組織内部からの情報漏洩には、ウィルスや外部攻撃による情報漏洩とは異なる、独特の問題が発生します。本稿では内部情報漏洩の特徴を３つの事例から考え、効果的な対策をズバリ提示します。

目次

• 内部情報漏洩、対策の難しさとは？
• ３つの事例で分かる、内部情報漏洩の特徴
• 内部不正の原因、魔が差すメカニズムとは？
• 内部不正を防ぐ、５つの対策！
• 業務の利便性を確保する対策とは？

内部情報漏洩、対策の難しさとは？

個人情報の漏洩には、大きく３つの原因があります。

1. （内部不正）：内部の人間が不正に個人情報を持ち出す場合。
2. （外部攻撃）：ウィルス等、外部からの侵入で情報が漏洩する場合。
3. （人為ミス）：機器の設定ミス、操作ミス、ＰＣの紛失等で情報漏洩する場合。

本稿で取り上げる内部情報漏洩とは、１番の内部不正による情報漏洩を対象とし、３番の人為ミスは対象に含みません。３番の人為ミスも内部の人間による漏洩であり、内部情報漏洩に含める見解もありますが、故意による内部不正と、不注意による人為ミスでは、原因も対策も異なっており、両者を同一視するのは適切でないと考えるからです。

このように内部情報漏洩を定義すると、その対策の難しさが明確になります。それは次の３点に集約されると言って良いでしょう。

• 故意犯なので流出する個人情報の数が数百万件におよぶなど、損害の規模が大きくなる傾向があります。
• 企業側は被害者であると同時に、管理責任を問われる立場になり、社会的な信用を失うなど、深刻なダメージを受ける場合が多くなります。
• 情報漏洩は正規のアクセスで行われるため、対策はアクセス制限が中心になりますが、それは常に業務の利便性とトレードオフの関係になります。

内部情報漏洩の対策は、社員のアクセス権限を必要最低限にしましょう、のレベルでは不十分です。
日常業務の利便性を確保しつつ、アクセス権を制限するにはどうすれば良いか？
まさに、ここが問題の本質であり、本稿の目的はこの点を踏まえた対策を説明する点にあります。

３つの事例で分かる、内部情報漏洩の特徴

ＮＴＴドコモ、関連会社の派遣社員が個人情報５９６万件を不正流出

この問題は2023年3月に始まり、当初の個人情報の流出件数は約５２９万件でしたが、新たな調査により解約者を含む約５９６万件の流出が明かになりました。情報漏洩の原因は、業務委託先である関連会社の派遣社員が、業務情報と共に顧客情報を不正に持ち出したことに因ります。

発表：2023年7月21日

（参考）NTTドコモ｜【お詫び】「ぷらら」および「ひかりTV」をご利用のお客さま情報流出のお知らせとお詫び

共立電気計器、元社員が顧客データをサーバから消去、復旧に約660万円負担

警視庁サイバー犯罪対策課によると、容疑者は以前勤務していた共立電気計器（東京都目黒区）の社内ネットワークに不正にログインし、サーバに保管されていたデータを削除し、業務を妨害した疑いがあるという。元社員は人間関係を理由に退職しており、同社ではシステム担当として、ＩＤなど社内ネットワークのログイン情報を閲覧できる立場にあった。外部への情報漏洩は確認されていないが、データの復旧に約660万円がかかったという。

発表：2023年1月24日

（参考）朝日新聞デジタル｜元勤務先に不正アクセス、データ削除した疑い　退職していた男逮捕

ベネッセ側に1300万円賠償命令　個人情報流出で東京地裁

2014年ベネッセが運営する「進研ゼミ」の顧客情報、約２９０万件が流出しました。この事件は各地で訴訟となり、2023年2月、東京地裁はベネッセ側に総額約1300万円の損害賠償の支払を命じました。判決はベネッセが業務委託した関連会社のセキュリティー対策が不適切だったこと、ベネッセ側に監督義務違反があったことを指摘。原告が個人情報流出というプライバシー侵害により、精神的苦痛を受けたことを認定しました。

発表：2023年2月27日

（参考）日本経済新聞｜ベネッセ側に1300万円賠償命令　個人情報流出で東京地裁

内部不正の原因、魔が差すメカニズムとは？

内部不正による情報漏洩が、故意によるものである以上、そこには１つの法則が存在します。それが「不正のトライアングル」と言われるものです。

不正のトライアングルとは、機会、動機、正当化の３つが揃う時、内部不正が起きるというものです。

１．機会

機会とは「不正行為を簡単に実行できる環境にある」ということです。例えば、前述の事例のように、元システム担当で退職後も社内サーバーのＩＤを使える状態にあった、というような場合です。

２．動機

動機とは「不正行為をしたくなる主観的な事情」です。上司への不満など、人間関係に問題があれば、その憂さを晴らすことが動機になり得ます。

３．正当化

正当化とは「不正行為を後から是認するロジック」です。不当な仕事を押し付ける会社は損害を受けて当然である。過度に残業している自分はもっと利益を得て当然である。このような主観的な考えになります。

不正行為による情報漏洩を防ぐには、これら３つの要素を減らすことが肝要です。しかしながら2番の動機と3番の正当化は、個人の主観の問題であり、外部からコントロールすることは極めて困難です。

もちろん社員教育を行うことで、心の問題を解決することも大事ですが、現実に企業がとるべき対策は、不正行為を簡単に実行できる環境を作らない、すなわち１番の機会について徹底的に精査することになります。

内部不正を防ぐ、５つの対策！

内部不正を防ぐには、不正行為を簡単に実行できる環境を作らないことが重要です。そのためにはどのような対策が必要になるでしょうか。

１．アクセス制限

重要度が高い情報へのアクセスを制限し、ユーザーごとに適切な権限を設定します。役職や業務内容に基づいた権限を設定することで、必要以上の権限を与えないようにします。

２．持ち出し制限

• 社内ＰＣに外部デバイス（USBメモリー、個人用スマホなど）の接続を禁止する。
• 業務に関係ないＳＮＳやクラウドストレージへのアクセスを禁止する。
• ＰＤＦへの出力、画面キャプチャー、ファイルのコピー＆ペーストなど、持ち出しに繋がる機能を無効化する。

３．監視と検知

ネットワークを監視し、異常なアクティビティを検知する仕組みを導入します。不審なアクセスが検知された場合、迅速な対応をとることで被害の拡大を防ぎ、同時にネットワーク監視を社内に周知することで、内部不正の抑止効果が生まれます。

４．ログ管理

アクセスや操作ログを記録し、誰が何を行ったかトレースできるようにしておくことも重要です。これにより不正行為の追跡が可能になるとともに、予防にも繋がります。

５．定期的な変更と退職者対応

ログインパスワードは定期的に変更し、２段階認証の導入などで安全性を高めます。また従業員が退職した場合は、即座にアカウントやアクセス権を無効化します。

以上５つが内部情報漏洩を防ぐ対策となりますが、ここで忘れてはならないのが、冒頭で触れた業務の利便性との関係です。

業務の利便性を確保する対策とは？

ここまで内部不正を防ぐ対策を５つ説明しましたが、主な対策は次の２つです。

1. アクセス制限：　ユーザー毎に適切なアクセス権を設定する
2. 持ち出し制限：　ファイルや情報を社外に持ち出せないようにする

ところがこの２つは、常に業務の利便性とトレードオフの関係になります。権限の範囲を厳格にすればするほど、日常業務での不便さが増大してしまいます。この問題を回避するには、自社のネットワーク環境に合わせた対応をとることが、非常に重要になってきます。

仮に貴社がＷｅｂサーバーを運用し、業務系Ｗｅｂステムで社内情報を管理しているなら、各ＰＣのブラウザーを制御することで、内部不正による情報漏洩を防ぐことができるでしょう。具体的には次のような制御をします。

• ブラウザーを閲覧だけに限定し、ＰＤＦ出力、ダウンロード、保存、編集、印刷、画像キャプチャーなど、ブラウザー上のあらゆる持ち出し機能を制御する。
• ブラウザー操作が変わらないことで、利用者の利便性が下がらない。
• WebシステムのＵＲＬ単位で制御できると、必要な箇所のみ適用することで、業務の利便性を損なわない。

このようなブラウザー制御は、弊社製品のパイレーツバスターＡＷＰで実現可能です。

またＷｅｂサーバーではなく、一般的なファイルサーバーで情報管理しているなら、次のような制御をすることで、業務の利便性を損なわず内部情報漏洩を防ぐことができます。

• ファイルを閲覧だけ許可し、コピー、印刷、メール添付、画面キャプチャーなど、あらゆる情報流出につながる操作を禁止する。
• USBメモリーやスマートフォンなど、外部デバイスへのコピーも禁止する。
• 部署・役職・PC単位で利用権限を変更できると、細やかに運用できる。
• 保護したいフォルダーの指定で、フォルダー外への持ち出し操作を制御する。

このようなファイル制御は、弊社製品のコプリガードで実現可能です。

さらに利便性を追求し、メール配布やクラウドで、ファイルを共有しつつ編集や印刷を制限したいなら、次のような制御をすることで、安全性を保ちつつ、ファイル配布・共有できるでしょう。

• 閲覧だけに制限したファイルで、配布・共有後も、編集、印刷、画面キャプチャーを禁止する。
• ファイルに有効期限を設定し、期限が過ぎれば開けない、自動削除ができる。
• 利用PCを限定することで、そのPC以外では開けず、安全性を強化できる。
• サーバー構築などなく、インストールするだけで、すぐ、誰でも使える使いやすさ。

このようなファイル制御は、弊社製品のトランセーファーで実現可能です。

最後は弊社製品をご案内させていただきましたが、次の３点をぜひご理解ください。

• 内部不正による情報漏洩を防ぐには「アクセス制限」と「持ち出し制限」が主たる対策となります。
• そこでは常に業務の利便性との兼ね合いが求められます。
• 貴社のネットワーク環境に応じた対策が、業務の利便性を確保する上で必須の対応となります。

以上となります。
最後までお読みいただき、ありがとうございました。

※本記事の掲載事例は現時点での当社調べの内容です。

本記事の作成者：石川
所属：株式会社ティエスエスリンク / 営業部

最新の事例で分かる、情報漏洩対策のポイント【2023年版】

情報漏洩対策のポイントを、最新の事例をもとに解説します。漏洩した場合、損害額はどれ位なのか？漏洩の原因は何か？　企業はどのような対策を講じるべきか？　さらには万一漏洩した場合の対応手順まで解説します。