「外部ハッカー」より身近で深刻――内部不正が3位にランクインする現実

　情報セキュリティ対策というと、多くの経営者は「外部からのサイバー攻撃」や「ウイルス感染」を思い浮かべがちである。しかし、実際には 組織内部からの情報流出や持ち出しによって、莫大な被害を被る ケースが後を絶たない。

　一度社内から重要データが流出すれば、それは単なる情報漏洩事故にはとどまらない。自社製品のノウハウ喪失、競合他社への顧客流出、果ては億単位の損害賠償や法的な処罰に直結する。内部不正対策は、企業の存続と競争力を左右する極めて重要な経営課題であると指摘されている。

漏洩ルートの36.3%は「中途退職者」？ 直面する3つの流出リスク

　経済産業省の調査によると、内部不正による情報漏洩ルートのうち、最も大きな割合を占めているのが「中途退職者（36.3%）」だという。長年勤務した社員や、自社のシステムやデータの置き場所を熟知している人物が辞める際に、データを持ち出してしまう事例が多発しているのだ。

　流出する代表的な情報資産として、以下の3つが挙げられる。

① 営業秘密（製造原価・設計情報・ノウハウ）

　塗料大手の元役員が、自社主力商品の設計情報をUSBメモリに保存して持ち出し、競合他社の顧問に就任したことで逮捕された事件（不正競争防止法違反）が代表例とされる。自社が長年かけて蓄積した独自ノウハウや技術が競合へ渡れば、他社との差別化要因が一瞬で打ち消され、壊滅的な打撃を受けることになる。

② 顧客情報（購入者名簿・契約データ）

　退職する営業担当者が「自分が開拓した顧客だから」と顧客名簿をデータで持ち出し、転職先や独立先でアプローチをかけるケースである。直接的な売上減少をもたらすだけでなく、長年築いた顧客との信頼関係を根底から覆す事態になりかねない。

③ 個人情報（従業員データ・採用情報・委託先データ）

　大手教育関連企業では、業務委託先の元社員が約2,895万件もの個人データを不正に持ち出し、名簿業者へ売却する事故が発生した。この事故により同社は受任対応や補償金などにより260億円もの特別損失を計上することとなり、企業の社会的信用を大きく揺るがす結果となった。

デジタルからアナログまで――持ち出される5つの不正手法

　技術の進歩やテレワークの普及に伴い、情報が外部へ持ち出される「経路」も多様化している。

• 紙媒体での持ち出し： プリントアウトした書類や保管資料をカバンに入れて社外へ持ち出す
• USBメモリ・外部ストレージ： 社用PCにUSBや外付けHDDを接続してデータを複製する
• 電子メール・クラウドストレージ： 個人のWebメールにファイルを添付して送信したり、許可されていない個人のクラウド共有フォルダーへアップロードする
• アクセス権限の不正利用： 自身のアクセス権限を逸脱した利用や、他人のID・パスワードを悪用してアクセスする
• 社内ネットワークの脆弱性の悪用： 制限の甘いWi-Fiや社外端末を経由してデータ領域に侵入する

　
　特に近年では、テレワーク環境下でのクラウドサービス利用やファイル共有ルールの曖昧さが、不正持ち出しの「温床」になっていることが懸念されている。

人の善意に頼らない！ 今すぐ導入すべき5つの内部防衛策

　内部不正を防ぐためには、「社員のリテラシー向上」や「社内規定の遵守」といった精神論だけでは不十分とされる。「魔が差す心理」を未然に防ぎ、不正を行えない環境を構築する「システム的な牽制」が欠かせない。具体的な防衛策として、以下の5点が挙げられる。

• ①アクセス権限の見直し： 重要な情報にアクセスできる人物を厳格に制限し、定期的に権限を更新する
• ②持ち出しの制御： USBメモリや外部ストレージの使用をシステムで制限・申請制にする
• ③外部アクセスの制限： 許可されていないWebストレージや個人のSNS、Webメールへのアクセス・書き込みを遮断する
• ④ログ管理： 誰が・いつ・どのファイルを開き、印刷したかの操作履歴を自動で記録する
• ⑤社内規定・教育の整備： セキュリティガイドラインを策定し、違反時のペナルティやリスクを周知する

　
　自社のアクセス権限やPCログ管理体制の点検、ならびに「PCパトロール」の具体的な機能や活用事例については、下記MJS公式noteの解説記事にて詳しく紹介されている。

【関連記事・詳細はこちら】
[MJS公式note] 内部からの不正な情報漏洩を防ぐには？ 情報セキュリティ対策のイロハ③ https://note.mjs.co.jp/n/n2e0eb02517ae