情報漏えいの事故や事件が後を絶ちません。多くは外部からのサイバー攻撃を受けたことによるものですが、組織内部での不正による情報漏えいも少なくありません。こういった事態を受けて、2023年5月にはIPA（情報処理推進機構）が「組織における内部不正防止ガイドライン第5版改訂」を発表しています。内部不正を防止するために、私たちはどうするべきなのか、今一度見直しておきましょう。

内部不正による情報漏えい

IPAが発表した「情報セキュリティ10大脅威 2024 脅威ランキング」によると、2022年に組織で発生したインシデントの3位に「内部不正による情報漏えい」が入っています。この順位は社会的に影響が大きかったと考えられる事案からIPAが候補を選び、情報セキュリティ分野の研究者や企業の実務担当者などが審議・投票して決定したものです。

上位は、1位ランサムウェアによる被害、2位サプライチェーンの弱点を悪用した攻撃となっていました。

2023年10月に、NTT西日本の子会社でコールセンターシステムの運用保守を担当していた元派遣社員が10年近くにわたり約900万件の顧客情報を不正流出されていたことがニュースで大きく取り上げられました。この事件では、テレマーケティングを委託していた企業・自治体など30以上の団体・組織の情報が流出していた可能性があるといわれています。

2023年6月には、東京都の感染者情報共有システム「HER-SYS」で、派遣社員が都民37人の個人情報を不正入手し、その一部を知人に漏らしていたと発表されました。過去にもこういった事件は繰り返し起きています。もし、自社でこういった事件が起こると、社会からの信用を落とし、大きな損失にもつながりかねません。

内部不正を起こさないこと、それでも万が一起きてしまったときの対策を「組織における内部不正防止ガイドライン」で確認し、対策をしておきましょう。

内部不正を起こさないために

同ガイドブックでは、内部不正を防ぐために、10の観点から対策を示しています。

基本方針
資産管理
物理的管理
技術・運用管理
原因究明と証拠確保
人的管理
コンプライアンス
職場環境
事後対策
組織の管理

この10点を簡単に見ていきましょう。

基本方針

経営者自身が、内部不正対策を自らの責任で行うことへの強い意識をもち、組織の基本方針を定めます。かつて日本の主流だった終身雇用制が崩れ、転職する従業員が増えていることで、機密情報を持ち出すリスクが高まっています。リスクを経営者自ら認識して率先して対策することが大切です。

テレワークなどの働き方改革では、起こりうる内部不正リスクを事前評価することが望ましいとされています。内通者がサイバー攻撃を手引きする手口も増えているため、従業員の動向を監視します。ただし、働きづらく感じるような監視方法は避けましょう。基本方針が策定できたら、役職員には内部不正対策を周知徹底します。

資産管理

組織内の情報は、個人情報・営業秘密などの重要情報とそれ以外のいくつかの段階に分類し、機密度に応じたアクセス管理や対策を行います。システム管理者は、各資産にアクセスできる従業員を管理します。

物理的管理

機密度が高い情報が置いてあるサーバールームなどへの入室時にICカードや生体認証を求めるようにします。また、機密情報の入ったPCはスタンドアロンにし、セキュリティワイヤーなどで固定するといいでしょう。

PCや記録媒体を処分する際には情報が復元できないように完全消去することも必要です。モバイル端末や記録媒体を社外に持ち出すときは、部門管理者などの許可制とし、持ち出し記録をして管理します。個人のデバイスや記録媒体を勝手に持ち込むシャドーITも厳禁です。

技術・運用管理

AIなどの最新技術を組み入れた内部不正モニタリングシステムを導入し、役職員の行動に大きな変化が生じた場合にはリアルタイムで管理します。ただし、モニタリングシステムでの監視は最小限に留め、従業員にストレスを与えないようにします。ネットワークから情報漏えいが起きないよう、許可されたソフトウェア以外はインストール禁止とします。

Webへのアクセスはコンテンツフィルターを導入し、SNSなどへのアクセスを制限する場合は、制限対象の部署、発信内容、SNS名を明確に指定し、周知します。電子メールは、業務メールを個人あてに転送できないように確認し、誤配信を起こさないシステムの導入なども考慮します。無線LANは私用スマホのテザリングなどで許可なく組織外部に接続しないようにします。端末ごとのセキュリティも大切です。

テレワークはじめ組織外で業務を行うとき、業務委託を行うときは周囲の環境・ネットワーク環境などを適切にし、情報を保護する旨指導を行いましょう。

原因究明と証拠確保

情報漏えいが生じてしまったときに、すぐに原因が究明できるように、重要情報へのアクセス履歴や利用者の操作履歴のログなどを記録しておくことが望ましいとされています。

人的管理・コンプライアンス

従業員の雇用中に教育を行うことももちろん重要ですが、雇用終了の際には、必要に応じて秘密保持義務を課す誓約書の提出を求めるなどしましょう。外部依頼のときも同様です。退職や外部委託の業務終了時には、情報システムのIDや権限を速やかに削除します。

職場環境・組織の管理

従業員が、職場に不満をもったり、人事評価が適切ではないと感じたりする場合などは、情報漏えいを誘発することがあります。直接の対策ではありませんが、職場環境を整えることもリスク軽減につながるのです。

利用者数約1万人！企業のセキュリティ教育なら「セキュアプラクティス」

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3DI4va1rER3bwfFpy9%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

事後対策

内部不正が疑わしいことに従業員が気づいたら、即刻通報できる制度を作っておきましょう。また、通報者の匿名性を守る仕組みも大切です。

万が一不正が起きてしまったら

重要情報へのアクセス履歴、操作履歴のログが記録・保存されている場合、すぐに記録を取得し、状況を判断します。このとき、常時システムを管理している従業員ではなく、第三者が確認するほうがいいでしょう。被害を最小限に抑えるためには、迅速な対応が必要です。

まとめ

内部不正による情報漏えいが後を絶たない
機密性の高い情報は、アクセス制限を定めるなどの対応を行う
組織内での働きやすさや上長・経営者への信頼感も内部不正防止につながる