1 内部不正による情報漏えい等に注意
どれだけセキュリティ対策を強化しても後を絶たない情報漏えい。外部からのサイバー攻撃が巧妙化していることもさることながら、情報漏えいの多くは、人間の不注意や操作ミス、リテラシー不足によるものです。
そして、数は少ないとはいえ、深刻な問題となるのが、従業員・元従業員が会社の機密情報、顧客の個人情報などを法令や社内ルールに違反して持ち出す「内部不正」です。
IPA(情報処理推進機構)の「情報セキュリティ10大脅威2026」では、「内部不正による情報漏えい等」が第7位としてランクイン
しました(初選出の2016年以来、11年連続11回目)。
不正が起きるのは、米国の犯罪学者ドナルド・クレッシーが提唱した「不正のトライアングル」と呼ばれる3つの要素「動機」「機会」「正当化」がそろったときとされています。
この記事では、中小企業の経営者やマネジメント層の方に向けて、「不正のトライアングル」の3つの要素のうち、「機会」をなくし、「正当化」させないためのアプローチ方法について解説していきます。
2 不正の「機会」をなくすためのアプローチ
1)情報(データ)への「アクセス権限の管理」
最も基本的な対策は、
従業員の異動時・退職時には速やかにアクセス権限を変更・削除する
など、情報(データ)へのアクセス権限をしっかり管理することです。
とはいえ、権限のある人が、魔が差して不正を行うケースを防ぐには、それ以外の「機会(不正ができる環境、隙)」も排除していく必要があります。
2)抑止力としての「ログの記録・監視」
重要なデータへのアクセスログが記録されるようにするのはもちろん、そのログが改ざんされない状態で長期保管できるようにしましょう。
また、大量のデータアクセスなど、通常と違う動きを検知して管理者にアラートを飛ばす仕組みや、ファイルのダウンロードやコピーなどの操作ログを取得する仕組みを導入することも検討するとよいでしょう。
「不正を行ったら、後からでも必ず追跡され発覚する」という環境は、内部不正を思いとどまらせる抑止力になり得ます。
3)単独での不正を防ぐ「相互監視・牽制体制」
重要なデータの持ち出しや印刷には必ず上長や別部門の承認を必須にする「承認制」の導入や、データの「管理責任者」と「利用者」を明確に分け、同一人物が両方の権限を持たないように職務分掌を徹底することを検討しましょう。
可能であれば、定期的なジョブローテーションによって、同じ業務が特定の人物に長期間固定し不正の温床になることを防ぐとよいでしょう。
1人だけの判断で重要なデータに触れられる環境をなくすことが大切です。
4)データの「持ち出し手段の遮断」
重要なデータを外部に持ち出す手段を、物理的・技術的に遮断することを検討しましょう。例えば、USBメモリなどの外部記録媒体の接続をPC側のOSやソフトの設定で無効化することや、社内ネットワーク経由で個人のクラウドストレージやウェブメール、SNSへのアクセスを許可しないといった対策です。
USBメモリなどの外部記録媒体の接続は、物理的に挿せないようにポートを塞いでしまう方法もあり得ます。
重要なデータを持ち出そうとしたときに、簡単にはできない環境であることが求められます。
3 不正を「正当化」させないためのアプローチ
従業員・元従業員に対して秘密保持・競業避止義務を課すことにより、抑止力が働き、情報漏えいが起こった場合は当該従業員・元従業員の責任を追及できる可能性があります。
1)従業員・元従業員の秘密保持義務
労働契約の存続期間中、従業員(パートなどを含む)は秘密保持義務を負うと考えられています。秘密保持義務とは、
企業の業務上の情報を第三者に開示・漏えいしない義務
です。就業規則などで明確に定めていなくても、労働契約の付随的義務として信義則上負うものと考えられています。
また、労働契約の終了後においても、契約書や誓約書等を作成していない場合であっても、信義則上、一定の範囲で秘密を漏えいしない義務を引き続き負っていると考えられています。もっとも、情報漏えいを防止する観点からは、その秘密の性質・範囲、価値、従業員の退職前の地位などを考慮して、別途、退職時に秘密保持契約を締結するなどの手立てを講じておくことが望ましいでしょう。
2)秘密保持・競業避止義務の範囲
従業員・元従業員が秘密保持義務や競業避止義務を負う場合でも、その範囲は無制限ではありません。職業選択の自由や営業の自由を制約することはできないため、度が過ぎると公序良俗に反するものとして、無効になる場合があります。
例えば、従業員に対して「秘密情報を利用して、在職中、退職後に競合他社に就職するなどの競業行為を行ってはならない」とする競業避止義務を課す場合がありますが、このような規定の有効性については個別具体的な状況によって判断されます。
また、退職後の秘密保持義務についても、これを広く容認することは職業選択の自由を制約することになるので、義務の内容が公序良俗に反して無効となる場合があります。公序良俗に反するかは、その秘密の性質・範囲、価値、労働者の退職前の地位に照らし、合理性が認められるかどうかにより判断します。また、退職後の契約上の秘密保持義務の範囲については、その義務を課すのが合理的であるといえる内容に限定して解釈するのが相当であるとされています。
その他、就業規則に退職後の競業避止義務や秘密保持義務を規定しておくことも可能ですが、競業避止義務や秘密保持義務の内容は、個別に従業員の地位や仕事内容に合わせて設定する必要があるため、個別に誓約書や合意書などを取り付けるのが望ましいでしょう。
3)秘密情報・秘密保持義務などの定義
秘密情報の定義やその管理方法は法的に定められていません。従業員・元従業員に秘密保持義務や競業避止義務を課すためには、従業員・元従業員に秘密情報の対象を明示し、秘密情報として管理されていることが認識できる状態にしていたか否かなどが問われます。
そのため、例えば、従業員・元従業員に秘密情報の対象を示さず、全従業員が容易に秘密情報にアクセスできるような管理状態では、秘密情報だと主張して、従業員・元従業員に秘密保持義務を課すには不十分だということです。
以上から、就業規則や秘密保持に関する誓約書などにおいて、秘密情報の対象と取り扱い範囲を規定することが必要といえるでしょう。これらに違反した場合の処分規定を設けておけば、従業員・元従業員が秘密情報を不当に持ち出すことの抑止力にもなります。
秘密情報の範囲は不明瞭になりがちなので、できるだけ具体的に秘密情報を規定し、新しい情報をその都度、追加していくとよいでしょう。
なお、経済産業省のウェブサイトでは、秘密情報の管理方法や秘密保持契約(誓約書)のひな型などが公開されているため、参考にするとよいでしょう。
4)従業員以外にも及ぶ営業秘密の効力
特に重要な秘密情報については、「営業秘密」として管理することが肝要です。従業員・元従業員が秘密保持義務に違反し、第三者に秘密情報を漏えいさせても、企業は当該第三者と契約関係がないため、第三者に対して債務不履行責任を問うことは基本的にできません。しかし、不正競争防止法上の「営業秘密」と認定されれば、その侵害については罰則が設けられているため、刑事・民事の両面で、当該第三者に対する法的措置が取りやすくなります。
また、情報を持ち出された企業が損害賠償を請求する場合、企業が損害の発生や損害額を立証する必要がありますが、営業秘密と認定されることで、不正競争防止法上の損害額の推定規定が適用されます。
営業秘密とは、不正競争防止法の保護・規制を受ける、次のような情報です。
秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの
営業秘密として認定されるためには、
1.秘密管理性(秘密として管理されていること)
2.有用性(有用な営業上または技術上の情報であること)
3.非公知性(公然と知られていないこと)
の3要件を満たす必要があります。この3要件を意識し、情報に接することができる従業員等にとって、秘密だと分かる程度の措置(例えば、紙や電子記録媒体へ「マル秘」「持ち出し禁止」の表示をする、秘密保持契約等によって秘密情報の対象を特定する、データへのアクセス制限をする、パスワード設定をするなど)を講じるとよいでしょう。
4 内部不正対策チェックリスト
1)不正の「機会」をなくすために
| チェック項目 |
済 |
| 従業員の異動や退職時に、アクセス権限を速やかに変更・削除する手順が決まっている |
□ |
| 業務上、本当にそのデータが必要な人だけに限定して権限を付与している |
□ |
| 重要なデータへのアクセスログは、改ざんされない状態で長期保管できている |
□ |
| ファイルのダウンロード・コピーの操作ログを自動記録している |
□ |
| 大量のデータアクセスなど、通常と違う動きがあった際に管理者に通知が飛ぶ仕組みがある |
□ |
| 重要データの持ち出しや印刷には、上長や別部門の承認を必須にしている |
□ |
| データの「管理責任者」と「利用者」を分け、同一人物が両方の権限を持たないようにしている |
□ |
| 特定の業務が1人の担当者に長期間固定化しないよう、定期的なジョブローテーションを検討または実施している |
□ |
| PC側の設定で、USBメモリなどの外部記録媒体の接続を無効化している(またはポートを物理的に塞いでいる) |
□ |
| 社内ネットワークから、個人のクラウドストレージ、ウェブメール、SNSへのアクセスを禁止している |
□ |
2)不正を「正当化」させないために
| チェック項目 |
済 |
| 在職中の従業員(パートを含む)に対して、会社の情報を漏えいしない秘密保持義務を定めている |
□ |
| 退職時に、別途「退職後の秘密保持契約(誓約書)」を取り付ける手続きを踏んでいる |
□ |
| 就業規則や誓約書において、何が秘密情報の対象になるのか範囲を具体的に規定している |
□ |
| 従業員が容易にアクセスできる状態を避け、従業員が「これは秘密情報だ」と明確に認識できる状態を作っている |
□ |
| 秘密保持や規則に違反した場合の懲戒処分などの規定をあらかじめ設けている |
□ |
| 重要なデータや書類に「マル秘」「持ち出し禁止」の表示をし、秘密管理性を持たせている |
□ |
| 扱う情報が、会社の事業活動に役立つもの(有用性)であり、かつ一般には知られていない情報(非公知性)であることを意識して管理している |
□ |
| 万が一の漏えい時に、第三者に対しても刑事・民事の法的措置(損害賠償請求など)が取りやすい体制を整えている |
□ |
以上(2026年7月更新)
pj60031
画像:日本情報マート