内部不正による情報持ち出しを機会と動機の両面から抑える統制の作り方

外部からの攻撃を防ぐ話と、内部者による持ち出しを防ぐ話は、似ているようで設計の前提がまるで違います。外部の攻撃者は、まず入口をこじ開けなければなりません。侵入の痕跡は、平常時のふるまいから浮き上がります。ところが従業員や委託先の担当者は、最初から中にいます。使う権限も正規のもので、ファイルを開く操作も、ダウンロードする操作も、日々の業務そのものと見分けがつきません。

この違いは、対策の効き方に直結します。境界防御を厚くしても、権限を持つ人が業務の範囲で情報を取り出す行為は止まりません。多要素認証を入れても、本人が本人として持ち出すのであれば通過します。内部不正への備えは、侵入を止める話ではなく、正規の操作のうちどこまでを許し、どこから先を記録し、どうすれば持ち出す気にさせないかという、権限設計と組織運営の話になります。

この記事では、IPAの「組織における内部不正防止ガイドライン」が採る犯罪予防の枠組みを軸に、機会を減らす技術的な統制と、動機や言い訳を減らす管理的な統制を整理します。あわせて、不正競争防止法の営業秘密と個人情報保護法という二つの法的な輪郭、そして避けて通れない監視と従業員のプライバシーの折り合いにも触れます。発見したあとの対応は別記事に譲り、ここでは起こる前と起きた直後の入口までを扱います。

内部不正が外部攻撃と決定的に違うところ#

IPAの「情報セキュリティ10大脅威 2026」では、組織編で「内部不正による情報漏えい等」が7位に入りました。前年の4位からは順位を下げています。ただしこの順位は候補から選考会が選んだ結果であり、発生件数の増減を示すものではありません。上位にはランサム攻撃、サプライチェーンや委託先を狙った攻撃、初選出となったAIの利用をめぐるサイバーリスクが並びました。内部不正は2016年の選出以来、一度も10位圏から外れていません。

内部不正の厄介さは、三つの点にあります。第一に、行為者が保護対象へのアクセス権を正規に持っています。第二に、いつ、どこで持ち出すかを行為者が自由に選べます。退職の直前に、業務時間内に、通常使っている端末から取り出せば、記録の上では平常業務と区別がつきません。第三に、目的が明確なため、狙う情報が最初から絞り込まれています。外部の攻撃者が手探りで探索するのに対し、内部者はどのサーバーのどのフォルダに何があるかを知っています。

IPAのガイドラインは、保護する対象を組織が管理する情報および情報システムと定めたうえで、情報システム内の情報を紙に印刷する行為も対象に含めています。画面を撮影する、印刷して持ち帰る、私物のクラウドストレージへ同期させるといった経路まで視野に入れないと、統制に穴が残るためです。

IPAの「情報セキュリティ10大脅威 2026」組織編では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスクとなり、内部不正による情報漏えい等は7位に位置づけられています（執筆時点の掲載内容）。

数字で見る持ち出しの実態と対策の手薄さ#

IPAは2025年8月に「企業における営業秘密管理に関する実態調査2024」の報告書を公開しました。国内企業の情報システム部門やリスクマネジメント部門などに所属する1,200人を対象としたウェブアンケートで、2016年度と2020年度に続く三回目の調査にあたります。

先に注意点を書いておきます。報告書は留意事項として、2020年度調査と本調査は調査方法が異なるため、回答の選択割合の差は参考に留めるべきであると明記しています。以下で前回の数字を並べるのは変化の向きをつかむためであり、経年の増減として断定できるものではありません。

まず目を引くのは、過去5年以内に明らかな漏えい事例、または漏えいではないかと思われる事象を認識していると答えた割合が、前回の5.2%から35.5%になったことです。内訳は、明らかな事例が複数あったが10.7%、明らかな事例と思われる事象が1度あったが12.5%、おそらく漏えいではないかと思われる事象があったが12.3%です。漏えいのルート（複数回答）を前回と並べると、内訳の様子が見えてきます。

2020年度に最も高かった中途退職者は、2024年度では17.8%です。この設問の回答者数は2020年度が113人、2024年度が426人と異なるため、割合の差から実件数の増減は判断できません。押さえておきたいのは、2024年度の内訳で、現職従業員等のルール不徹底が32.6%、金銭目的等の具体的な動機をもった漏えいが31.5%と、内部不正相当の経路が上位を占めている点です。IPAも、サイバー対策と内部不正防止の両面で取り組む必要があると述べています。

対策の実施状況も見ておきます。営業秘密の社外への不正持ち出し防止策として何を実施しているかを尋ねた設問では、2024年度の実施率が多くの項目で2割前後にとどまりました。

リモートワークとクラウド利用が定着し、USBメモリや紙という古典的な経路の比重が下がったこと自体は自然な流れです。気になるのは、その分だけクラウドや電子メールの経路が締まっているとは読めない点です。同じ調査で、コンテンツフィルタによるオンラインストレージ等へのアクセス制限は16.9%、電子メールの添付ファイルの制限または禁止は18.2%にとどまり、「特に何もしていない」が28.2%を占めています。経路の主役が移ったのに、そこへの統制が追いついていない姿がうかがえます。

IPAのガイドラインが置く5つの基本原則#

IPAの「組織における内部不正防止ガイドライン」は2013年に初版が作られ、現在の最新は2022年4月改訂の第5版です。テレワークの普及、雇用と人材の流動化、個人情報保護法や不正競争防止法の改正などを反映した改訂で、基本方針、資産管理、物理的管理、技術と運用の管理、原因究明と証拠確保、人的管理、コンプライアンス、職場環境、事後対策、組織の管理という10の観点のもと、合計33項目の対策を示しています。付録には33項目のチェックシートとQ&A集が付いており、自組織の状況を点検する足場として使えます。

このガイドラインが優れているのは、対策を並べる前に犯罪予防の理論を土台に置いている点です。犯罪学のCornishとClarkeが2003年に提唱した状況的犯罪予防の考え方を内部不正防止に応用し、次の5原則を掲げています。

技術的な対策は主に上の三つに効き、管理的な対策は下の二つに効きます。どちらか一方に寄せると必ず穴が残ります。権限を締めるだけでは、締めきれない立場の人が残ります。教育だけでは、動機を持った人を止められません。5原則を並べて自社の施策を貼り付けてみると、どの列が空いているかが見えます。

IPAの「組織における内部不正防止ガイドライン」は2022年4月に第5版が公開され、10の観点のもとで合計33項目の対策を示しています。各対策項目は、対策の指針を冒頭に置き、対策しない場合のリスクと具体的な対策のポイントを整理する構成です（執筆時点の掲載内容）。

機会を減らす技術的な統制#

技術的な統制が主に効くのは「機会」です。持ち出したいと思った人が、実際に持ち出せてしまう状態をどれだけ狭められるかという話になります。あわせて、ログのように見つかるリスクを高める統制や、暗号化のように持ち出したあとの利用価値を下げる統制も、技術の側から用意できます。

出発点は情報の格付けです。何が営業秘密で、何が個人データで、何が公開情報かを決めないと、権限を絞る基準そのものが決まりません。すべてを最重要として扱おうとすると現場が回らず、結局すべてが緩みます。格付けを決めたうえで、格付けごとにアクセスできる範囲を定め、部門単位や個人単位でアクセス権を設定していきます。

次にアクセス権の棚卸しです。異動や退職で不要になった利用者IDとアクセス権は、ただちに削除する必要があります。IPAのガイドラインも、異動または退職により不要となった利用者IDおよびアクセス権は直ちに削除しなければならないと明記しています。棚卸しを年1回の形式的な行事にせず、業務を知る現場責任者に承認させる形にすると、実態に即した見直しになります。権限が積み上がっていく仕組みと、それを戻す運用については、最小権限の原則を扱った記事で詳しく整理しています。

あわせて読みたい

最小権限の原則（Least Privilege）。なぜ権限を絞ることが最強の防御の一つなのか

特権IDは分離します。日常業務用のアカウントと管理者権限を同一人物の同一アカウントに載せたままにすると、記録の上で業務操作と管理操作の区別がつかなくなります。管理者権限は普段は外しておき、使うときに目的と時間を添えて申請し、承認を得てから一時的に有効化する運用にすると、悪用できる時間の幅そのものが縮みます。

退職手続きとアカウント停止の連動は、人事プロセスとして設計しないと必ず抜けます。情報システム部門が退職を知るのが最終出社日の当日、という組織は珍しくありません。

出口の統制では、DLP（情報漏えい対策製品）の位置づけを冷静に決めます。DLPはパターンに合致するデータの送出を検知したり止めたりできますが、意図を持って加工された情報、たとえば要点だけを書き写したメモや、画面を私物のスマートフォンで撮影した画像には届きません。DLPは万能の関所ではなく、うっかりの流出と、痕跡を残さずに済ませようとする行為の敷居を上げる装置と捉えるほうが期待値を誤りません。

暗号化と権限管理も同じ考え方です。ファイル自体に閲覧や印刷の可否を埋め込むIRM（情報権利管理）の仕組みは、持ち出されたあとの使用を制限できるため、見返りを減らす原則に効きます。ただし社外の相手と共有する運用や、対応しないアプリケーションでの利用など、抜け道は残ります。導入するなら、どの格付けの情報に適用し、どの経路は守れないのかを最初に線引きしておきます。

証跡は取るだけでなく、取っていることを知らせる#

ログと証跡は、内部不正対策の中で比較的取り組みやすく、効き方も想像しやすい領域です。IPAのガイドラインは、重要情報へのアクセス履歴や利用者の操作履歴を記録し、定めた期間に安全に保存することを求めています。取得対象には、Webのアクセスログや電子メールの送受信履歴のほか、VPN装置やVDI機器へのアクセス履歴、クラウドなど外部サービスへのログインと操作の履歴、テレワーク端末の操作履歴も含まれます。失敗したアクセスだけでなく、成功したアクセスも残すことが、後日の確認と証拠保全に効きます。

保全のしかたにも要求があります。ログと証跡は改ざんおよび削除を防ぐ措置を取り、特定のシステム管理者からのみアクセスできる状態にすることが望ましいとされています。確認する際も、総括責任者またはシステム管理者の許可を得る運用にします。システム管理者自身が不正の当事者になりうる以上、管理者の操作履歴を管理者以外が確認できる経路を用意しておくことが要点になります。ログの取得範囲と保存期間の決め方は、ログ管理の基本を扱った記事で具体的に整理しています。

あわせて読みたい

ログ管理の基本。何を・どこまで・どれだけ残すか

そして、内部不正対策として見落とされやすいのが「知らせる」ことです。IPAのガイドラインは、ログと証跡の保存を行っている事実を従業員に通知することは内部不正の発生を抑止する効果があるため、一般的には通知することが望ましいとしています。一方で保存期間については、システム開発や運用の面で知らせる必要がある場合を除き、抑止のために内部者に知らせないことが望ましいとしています。記録している事実は明示し、いつまで遡れるかは業務上必要な担当者の範囲にとどめる、という組み合わせです。

ところが実態は、この可視化が広く行き渡っているとは言えない状態です。2024年度の調査で、サーバーのアクセスログの確認や電子メールのモニタリングなど漏えいに気付くための技術的対策について尋ねたところ、実施しており従業員にも周知されているという回答は27.3%でした。実施しているが従業員には周知されていないが19.1%、実施することを検討中が17.4%、実施しておらず今後の予定もないが24.3%です。また、漏えいを生じさせにくい環境をつくる対策のうち「情報システムのログの記録と保管の周知」は26.0%、「不自然なアクセス発生時の上司への警告と通知の周知」は19.8%、「特に何もしていない」は28.1%でした。手間の割に効きやすいはずの周知が、まだ多くの組織で手つかずです。

IPAの「企業における営業秘密管理に関する実態調査2024」は、2025年1月に1,200人を対象としたウェブアンケートで実施され、2025年8月29日に報告書が公開されました。過去5年以内の営業秘密の漏えい事例または漏えいと思われる事象を認識している割合が35.5%、漏えいルートでは外部からのサイバー攻撃等が36.6%と示されています。報告書は、2020年度調査と調査方法が異なるため経年比較の差は参考に留めるべきだと注記しています（執筆時点の掲載内容）。

動機と言い訳を減らす管理的な統制#

技術で機会を狭めても、動機のある人が残ればいずれ抜け道を探します。ここからは人と組織の側の打ち手です。

秘密保持誓約書は、抑止であると同時に、法的な足場でもあります。IPAのガイドラインは、誓約書の提出がないと重要情報を保護する義務の意識付けができないうえ、内部不正を犯した役職員への懲戒処分が不当処分の訴えにより無効となるおそれもあると指摘しています。誓約書に記載する重要情報は客観的に特定できる必要があり、入社時に一度取れば済むものでもありません。昇格、配置転換、重要プロジェクトの開始時と終了時など、適切な機会に繰り返し要請することが望ましいとされています。

退職時にだけ誓約書を求める運用には落とし穴があります。会社と退職予定者の関係によっては、提出を拒否されることがあるからです。ガイドラインは、退職時に拒否される可能性を踏まえ、入社時や異動時に十分な秘密保持期間を定めた契約を締結しておくことが重要だとしています。実態としても、2024年度の調査では就業規則以外に秘密保持契約を締結していない割合が役員で28.8%、従業員で27.1%にのぼり、2020年度の43.2%と37.4%からは改善したものの、なお4分の1以上が未締結です。

競業避止義務契約については、職業選択の自由への配慮が要ります。ガイドラインも、記載する場合は職業選択の自由を侵害しないよう適切に範囲を定めることを求めています。期間、地域、対象業務の範囲をどう設定すれば有効と判断されるかは個別の事情で変わるため、実際に条項を作る段階では弁護士など専門家の確認を受けてください。

職務分掌とジョブローテーションは、地味ですが効きます。一人の担当者が申請から承認、実行、記録までを一貫して握っている状態は、不正を実行できる余地と、それを隠せる余地の両方を生みます。担当を分け、定期的に入れ替えることで、長期にわたって同じ人が同じ資産を独占する状況を避けられます。属人化の解消という業務上の利点もあるため、統制目的だけで説明する必要はありません。

誘因そのものを減らす取り組みも、ガイドラインは対策項目として挙げています。公平な人事評価の整備がそれにあたります。処遇への不満や、過度な負荷の放置は、動機の温床になります。雇用主には安全配慮義務があり、特定の従業員に無理がかかりすぎないよう配慮することは本来別の目的で必要な措置ですが、その結果として内部不正の予防にも良い効果が生まれると整理されています。

内部通報の窓口も外せません。ガイドラインは、所属部門以外へも通報できるよう受付を複数設置すること、必要に応じて匿名性を確保すること、そして具体的な利用方法を教育して周知徹底することを求めています。窓口を部門長の下だけに置くと、その部門で起きた事象が上がってこなくなります。なお、公益通報者保護法という枠組みも別に存在するため、社内制度を設計するときは同法の要求との整合も確認してください。誓約書や規程を実際に守られる形にする土台づくりは、ポリシーの三層構造を扱った記事で整理しています。

あわせて読みたい

社内セキュリティポリシーの作り方。基本方針・対策基準・実施手順の三層で実効性をつくる

教育は、弁明をさせないための最後の一手です。持ち出した本人が「就業規則に書いてあると知らなかった」「自分が作った資料だから自分のものだと思っていた」と述べる事例は現実にあります。何が秘密で、なぜ持ち出せないのか、破ったときに何が起きるのかを、繰り返し伝えておくことが言い訳の余地を潰します。教育の設計と継続のさせ方は、別記事で扱っています。

あわせて読みたい

従業員へのセキュリティ教育の設計。標的型訓練・報告文化・継続的な啓発の組み立て方

委託先と再委託をどう見るか#

内部者の範囲は自社の従業員に限りません。委託先の担当者、常駐するベンダーの技術者、派遣社員も、正規の権限で情報に触れます。個人情報保護法の「従業者」の定義は広く、通則編ガイドラインでは、雇用関係にある従業員に加えて取締役、執行役、理事、監査役、監事、派遣社員等も含まれるとされています。派遣社員を社外の人と見なして監督の対象から外すのは、法の建て付けとずれます。

委託については別に条文があります。個人情報保護法第25条は、個人データの取扱いを委託する場合に、委託先に対する必要かつ適切な監督を求めています。通則編ガイドラインは、委託先の選定にあたり、委託先の安全管理措置が委託元に求められるものと少なくとも同等であることをあらかじめ確認しなければならないとしています。再委託がある場合は、その先まで同じ水準が保たれるかを契約と確認の両方で押さえます。委託業務に必要のない個人データを渡さないことは、前提として当然のことと整理されています。

法的な輪郭を押さえる#

内部不正が実際に起きたとき、法的にどう扱われるかを知っておくと、平時の管理のどこに手をかけるべきかが見えてきます。

不正競争防止法は営業秘密を、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上または営業上の情報であって、公然と知られていないものと定義しています（第2条第6項）。ここから、秘密管理性、有用性、非公知性という三要件が導かれます。経済産業省の営業秘密管理指針は平成15年に策定され、令和7年3月31日に最終改訂されています。

この指針が示す秘密管理性の考え方は、実務上とても示唆的です。指針は、秘密管理性要件が満たされるためには、営業秘密保有者の秘密管理意思が秘密管理措置によって従業員等に対して明確に示され、その秘密管理意思に対する従業員等の認識可能性が確保される必要があるとしています。そして、相当高度な秘密管理を網羅的に行った場合にはじめて法的保護が与えられると考えることは適切ではないとも述べています。つまり求められているのは、完璧な防御ではなく、従業員が「これは秘密だ」と一般的かつ容易に認識できる状態です。マル秘表示、アクセス権の設定、格付けの明示といった措置は、技術的な防御であると同時に、法的保護を受けるための意思表示でもあります。

罰則の側も確認しておきます。不正競争防止法第21条第1項および第2項は、不正の利益を得る目的または営業秘密保有者に損害を加える目的での営業秘密の取得、領得、使用、開示について、10年以下の拘禁刑もしくは2,000万円以下の罰金、またはその併科を定めています。同条第2項第1号は、営業秘密を示された者が管理に係る任務に背いて、記録媒体を横領する、複製を作成する、消去すべき記録を消去せず消去したように仮装するといった方法で領得する行為を対象としており、内部者による持ち出しの典型がここに当たります。在職中に開示の申込みや請託を受けて、退職後に使用または開示した場合も対象です。日本国外で使用する目的があるなど同条第4項および第5項に当たる類型では、罰金の上限が3,000万円以下に引き上げられます。法人については第22条の両罰規定があり、第21条第1項の類型で5億円以下、第4項の類型で10億円以下の罰金刑が科されます。

個人データが絡む場合は個人情報保護法が重なります。第23条が安全管理措置、第24条が従業者の監督、第25条が委託先の監督、第26条が漏えい等の報告と本人への通知を定めています。従業者の監督について通則編のガイドラインは、内部規程等に違反して個人データが入ったノート型パソコンや外部記録媒体が繰り返し持ち出されていたにもかかわらず放置した結果として漏えいした場合を、監督を行っていない事例として挙げています。異常な持ち出しを認識しながら放置することが、法的な評価の対象になりうるという整理です。

経済産業省の営業秘密管理指針（平成15年1月30日策定、令和7年3月31日最終改訂）は、秘密管理性要件の趣旨を、企業が秘密として管理しようとする対象が明確化されることで従業員等の予見可能性と経済活動の安定性を確保することにあると説明しています。必要な秘密管理措置の内容と程度は、企業の規模や業態、従業員等の職務、情報の性質によって異なるとされています（執筆時点の記載）。

監視と従業員のプライバシーの折り合い#

ログを取り、ふるまいを分析し、異常なアクセスを検知します。内部不正対策の技術は年々強力になっていますが、対象は自社の従業員です。IPAのガイドラインは、この点にかなりの分量を割いています。

ガイドラインの対策項目のひとつは、従業員の行動や心身の状態のモニタリングの目的が、従業員の適正かつ健全な就業を支援し、従業員を内部不正から保護するためであることを就業規則に記載し、広く周知したうえで了解を得るとともに、目的と対比して過剰な実施とならないよう留意しなければならないとしています。具体的な留意点として、モニタリングで得たデータを業績評価などの別目的に用いることは避けるべきだと明記されています。

経営者の姿勢についても踏み込んだ記述があります。内部不正対策としての監視が拡大するなかで経営者が監視に傾注すると、人権とプライバシーの侵害に関する従業員の不信感が増大します。逆に、経営者が率先して、内部不正者ではない従業員の無実を証明するためにログと証跡を活用し、プライバシーと人権を保護する姿勢を示せば、組織から守られているという意識が高まり、労使の合意も得やすくなるとされています。この整理は、監視を「疑うための仕組み」ではなく「疑いを晴らすための仕組み」として位置づけ直すもので、社内説明の組み立て方としても使えます。

手続き面では、就業規則の変更に労働基準法上の手続きが要ること、労働者の心身の状態に関する情報は要配慮情報として扱う必要があること、労働安全衛生法が定める心身の状態の情報の適正管理の方法にも従う必要があることが挙げられています。私物端末をBYODとして使う場合は、保有者である従業員のプライバシーをどう扱うかを整理しないまま業務ログを収集すると、私的な利用の記録まで巻き込むことになります。

発見したときに最初にすること#

対策を尽くしても、内部不正がゼロになるわけではありません。発覚したときに何をするかを、平時に決めておきます。

最初に手を付けるのは証拠の保全です。IPAのガイドラインは、影響範囲を調査するために「いつ、誰が、何をしたのか」に関する検証可能な証拠を保全することが必要だとしています。ここで対象者の端末を慌てて操作したり、初期化したり、保全の準備が整う前に本人へ調査を察知させたりすると、証拠が失われることがあります。一方で、持ち出しが継続しているなら権限の即時停止を優先すべき場面もあります。保全と被害拡大の防止は並行して検討し、権限停止と聞き取りをどの時点で行うかは、フォレンジックの担当者、法務、人事が事案ごとに判断する形にして、誰の決裁で動くかだけを事前に決めておきます。

体制も先に組んでおきます。システム管理者、インシデント対応の担当者、デジタルフォレンジックの解析担当者、弁護士、内部監査といった関係者と連携する必要があり、外部サービスを使う場合は必要な情報の伝達方法まで事前に取り決めておくことが望ましいとされています。初動の型そのものは、インシデント対応の記事で整理しています。

あわせて読みたい

インシデント発生時の初動対応。最初の1時間で何をするか

個人データが関わるなら、報告義務の判断が並行して走ります。個人情報保護委員会は、不正の目的をもって行われたおそれがある行為による個人データの漏えい等を報告対象事態のひとつに挙げており、その例として「従業者が顧客の個人データを不正に持ち出して第三者に提供した場合」を明示しています。速報は事態を知った後速やかに行い、通則編ガイドラインはその目安を概ね3日から5日以内としています。確報は知った日から30日以内ですが、不正の目的をもって行われたおそれがある事態については60日以内です。内部不正はこの60日の類型に当たることが多く、期限の起算点は法人のいずれかの部署が事態を知った時点とされています。報告と公表の判断は、次の記事で詳しく扱っています。

あわせて読みたい

情報漏えい発生時の対応と公表。委員会への報告義務と本人通知をどう判断するか

法的措置については、民事の差止請求や損害賠償請求、刑事告訴、懲戒処分という選択肢がありますが、どれを選ぶかは証拠の質と事業への影響で変わります。ここでも、平時に誓約書と証跡が揃っているかどうかが、取りうる選択肢の幅を決めます。

まとめ#

内部不正の対策は、疑うための仕組みを増やす作業ではありません。持ち出せる余地を業務に必要な範囲まで狭め、何が秘密なのかを誰にでも分かる形で示し、記録が残っていることを伝え、そして持ち出したいと思わせる要因を減らします。この四つを並行して進めることが、5原則が示す組み立て方です。

IPAの2024年度の調査が映し出したのは、経路がクラウドとリモートワークへ移ったのに、そこへの統制が2割前後にとどまっている状態と、「記録していることを知らせる」という手軽な抑止がまだ広がっていない状態でした。新しい製品を検討する前に、アクセス権の棚卸し、退職手続きとアカウント停止の連動、ログを取っている事実の周知という三つを回してみると、費用をかけずに埋まる穴がまだ残っているはずです。技術と管理のどちらか一方に寄せず、機会と動機の両側から少しずつ余地を削っていきます。それが内部不正という、外からは見えにくい脅威に対する現実的な向き合い方です。