情報漏えい・内部不正：社内から漏れる経路ごとに対策を対応させる順番

情報漏えい対策とは、情報が社外へ出る経路を洗い出し、経路ごとに防ぐ手段と記録を用意することです。外部からの攻撃だけでなく、誤送信、紛失、持ち出しも含みます。製品の名前から入らず、経路から考えます。

何から手を付けるか

順番は、守るものを決める、入口を固める、経路を絞る、起きたときに備える、です。

1. 守る情報を決める（顧客の個人情報、取引先の図面、価格表）
2. パスワードの使い回しをやめ、多要素認証を付ける
3. 入社、異動、退職のアカウントの手順を決める
4. 4つ⁠の経路で対策の抜けを探す
5. 記録を残し、そのことを社員に伝える
6. 漏えいしたときの報告の流れを決める

守る情報は、3つほどに絞る

全部を同じ強さで守ろうとすると、業務が止まります。「漏れたら誰に謝るか」⁠で考えると絞りやすくなります。顧客の個人情報なら本人へ、取引先の図面なら発注元へ、未公開の価格や配合なら自社の競争力に響きます。これらの置き場所を確かめることが、経路を考える出発点です。

4つ⁠の経路と対策

漏れ方と対策を、対応させて考えます。

図面を扱う製造業なら、取引先と約束した秘密保持の条件も見直します。協力会社に図面を渡すときの渡し方が決まっていないと、受け取った側の管理まで手が届きません。

アカウントは、費用の割に効く

令和7年⁠の不正アクセス行為の発生状況⁠によると、他人のIDとパスワードを悪用した不正アクセスの検挙399件⁠のうち、「パスワードの設定・管理の甘さにつけ込んで入手⁠」⁠が84件⁠で最多、「フィッシングサイトから入手」⁠が77件でした。

対策の基本は単純です。

• 使い回しをやめ、パスワード管理ツールで長いパスワードを保管する
• 多要素認証を、メールとクラウドの管理者から全社へ広げる
• 共有アカウントを減らし、誰の操作かわかるようにする

多要素認証は反発が出やすいので、管理者、社外から入る人、全社員の順に広げます。例外の扱いも先に決めておきます。

内部不正を、疑わずに防ぐ

IPAの10大脅威 2026では、「内部不正による情報漏えい等」⁠が組織編の7位⁠に挙げられています。IPAの組織における内部不正防止ガイドライン⁠の第5版は、基本方針、資産管理、技術的管理、職場環境、事後対策などの10の観点で33項目⁠の対策を示しています。

ここで大事なのは、社員を疑う空気を作らないことです。「やろうと思ってもできない」「記録が残るのでごまかせない」という環境を作れば、社員も疑われずに済みます。

製品を入れるときも、いきなり止めず、DLPの記録から始めると業務への影響を確かめられます。内部不正対策の製品は、守る情報と記録の方針が決まってから比べます。

漏えいしたら、法律上どうなるのか

個人情報保護法の第26条は、個人の権利利益を害するおそれが大きい事態が起きたとき、個人情報保護委員会への報告と本人への通知を求めています。どんな事態かは、個人情報保護委員会規則の第7条⁠が定めています。

1. 要配慮個人情報が含まれる個人データの漏えい等
2. 不正に利用されて財産的被害が生じるおそれがある個人データの漏えい等
3. 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
4. 本人の数が千人を超える漏えい等

いずれも「発生したおそれがある事態」⁠を含みます。規則の第8条は、事態を知ったあと速やかに報告し、知った日から30日以内（3の場合は60日以内）⁠に内容を報告すると定めています。委託を受けて扱っている場合は、委託元への通知によって報告に代えられる定めがあるので、契約とあわせて確かめます。

IPAの2024年度の実態調査では、2023年度に被害を受けた企業（975社）⁠の被害の内容で、個人情報の漏えいは35.1%でした。事故のあとの動きは監視・運用・社内体制に、全体の順番はセキュリティ対策の全体像⁠にまとめています。