内部不正対策の進め方は？IPAの指針を中小企業の手順に直して解説

内部不正対策は、権限を絞り、操作の記録を残し、退職時の手順を決める3つから進めます。IPAの組織における内部不正防止ガイドライン⁠は33項目ありますが、中小企業が最初から全部を動かす必要はありません。

今日やることは、社内の主なシステムのアカウント一覧を出すことです。ファイルサーバー、メール、クラウド、基幹システムの4つについて、退職者と異動者のIDが残っていないかを人事の名簿と突き合わせます。

内部不正対策はなぜ後回しにできない？

IPAの情報セキュリティ10大脅威 2026（組織編）⁠で⁠、「内部不正による情報漏えい等」⁠は7位でした。2016年から11年連続で入っています。

IPAの指針が引く2020年⁠の実態調査では、営業秘密の漏えいがあった企業の経路は次のとおりです。

悪意のある持ち出しだけの話ではありません。誤操作とルール不徹底が合わせて4割あり、ここは社員を疑わなくても、仕組みで減らせます。

IPAの中小企業等の状況調査（2024年3月）⁠は⁠、従業員300人以下⁠の中小企業を調べ、守るべき情報を特定できていない懸念を挙げています。つまり、最初の一歩は機器の購入ではなく、守る情報を決めることです。

IPAの33項目⁠はどう読めばいい？

指針の第5版は2022年4月⁠に公開され、基本方針、資産管理、技術・運用管理、人的管理、事後対策など10の観点で33項目⁠を示しています。本文には、特定の内部不正だけを対象にするなら、全部を行うと必要以上の対策になることがあると書かれています。

専任者のいない会社では、33項目⁠を次のように束ねると動かせます。カッコ内は指針の項目番号です。

指針は、経営者の責任の明確化と総括責任者の任命を最初の項目（1）（2）⁠に置いています。委員会を新設しなくても、総括責任者を置けば体制を作れるとも説明しています。小さな会社なら、総務の責任者を総括責任者に指名するだけで始められます。

指針のページには、Excelの内部不正チェックシートもあります。項目を埋めて、できていない場所に印を付けると、社長に説明する資料にもなります。

権限はどこまで絞ればいい？

項目（5）⁠は⁠、限られた利用者だけが重要な情報に触れるよう手順を定め、異動や退職で不要になったIDと権限はただちに削除するよう求めています。手順は3つ⁠に分けます。

IDの一覧を人事の手続きにつなげる

入社、異動、退職の届けが出たら、IDの作成、変更、削除の依頼が情シス担当へ届く流れにします。指針も、人事手続きと連携した運用を求めています。依頼書を1枚足すだけで動きます。

IDを消すとアクセス記録まで消える仕組みの場合は、消さずにロックしてログを残すよう、指針の注に書かれています。消す前に確かめてください。

共用のIDをやめる

10大脅威2026の解説資料は、複数人で端末やアカウントを共用していると、誰が操作したのか確認できないと指摘しています。

たとえば、町工場の現場に共用のCAD端末がある場合です。全員が同じIDで図面フォルダに入っていると、後からログを見ても誰の操作かわかりません。現場の手間を増やさない範囲で、個人のIDに分けます。図面フォルダも、製品や取引先ごとに入れる人を決めます。

管理者の権限を1人⁠に集めない

項目（6）⁠は⁠、管理者が複数いる場合は権限を分けて互いに確認できるようにする内容です。項目（19）⁠は⁠、管理者のログを定期的に管理者以外が確認するよう求めています。

担当が1人しかいない会社なら、管理者の作業報告とログを社長か総務が月に1回見る形から始めます。担当者を疑うためではありません。問題が起きたときに、担当者の潔白を示す材料にもなります。

記録は何を残し、誰が見る？

項目（18）⁠は⁠、重要な情報へのアクセス履歴と利用者の操作履歴を記録し、定めた期間、安全に保存するよう示しています。Webのアクセスログ、メールの送受信履歴、テレワークの接続履歴も例に挙がっています。記録が無いと、原因の特定も影響範囲の調査も難しくなります。

最初に決めることは次の4つです。

• どのシステムのログを取るか（図面、顧客名簿、給与など重要な情報の置き場から）
• 何か月残すか（自社で決めた期間を文書にする）
• 誰が、どの頻度で見るか
• 大量の取得があったときに誰へ通知するか

項目（5）⁠に⁠は⁠、重要な情報を一括でダウンロードすると上司に通知される例が載っています。製品を入れる前に、今のサーバーやクラウドの標準機能でどこまでできるかを確かめます。集めて検索したくなったら統合ログ管理ツールの比較、操作の監視まで広げるなら内部不正対策・操作ログ監視の比較が見比べる先になります。

持ち出しの決まりは何から作る？

10大脅威2026の解説資料は、USBメモリ、メール、クラウドストレージ、スマートフォンのカメラ、紙を持ち出しの経路に挙げています。全部を一度にふさぐと現場が止まるので、仕事で使う経路を残して、決まりを1つずつ足します。

• 持ち出すときの承認と記録（項目（10）⁠）
• 個人のUSBメモリを禁止し、記録媒体は会社の貸与品だけにする（項目（11）⁠）
• 取引先へ送る図面や名簿の暗号化（項目（14）⁠）

項目（11）⁠に⁠は⁠、外部記録媒体の利用を制限するソフトの導入も挙がっています。検査データをUSBで受け渡す工程がある工場なら、禁止する前に代わりの受け渡し方法を決めます。製品を見るならUSB・デバイス制御の比較⁠が参考になります。

技術だけでは止められない経路もあります。解説資料には、工作機械メーカーの元社員が営業秘密を口頭で伝えたとして書類送検された例が載っています。社外の人から接待や情報の打診を受けたら相談する、という窓口と教育が要ります。項目（32）⁠の通報制度は、所属部門以外にも通報できる窓口を置く内容です。

退職時の手順は何を決める？

調査で最も多い経路が中途退職者なので、ここは社長が直接関わる価値があります。項目（23）（24）⁠をチェック表にすると、次の形です。

指針は、秘密保持の契約では、対象の情報を客観的に特定できる書き方が必要としています。「会社の機密一切」⁠で⁠は足りない場合があるので、製品名や図面の範囲を書きます。文面は弁護士に確かめてください。委託先や派遣の人が離れるときも、項目（17）（22）（24）⁠を見て同じ確認をします。

職場の環境も対策に入っています。指針は、公平な人事評価や働きやすい環境を項目（27）（28）⁠に挙げています。処遇への不満が動機になる場合があるからです。

不正が疑われたらどう動く？

項目（30）⁠は⁠、影響範囲を特定し、被害の拡大を防ぐ体制を求めています。指針は、個人データの漏えいで委員会への報告や本人への通知が遅れると、法律違反を問われるリスクがあるとも書いています。

相手が社員だと、本人に先に問いただしたくなります。その前に、責任者へ報告し、ログと端末を保全します。発覚から報告までの動きは個人情報漏えいの対応マニュアルに、報告が要るかの判断は個人情報漏えいの報告義務⁠にまとめました。情報漏えい対策のカテゴリには、関連する記事を並べています。

この記事は公開資料をもとにした一般的な整理です。就業規則や誓約書の文面、社員の処分は、社労士や弁護士に確かめてください。