【事例紹介あり】内部不正への対策フローとトラブルを防ぐポイント

内部不正の対策の必要性

内部不正とは、従業員や企業の関係者による不正行為のことです。具体的には、情報漏洩や情報資産の持ち出し、その他社内ポリシーに反する行動があげられます。

情報処理推進機構（IPA）が公開している「組織における内部不正防止ガイドライン」によると、2012 年以降、1,000 億円規模の損害賠償を請求した技術情報漏洩事件が複数回発生しています。

内部不正から派生するセキュリティ事故は金銭面に留まらず、組織に対する社会的信用にも多大な影響をもたらすため軽視はできません。内部不正からのセキュリティ事故を避け、事業を継続させていくためにも、組織では内部不正を防ぐための十分な対策が必要です。

内部不正防止の基本原則

「内部不正防止の基本原則」とは、情報処理推進機構（IPA）の「組織における内部不正防止ガイドライン」に記載されている基本原則です。

この原則は、犯罪の起こりやすい状況を、犯罪の起こりにくい状況へ変えていく「状況的犯罪予防」の考え方を、内部不正向けに応用したものです。

「内部不正防止の基本原則」には次の5つの項目があります。

内部不正防止のための基本対策

ここでは、内部不正を防止するための基本的な対策を紹介します。

1. アクセス権管理

最小権限の原則に従い、アクセス権を適切に設定しましょう。利用者IDやアクセス権が適切に設定されていないと重要情報を不正に利用される恐れがあります。異動や退職によって不要になった利用者IDやアクセス権は、速やかに削除しましょう。

2. 持ち出し困難化

情報資産は安易に持ち出しができないようにしましょう。データのコピー制限やWebアクセス制御、私用端末の持ち込み禁止を行うことで情報資産の持ち出しを困難にします。特に、情報資産の持ち出しの手段として最多であるUSBメモリについては、利用ルールの設定や使用制限が内部不正防止に有効でしょう。

3. ログの記録

アクセスログや操作ログなどを記録し、定期的に確認することで不正の前兆となる行為を把握できます。万が一不正が発覚した場合も、アクセスログや操作ログなどを記録しておけば、原因の特定や影響範囲の調査が容易になるでしょう。

4. ルール化と周知徹底

情報セキュリティに関する方針やルールを従業員が認識していないことが原因で、内部不正につながるケースもあります。従業員に対して方針やルールの周知を徹底し、普段の業務において就業規則に則った行動ができるよう、定期的に教育を行いましょう。

5. 職場環境の整備

軽微な不正を放置すると、「これくらいなら大丈夫」という意識が組織全体に広がります。その結果、内部不正が起こりやすい環境を作り出すことになってしまうので注意が必要です。従業員同士の信頼関係の維持・向上や、罰則規定の整備などを行い、不正が起こりづらい環境を作りましょう。

内部不正の対策フロー

ここでは、内部不正の対策フローを解説します。

内部不正を防止するための書面や、万が一内部不正が起こってしまった際の書式発行はテンプレートを活用すると迅速に対応ができます。

コラムの最後にあるビズオーシャンのテンプレートを、ぜひご活用ください。

1. 社員の責務の明確化

内部不正の対策フローは、就業規則などを用いて情報資産の取り扱いルールを明確化するところから始まります。

具体的には、業務で知り得た情報やノウハウを外部に漏らすことを禁止するなど、本来の目的から逸脱した取り扱いをしてはならない旨を就業規則などに明記します。

就業規則に反した場合には罰則が適用されることを、ポリシーに明記してもよいでしょう。

2. 体制面の強化・仕組み作り

体制面の強化としては、業務内容を相互にチェックして牽制する体制を作る対策が効果的です。また、職務を分離して権限が集中しないような仕組み作りも重要といえます。

前述の基本対策にあるようなアクセス権管理や持ち出し困難化、ログの記録など内部不正を防止する仕組み作りもあわせて実施します。なかには技術的な仕組みが必要なものもあるので、情報処理安全確保支援士などの専門家に相談するのもよいでしょう。

3. 教育・訓練の計画および実施

従業員向けに情報セキュリティ教育を行いましょう。全社的に情報セキュリティの方針やルール、就業規則を定めたとしても、当事者である従業員が認識していなければ意味がありません。

従業員がルールを認識していないことによって発生する内部不正も少なからずあります。教育には職務や役割に合ったカリキュラムを作成し、定期的かつ継続的に実施しましょう。実施後の効果測定と改善も欠かせません。

内部不正によるトラブルを防ぐ対策のポイント

内部不正の対策を正しく講じたうえで、トラブルを防ぐためのポイントも確認しておきましょう。

1. 対象者を一部に限定せずに全従業員を対象とする

内部不正を含む情報セキュリティに関する施策やルールは、全従業員を対象としましょう。すべての従業員へ教育を行わなければ、従業員は適切な管理を行うことができません。

特にテレワークにおいては、多くの行動が自主性にゆだねられているため、教育が実施されていない従業員には内部不正の危険性があります。

2. 委託先の情報セキュリティも管理する

業務委託先のセキュリティ管理も、内部不正を防止するうえで重要な対策です。過去に、委託先の社員が個人情報入りのUSBメモリを紛失する事故が起きています。

秘密保持契約で責任の所在や対応方法を明確にし、委託先の情報セキュリティへの対策状況を定期的に確認しましょう。

3. 自社の保有資産を洗い出しリスクを把握する

ハードウェアや印刷物など、自社が保有する情報資産を洗い出し、リスクを把握しましょう。

組織の重要な情報資産を適切に保護するためには、その重要度などに応じて整理・分類するとともに取り扱い方法を明確にする必要があります。

情報処理推進機構 （IPA）が公開している「情報資産管理台帳」を活用して、情報資産の洗い出しができます。テンプレートを使用することで項目を考える手間が省け、抜け漏れも防止にもつながります。

内部不正への対策のまとめ

内部不正は故意によるものだけではなく、従業員が情報セキュリティに関するルールを知らなかったことが原因で発生する可能性もあります。

役職や業務に応じて適切な情報セキュリティ教育を実施し、委託先の情報セキュリティ対策を確認することも忘れないようにしましょう。