので、起きにくい手順にして、起きたときの扱いを決めておきます。
個人情報保護委員会の漏えい等報告のリーフレットには、1,000人を超える会員へのメールマガジンでBCCに入れるべき宛先をCCに入れて送った例が載っています。よくある操作ミスでも、報告が必要な事態になり得ます。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版に付いている情報セキュリティ関連規程のサンプルは、多数の社外宛てに同時送信するときは、宛先に自分のアドレスを入れ、相手はBCCで指定すると定めています。この部分を自社の規程にそのまま使えます。
手順で防げないぶんは、送信前に中身を見て警告や保留をする仕組みで補います。これがDLP製品の比較で見られる機能の1つです。
持ち出しによる漏えいはどう防ぐ？
持ち出す情報を減らし、持ち出すなら暗号化する、の2段で考えます。
同じ規程のサンプルは、ノートPCならディスクやデータの暗号化、スマートフォンならロック、USBメモリなら不要データを消したうえで持ち出すデータの暗号化を求めています。経産省の秘密情報の保護ハンドブックも、持ち出しを難しくする対策の例として私物USBメモリの利用・持ち込みの禁止を挙げています。
ただ、禁止を決めるだけでは技術的には止まっていません。IPAの同じ調査で、業務PCからUSBメモリ等への書き出しを制御している回答は22.8%でした（1,200人の複数回答）。Windowsの場合、MicrosoftのDefender for Endpointのデバイス制御のように、特定のUSBデバイスの使用を禁止し、例外だけ許可する機能があります。ほかの選択肢はUSBなどのデバイス制御製品の比較で見比べられます。
クラウド共有からの漏えいはどう防ぐ？
既定の設定を確かめるところから始めます。導入したときのまま、外部に開いていることがあるからです。
MicrosoftのSharePointとOneDriveの外部共有の説明には、既定で外部共有が有効になっていると書かれています。Google Workspaceも組織の外部共有を管理する管理者向けの設定を用意しています。確認する点は次の3つです。
- 組織全体で、社外への共有をどこまで許しているか
- 「リンクを知っている人なら誰でも」のような共有を許しているか
- いま社外に共有中のファイルと、その共有がいつまで必要か
ガイドラインは、設定ミスでインターネット上から個人データを閲覧できる状態になった場合も漏えいの事例に挙げています。誰かが実際に見たと確かめられなくても、確認が要る場面だと考えてください。
退職者からの漏えいはどう防ぐ？
退職日に何を止めて何を返してもらうかを、1枚の表に決めておきます。
規程のサンプルは、退職時に資料や複製物をすべて返還させ、チェックリストで確かめるとしています。返還物には、印刷物や記憶媒体、パソコンなどの機器に加えて、IDや鍵などのアクセス権も含みます。
アカウントを止めても、本人が覚えている共有パスワードは使えてしまいます。共有IDを使っているサービスは、退職のたびにパスワードを変える対象に入れます。その手間を減らす方法は法人向けパスワードマネージャーの選び方に書きました。
秘密保持の取り決めは、退職のときだけでは足りません。経産省のハンドブックは、退職予定者が誓約書の提出を拒むことがあり得るため、入社時や異動時、重要プロジェクトへの配属時などにも取り交わすことを有効な対策としています。
退職前の大量コピーのような動きを見つけたいなら、操作の記録を残す必要があります。内部不正対策製品の比較は、その段階で見る分野です。
図面を預かる製造業ではどこから見る？
たとえば、取引先から預かった図面を協力工場へ渡している金属加工の会社の場合を考えます。
4つの経路に当てはめると、確かめる点は具体的になります。
- メール：協力工場へ図面を送る宛先は、毎回手入力か、登録済みの宛先か
- 持ち出し：現場の加工機へデータを移すUSBメモリは、誰が何本持っていて、私物が混じっていないか
- クラウド共有：協力工場に渡した共有リンクは、案件が終わったあとも開いたままではないか
- 退職者：CADや生産管理のIDは、退職した人のぶんが残っていないか
図面に氏名や住所が載っていなくても、取引先との秘密保持契約の対象である場合があります。個人情報だけを守る対象にすると、製造業で一番困る情報が抜けてしまいます。
漏れてしまったら何をする？
個人データが関わるなら、法律上の報告と本人への通知が要る場合があります。
個人情報保護委員会の漏えい等の対応の案内と施行規則では、要配慮個人情報を含むもの、財産的被害のおそれがあるもの、不正の目的によるおそれがあるもの、本人の数が1,000人を超えるものが報告の対象です。従業者が顧客データを不正に持ち出して第三者に渡した場合も、ガイドラインの事例に入っています。
期限や場面ごとの義務は、総務が押さえる個人情報保護法の義務で整理しました。誰が社内の第一報を受けるのかだけは、今日のうちに決めておけます。
製品はどの順番で考える？
表の「ルールと設定」の列を先に終わらせ、それでも残る穴にだけ製品を当てます。
順番としては、共有設定の見直し、退職時の表、USBの扱いの順に進めます。ここまでは今ある管理画面とルールで進められます。そのうえで、メールやクラウドの中身を見て止めたいなら、DLPの導入の進め方に進みます。いきなりブロックすると業務が止まるので、記録から始めるのが安全です。
私たちはセキュリティ製品の開発会社ではないので、製品の優劣は判定しません。自社の4経路のうち、どこが埋まっていないかが分かれば、比較表で見るべき列は自然と絞れます。
