OCN セキュリティ対策（個人・中小企業のお客さま）

営業秘密や顧客情報の漏えいは、企業に致命的なダメージをもたらします。本編は「企業における情報漏えいの原因とは」と題するシリーズ全3回のうちの第2回目です。今回は「紛失・置き忘れ」「誤操作」「内部不正」に起因する企業の情報漏えいと、従業員が行うべき対策を見ていきましょう。

企業における情報漏えいと聞くと、サイバー攻撃による不正アクセスなどの外部要因をイメージするのではないでしょうか。しかし、実は従業員の不注意によるミス、あるいは不正行為などの内部要因が大きな割合を占めています。

日本ネットワークセキュリティ協会（JNSA） が公表した「2018年情報セキュリティインシデントに関する調査報告書」によると、企業における情報漏えいの7割以上が内部要因によるものです。内訳は「紛失・置き忘れ」が全体の26.2％と最も多く、次いで「誤操作」の24.6％と続きました。「内部犯罪・内部不正行為（2.9％）」「不正な情報持ち出し（2.3％）」などの不正行為も見られます。それぞれの原因を掘り下げましょう。

パソコンやスマホには紛失や置き忘れによる情報漏えいリスクがつきものです。このため、企業が従業員に貸与している端末には通常、情報漏えい対策が講じられています。リモートから端末のロックや内部データの消去を行える仕組みなどです。

では従業員が企業に無断で業務利用している私用端末はどうでしょうか。情報漏えい対策レベルはユーザの知識やモラルによってまちまちです。企業の管理も行き届かないため、漏えい元になりやすいのです。

ビジネスシーンに勝手に持ち込まれる私用のUSBメモリも情報漏えい経路の1つです。従業員が私用のUSBメモリを紛失し、業務情報を流出させてしまう事故も起こっています。

誤操作の代表例はメールの宛先間違いです。たとえば、コピー＆ペーストや入力のミスによって本来の宛先と類似のメールアドレスや同性の人物に誤送信してしまうパターンがあります。また添付ファイルの選択ミスも起こり得ます。

イベントの案内や長期休暇の通知など、同じ内容のメールを取引先に一斉送信するシーンにも落とし穴があります。たとえば、すべての取引先担当者をBCCに指定して一斉送信するべきところを誤ってA社担当者だけCCで送ってしまい、すべての取引先にA社担当者のメールアドレスを開示してしまうケースがあります。

内部不正による情報漏えいも起こっています。たとえば、従業員や関係者、委託先担当者などによる意図的な情報の持ち出しがこれにあたります。より悪質な内部不正の例としては、企業内ネットワークにマルウェアを仕込み、第三者の不正アクセスをアシストする行為もあります。その目的の多くは、名簿業者などに情報を売却することで金銭的利益を得ることです。

国内のある通信教育会社は2014年7月、内部不正によって顧客の個人情報が漏えいしたことを公表しました。この事件は、同社の子会社からシステム保守を委託されていた企業の派遣社員が顧客データベースにアクセスし、情報を持ち出したことが発端です。当該社員は約2,900万件の個人情報を名簿業者に売り払い、対価を得ていました。事件発覚後、同社は被害者への謝罪や事後調査、再発防止策の実施などに追われ、莫大な損失を計上。当該派遣社員も不正競争防止法違反に問われ、最終的に実刑判決が確定しました。

また前職に在籍中に営業秘密を不正に持ち出し、その競合に転職していたエンジニアが逮捕されたニュースも世間の注目を集めました。

勤務先のセキュリティポリシーやガイドラインにもとづいて行動することは従業員の責務です。一人ひとりが高い危機管理意識を持って以下の情報漏えい対策に取り組んでください。

※不正行為に手を染めないために…
セキュリティやコンプライアンスの研修を受け、情報の不正な持ち出しが倫理的に許されないことを理解しましょう。一定のセキュリティ基準を満たす企業は、入退室管理システムや防犯カメラの導入、外部記憶媒体などのデバイス制御、サーバへのアクセス権限の設定など、さまざまな情報漏えい対策を講じています。また、サーバへのアクセス履歴やユーザの操作履歴なども記録し、情報漏えいが発生した場合の原因や被害状況を追跡できる体制になっています。不正行為が明るみになれば、それによって生じた企業の損害を代わりに負うことになり、刑事責任を問われる可能性もあることを覚えておきましょう。