内部不正とは、社員、役員、退職者など組織の内部にいた人が、重要情報や情報システムを持ち出す、漏らす、消す、壊すなどの行為です。IPAの「組織における内部不正防止ガイドライン」第5版は、違法行為だけでなく、違法とまではいえない内部規程違反も含めて内部不正と呼んでいます。
今日やることは2つです。会社で一番大事な情報を1つ決めて、触れる人を書き出す。退職した人のIDが残っていないかを確かめる。どちらも、ツールを買わずに始められます。
なぜ「社員を疑う監視」から始めないのか
内部不正の話をすると、社員のPCを見張る話になりがちです。しかしIPAのガイドラインが軸にするのは、人を疑うことではなく環境を整えることです。もとになっているのは、監視者の配置などで外から調整できる「環境」に着目して犯罪の機会と動機を減らす、状況的犯罪予防という考え方です。
監視だけに頼ると、社員には不信感が残り、見張る側の手間も増えます。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、対策の不備を悪用した内部不正が容易に行える職場環境は、従業員のモラル低下を招く要因になると書いています。誰でも持ち出せる状態を放置しないことは、まじめに働く社員を守ることでもあります。
内部不正はどのくらい起きているのか
実際にどのくらい起きているのか、数字を3つ挙げます。
情報セキュリティ10大脅威 2026の組織編で「内部不正による情報漏えい等」は7位で、11年連続の選出です。
IPAの営業秘密管理に関する実態調査2024（2025年1月、1,200人へのウェブ調査）では、過去5年以内の営業秘密の漏えい事例・事象を認識している割合が35.5%でした。漏えいのルート（複数回答）の上位には、サイバー攻撃の36.6%に加えて、現職従業員等のルール不徹底が32.6%、金銭目的などの具体的な動機が31.5%、誤操作・誤認が25.4%と並びます。
悪意のある持ち出しだけでなく、ルール不徹底やミスも同じくらい挙がっています。だから「悪い人を見つける」より「誰がやっても起きにくくする」ほうが、対策の範囲に合っています。
もう1つ、退職者に関わる数字です。警察庁などの公表資料によれば、2025年（令和7年）に検挙された、他人のID・パスワードを使う不正アクセス399件のうち、「識別符号を知り得る立場にあった元従業員や知人等による犯行」は61件（15.3%）でした。社内の事案だけを集計した数字ではありませんが、IDの消し忘れが他人事ではないと分かります。
抑止の5原則を中小企業の作業に直すと？
IPAのガイドラインは5つの基本原則を掲げています。右の列は、原則を中小企業の作業に置き換えた私たちの整理です。
| 基本原則 |
言いかえ |
中小企業でやること |
| 犯行を難しくする |
やりにくくする |
アクセス権を絞る。私物USBを制限する |
| 捕まるリスクを高める |
やると見つかる |
操作の記録を取り、取っていることを伝える |
| 犯行の見返りを減らす |
割に合わない |
重要情報を暗号化する。不要なデータを残さない |
| 犯行の誘因を減らす |
その気にさせない |
評価や業務量への不満を聞く場を作る |
| 犯罪の弁明をさせない |
言い訳させない |
秘密の範囲を示し、ルールを教育し、誓約を取る |
監視に当たるのは2行目だけです。残りの4つは、社員を疑わなくても進められます。
最後の行は見落とされがちです。IPAの2023年度の中小企業等の状況調査によれば、中小企業で秘密情報の格付け表示が実効性を持って実施されている割合は22%前後でした。中身を見ないと秘密かどうか分からない状態では、「知らなかった」という言い訳も、本当のうっかりも防げません。
記録があると伝える抑止はどう設計する？
抑止で効かせたいのは「やれば分かる」という認識です。そのためには、記録を取るだけでなく、取っていることを伝える必要があります。
IPAのガイドラインは、経営者が役職員を守る姿勢を示す例として、次の3点を挙げています。
- モニタリングは、不正をしていないことの証明にも役立つ
- モニタリングデータは、内部不正の監視以外の目的に使わない
- 特定の人を重点的に見る条件も含めて、労使で合意し、全員に周知して運用する
実際に見る範囲は絞れます。ガイドラインは、夜間のアクセス制限や、重要情報を一括でダウンロードしたときに上司などへ通知する例を示しています。全員の操作を毎日読むのではなく、普段と違う動きだけを拾う形です。
始める前に
記録の取得を社内ルールや就業規則にどう書くかは、労務に関わります。社会保険労務士や弁護士に確認してから始めてください。ガイドラインは、モニタリングについて労使の合意と全員への周知を前提にしています。
中小企業には、経営者の声が全員に届く強みもあります。IPAの状況調査は、朝礼や全社集会で経営方針を直接伝えることを、規模を逆手に取った進め方として挙げています。「疑っているからではない。誰かが疑われたときに、記録で潔白を示せるようにする」と社長が自分の言葉で話すだけでも、同じ仕組みの受け取られ方は変わります。
どの順番で進めればいいか
専任の担当者がいない会社を想定した順番です。
- 重要情報を決める。図面、顧客名簿、原価、配合などから、漏れたら一番困るものを1つ選ぶ
- 置き場所と、触れる人を一覧にする。業務に要らない権限を外す
- 退職者と異動者のIDを消す。ガイドラインは、不要になったIDとアクセス権をただちに削除するよう求めている
- 私物のUSBメモリやPCの扱いを決める。ガイドラインは、記録媒体を会社貸与品に限る例を示している
- ログを取り、社員に伝える
- 退職の手続きに、権限の削除、貸与品の返却、秘密保持の確認を入れる
情報システム担当と総務・人事を別々に置けない会社でも構いません。状況調査は、IT面と体制面を分担して少ない人員で補う形を示しています。兼任なら、1人の担当者が2つの役割を意識して進めます。
共有のIDとパスワードが残っていると、記録があっても「誰の操作か」が分かりません。5の前に、社員のパスワード管理をExcelとノートから移す手順を済ませておくと、記録が意味を持ちます。顧客名簿や履歴書を守る対象に含めるかどうかは、会社で扱う個人情報の範囲で判断できます。
製造業ではどこから手を付ける？
たとえば、受託加工の会社が取引先の図面を共有フォルダに置いている場合です。全社員が全案件を見られる設定なら、最初の見直し先はそこです。
案件ごとにフォルダを分け、担当者と品質管理など必要な人にだけ権限を付けます。現場の共用PCで図面を見る場合は、持ち出せる必要があるかを確認し、不要ならUSBの差込口を無効にする方法があります。ガイドラインも、差込口の無効化をハードウェア面の対策に挙げています。
図面の一括ダウンロードに通知を出せるなら、退職の申し出があった人に限らず全員を同じ条件にします。特定の人だけを狙う運用にしないことが、「疑っているのではない」という説明の裏付けになります。
ツールはいつ検討すればいい？
権限の整理と退職の手順ができてから検討しても遅くありません。整理の前に導入すると、権限が広いまま、大量の記録だけが増えます。
候補になるのは3種類です。情報の持ち出しや送信に注目するならDLP製品の比較、操作の記録を集めて残すならログ管理ツールの比較、普段と違う動きの把握まで見たいなら内部不正対策ツールの比較が入口です。
比べるときは、機能の多さより次の点を確かめます。
- 取得する記録の種類と、社員に説明できる範囲に収まるか
- 通知を誰が受け、兼任の担当者が週に何分で確認できるか
- 記録を何か月残せるか。古い記録を確かめる必要が出たときに足りるか
- テレワーク端末や私物端末の扱い
ツールを入れれば内部不正がなくなるわけではありません。入れた後も、見る人と手順が要ります。全体の進め方は漏えい対策のカテゴリにまとめています。IPAのガイドライン本文には、対策を確かめる33項目のチェックシートも付いているので、順番を終えたら自社の状況と照らせます。
