社内からの情報漏えい事例に学ぶ　公表された内部不正の共通点を整理する

公表された内部不正の例を並べると、防げた地点は、重要情報の特定、権限、持ち出しの出口、ログの点検、疑いが出たときの調査の5か所に分けられます。どれも高度な技術の話ではなく、運用で確かめられる点から始められます。

今日やることは、直近で退職した人を1人選び、その人のIDと共有フォルダの権限が今どうなっているかを確かめることです。同じ確認を、システムの保守を任せている委託先にも行います。

内部不正は今どの程度の脅威とされているのか？

IPAの情報セキュリティ10大脅威 2026で、「内部不正による情報漏えい等」⁠は組織編の7位です。2016年から11年続けて選ばれています。順位は選考会の投票によるもので、発生件数の順ではありません。

組織における内部不正防止ガイドライン第5版は、IPAの2020年⁠の調査を引いています。営業秘密の漏えいがあった企業の回答では、中途退職者（役員・正規社員）⁠が36.3%⁠で最多でした。現職従業員の誤操作・誤認は21.2%⁠、ルール不徹底は19.5%です。

この数字は2020年時点のものです。2024年⁠の実態調査について、IPAはメールマガジンで、外部からのサイバー攻撃を要因と認識する割合が大きく増えたと説明しています。内部の対策だけで足りるわけではありません。

公式発表から何が確かめられるのか？

ここでは、会社が自ら公表した資料で確かめられる範囲だけを扱います。公表は全体の一部なので、傾向を断定するものではありません。

退職者の例

ソフトバンクの2021年1月の発表⁠によると、元社員は秘密保持契約を結んでいましたが、退職申告から退職までの期間に、ネットワーク技術の営業秘密を持ち出していました。判明は2020年2月です。

同社は再発防止策として、情報資産の棚卸しとアクセス権限の見直し、退職予定者の業務端末の権限停止や利用制限の強化、利用ログを監視するシステムの導入を挙げています。

旭化成の2026年9月の発表は、元従業員が在職中に入手した機密情報を持ち出し、第三者に流出させたとして、不正競争防止法違反の容疑で逮捕されたと公表したものです。捜査中のため、詳細は公表されていません。

追加策には、機密情報の特定・区分の明確化、アクセス権限の見直し、退職予定者に関する誓約書と貸与PCの管理の強化が並びます。業種の違う2社⁠の再発防止策に、権限と退職予定者の扱いが共通して出てきます。

委託先の例

NTT西日本グループの2024年2月の資料⁠によると、保守業務の元派遣社員がシステム管理者アカウントを悪用し、928万件⁠のお客さま情報を約10年⁠にわたって持ち出していました。クライアント数は69です。

同資料が公表した内容で、ほかの会社が参考にしやすいのは次の4点です。

• グループの緊急総点検で、会社が許可していない記録媒体や端末を接続できるシステムが見つかった
• 保守アカウントの共用で、作業者を特定できないシステムがあった
• 不正を検知するためのログ点検に不備があった
• 運用責任者の約2割が、内部者による不正流出は起こり得ないと考えていたと回答した

これらはグループ全体の点検で分かった課題で、すべてがこの事案の原因と示されたわけではありません。

2022年4月にはクライアントから調査の依頼を受けていましたが、当時の調査では事実を把握できませんでした。資料は、前提情報を欠いたままログを短時間で分析したことや、委託元と委託先の立場の切り分けがなかったことを問題点に挙げています。

共通点はどこにあるのか？

3つ⁠の公表を、私たちなりに5つ⁠の地点に整理しました。この区分は各社の資料にあるものではありません。

自社では何から確かめるのか？

重要情報を書き出す

最初に、守る対象を決めます。IPAの2023年公表の調査では、個人情報以外の重要情報を特定する仕組みを持つ企業は半数に届いていません。2023年度の中小企業等の調査では、秘密情報の格付け表示が実効性を持って行われている割合は、中小企業で22%前後です。

製造業なら、図面、加工条件、配合、原価、取引先別の価格が候補です。たとえば金属部品の会社の場合、図面より加工条件の方が他社にまねされると困る、という判断もあり得ます。社長と現場の責任者で、10件ほど⁠に絞って書き出します。

退職の申し出から退職日までの手順を決める

ソフトバンクの例で持ち出しが起きたのは、退職申告から退職までの期間です。ガイドラインは、不要になったIDと権限をただちに削除するよう求め、削除で記録が消える場合はIDをロックしてログを残すよう示しています。

手順は、総務が申し出を受けた日に情報システム担当へ伝えるところから始めます。担当は重要情報の権限を絞り、必要な引き継ぎの範囲だけ残します。そのうえで秘密保持の誓約書を確認し、最終日に貸与品とIDの扱いを確かめます。

誓約書だけでは足りないと考えてください。先ほどの2023年公表の調査は、中途退職者の秘密保持義務の実効性を高める対策について、実施の割合が半数に届かないと報告し、アクセスログの活用の必要性も指摘しています。

委託先の作業者を1人ずつ特定できるようにする

ガイドラインは、委託先に権限を与える場合に、人数、権限、期間を必要最小限にするよう示しています。作業者の異動や退職でIDの削除漏れが起きないよう、体制の変更を報告してもらう例も挙げています。

確認は契約書だけで終わらせません。共用のIDがないか、作業の記録とログを突き合わせているかを、実際の画面や記録で見せてもらいます。NTT西日本の資料にある点検項目は、許可したUSBメモリ以外を使わせない対策や、接続ログの確認などを具体的に並べているので、質問票を作るときの手本になります。

出口とログを見直す

USBメモリの扱いは、業務を止めずにUSBメモリの利用を制限する方法⁠で詳しく扱います。メールやクラウドへの持ち出しも見たい場合は、DLP（情報漏えい対策）⁠の製品比較⁠で機能の違いを確かめられます。

ログは、取るだけでは足りません。確認する人、頻度、見る項目を決めます。たとえば、1人⁠が夜間に大量のファイルを取得した場合に通知する、といった基準です。ガイドラインも一括ダウンロードの通知を例に挙げています。操作の記録を集める仕組みは内部不正対策・操作ログ監視の製品比較⁠、複数の機器のログをまとめる仕組みは統合ログ管理ツールの比較⁠が入口になります。

疑いが出たときの連絡先を決める

ガイドラインは、差止や損害賠償の請求、刑事告訴には証拠保全が欠かせないとしています。疑いが出たら、本人の端末を担当者が触って調べる前に、外部の専門家へ相談します。調査を当事者の部署だけで行わないことも、NTT西日本の例から読み取れる点です。

個人データの漏えいで報告の対象に当たるときは、個人情報保護委員会と本人への報告も必要になります。弁護士と調査会社の連絡先を、平時に1枚⁠にまとめておきます。

全体の対策の順番は、情報漏えい対策のカテゴリー⁠で確かめられます。