経済産業省とIPAの新しい取り組みに見る情報漏えい／
内部不正対策の新潮流　～第2回～

IPAは電子化された重要情報（当初は個人情報が主眼）を漏えいさせる内部不正（電子メール誤送信等のミスを含む）の防止に資するべく、2013年3月に「組織における内部不正防止ガイドライン」（以下、ガイドライン）を策定・公表した。

その後、2014年７月9日にベネッセの個人情報大量流出事件が発覚し、ガイドラインは注目を集めることになった。さらに、事例からの示唆・ガイドライン利用者からの要望・標準規格／指針の改訂からの反映や、コラム・付録（事例、関連ガイドライン）の追記を経て、2017年1月に第4版が公開されている。

（詳細は第1回原稿を参照）

第4版が公開されて以降の直近5年間で、コロナ禍に伴うテレワークなどの働き方変革とクラウド利用の拡大、サプライチェーン攻撃の急激な深刻化、雇用の流動化に伴う秘密漏えい事件の増加、セキュリティ対策技術の急速な進展、不正競争防止法や個人情報保護法の改正など、情報漏えい／内部不正対策に大きなインパクトを及ぼす数多くの環境変化が一斉に顕在化した。

さらには、事業経営において漏えいから守るべき重要な情報として、個人情報に留まらず、営業秘密やビッグデータへの認識もかなり高まってきた。そのため、対象とする重要情報の焦点を個人情報に絞ってきたガイドラインの現状が社会の実態に合わなくなり始めていた。

これらの重要な社会環境の変化に対応するためには、ガイドライン第4版を大幅に改訂する必要があり、5年ぶりに広範かつ詳細な検討が実施された。その成果として、2022年4月にガイドライン第5版が公開されている¹⁾。

¹⁾ https://www.ipa.go.jp/security/guide/insider.html　

第5版では、経営者に向けたメッセージとして、次の６項目についての追記・修正が行われた。

a.   技術・ノウハウ情報の漏えい対策の重要性

b.   技術・ノウハウ情報の漏えい対策と経営者の責任

c.   内部不正対策の全社体制構築

d.   全社の担当者に周知すべき近年の法改正

e.   経営層が理解すべき内部不正リスク増大の現状と課題

f.    経営層が示すべき従業員を守る姿勢

a.   技術・ノウハウ情報の漏えい対策の重要性

ガイドライン第4版までは、重要な秘密として個人情報を対象としてきた。しかし、技術・ノウハウ情報の漏えいへの危機感が高まったため、第5版では経営層に技術・ノウハウ情報の保護の重要性を強く認識していただくための強いメッセージが追記されている。

b.   技術・ノウハウ情報の漏えい対策と経営者の責任

重要技術情報が漏えいした場合、企業の事業経営に逸失利益が発生するのみならず、経営層としては情報管理の不備や企業の価値・競争力の毀損に対する責任を問われる恐れがある。このため、経営層が率先して内部不正対策に取り組み、責任を果たすべきであるというメッセージが追記されている。

c.   内部不正対策の全社体制構築

内部不正対策の望ましい体制を見直し、全社における実務を一元管理する「責任者」と「責任部門」を置くことの必要性を新たに盛り込んでいる。また、現業部門の長が務めることが多い「重要情報の管理責任者」の位置付けについても図中で明記された。

d.   全社の担当者に周知すべき近年の法改正

2022年4月に施行された個人情報保護法の令和2年改正では、個人の権利利益を害するおそれがある漏えいなど（故意の内部不正によるものを含む）の発生時に新たに報告義務が設けられたが、予め準備しておかないと、この義務を果たすことは難しい。そこで、経営層が率先して必要な体制づくりに取り組むべきであることが追記されている。

また、不正競争防止法に新たに限定提供データ保護に関する規定が追加されたので、これについても必要に応じて全社の担当者に周知すべきであることが追記された。

e.   経営層が理解すべき内部不正リスク増大の現状と課題

重要技術情報を窃取する産業スパイや国家を挙げた不正取得の台頭、テレワークやサプライチェーンの弱点を突く内部不正の急増、ビッグデータの不正な取扱、雇用流動化による不正な情報漏えいの増加等、内部不正を取り巻くリスクが多様化し、巧妙かつ執拗な攻撃を受けるようになった現状を経営層に対して警告するメッセージが追記されている。また、経営層が基本方針を策定して組織全体で徹底することの重要性にも言及されている。

f.   経営層が示すべき従業員を守る姿勢

従業員を監視する技術とプライバシー保護はトレードオフの関係にあるが、最近の急速な技術進歩に伴ってこのバランスが崩れる傾向が見られる。そこで第5版では、経営者が「デジタル監視の適用は内部不正者ではない役職員の無実を証明して権利・立場・評価・処遇等を適正に保護するためである」という姿勢を明確にし、従業員に周知徹底するべきであるという追記を行っている。

第5版では、ガバナンスとコンプライアンスに関し、次の８項目の追記・修正が行われた。

a.   重要情報の管理責任者

b.   サプライチェーンのガバナンス／コンプライアンス強化

c.   サプライヤーの管理支援

d.   内部不正発覚後の法的対応

e.   監視技術の高度化と従業員等のプライバシー保護とのバランス

f.    情報システムにおけるログ・証跡の記録と個人情報保護とのバランス

g.   雇用流動化によって深刻さが増す雇用終了後の重要情報の不正持出しへの対抗策

a.   重要情報の管理責任者

内部不正から保護する重要情報についてはそれぞれに管理責任者を置くこととされているが、脚注での例示が追記され、より分かりやすくなった。

b.   サプライチェーンのガバナンス／コンプライアンス強化

内部不正対策が手薄なサプライヤー（クラウドサービスプロバイダを含む）からの重要情報漏えいを防ぐためには、最小限の重要情報しか渡さないという自衛と、サプライヤーに対するガバナンスの強化を組み合わせることが有効であり、第5版ではこの組み合わせを新たに推奨している。

また、サプライヤーに預託した個人情報をサプライヤーが漏えいさせてしまった場合に、サプライヤーからの調査協力を得て令和２年改正個人情報保護法の報告義務を遅滞なく果たすことができるように、契約時・運用時・再委託時に報告義務を負うことの合意、合意に実効性があることの確認、再委託を行う際の事前承認等のガバナンス強化が求められることも追記された。

c.   サプライヤーの管理支援

サプライチェーン全体のセキュリティ対策を強化するために、規模が大きな委託先が積極的にサプライヤー（中小企業）の対策を（有償で）支援する政策が取られ始めている。これはサプライチェーン全体の内部不正対策を強化する手段としても有効であるため、第5版で追記された。

d.   内部不正発覚後の法的対応

重要情報の中には法的に保護されているものが存在する。例えば、インサイダー情報、個人情報データベース、営業秘密・限定提供データ等がこれにあたる。内部不正によってこれらの情報が漏えいした場合には法的対応が伴うため、取るべき対応についての指針が追記された。

e.   監視技術の高度化と従業員等のプライバシー保護とのバランス

上記５．(1) f.において「経営層が示すべき従業員を守る姿勢」について述べたが、ここでは高度な監視が従業員のプライバシー侵害とならないための対策について推奨している。具体的には、監視の目的が妥当で周知徹底されており、その目的に適合できる設定が可能なシステムが選定され、入社時の確認書等で従業員全体の了解が得られており、目的と対比した運用の適正さを定期的にレビュー・改善しており、監視結果に対する説明責任を果たせることが求められるため、これらについて追記が行われた。

また、監視は会社支給PCに止め、BYODは可能ならば監視対象とするべきではないことも追記された。

f.   情報システムにおけるログ・証跡の記録と個人情報保護とのバランス

情報システムのログ・証跡の記録についても、運用によっては従業員のプライバシーを侵害する恐れがある。このため、経営者が率先してプライバシー・人権を保護する姿勢を示すことで、従業員がログ・証跡の保存に同意しやすい雰囲気を作る必要性が追記された。

g.   雇用流動化によって深刻さが増す雇用終了後の重要情報の不正持出しへの対抗策

雇用の流動化によって退職者（転職者）が急増しており、雇用終了時の重要情報漏えい対策が益々重要になってきている。そこで第5版では、退職時または退職後であっても秘密保持義務が有効となる可能性を高める対策、秘密保持の対象となる重要情報を客観的に特定できるようにすること、重要情報を安易に海外に持ち出させないこと等が追記された。

第5版では、技術・運用管理に関し、次の5項目の追記・修正が行われた。

a.   エンドポイントセキュリティ対策の強化

b.   ゼロトラストの概念の適用

c.   ローカルブレイクアウトとクラウドプロキシ

d.   社外から外部ネットワークサービスを利用するにあたり講じる対策

e.   社外から社内のネットワーク環境にアクセスするにあたり講じる対策

a.   エンドポイントセキュリティ対策の強化

コロナ禍等で組織外部の業務（テレワーク等）で使用する会社支給PCなどが急増したことに伴い、これらのセキュリティコントロール状況の可視化を強化するニーズが高まったため、技術的な成熟と相俟って、EDRの導入を進める企業・組織が増えている。そこで第5版では、社外から外部ネットワークサービスを利用する場合やテレワークで社内ネットワーク環境にアクセスするための会社支給端末（PCなど）において、EDR等のエンドポイントセキュリティ技術を適用することを推奨した。

b.   ゼロトラストの概念の適用

第5版では「ゼロトラスト」の用語は使ってはいないが、ゼロトラストの概念を尊重しており、組織内外の広範囲に亘って細かい単位で分散する重要情報へのきめ細かいアクセス制御と認証が必要であることを追記している。

c.   ローカルブレイクアウトとクラウドプロキシ

社外からの外部ネットワークサービスへのアクセスやテレワークにおいてローカルブレイクアウトを利用するケースが増えているが、第5版ではこの場合にオフィスのファイアウォールの代わりに、クラウドプロキシとこれが包含するセキュリティ対策機能を適用することが望ましい旨を追記している。

d.   社外から外部ネットワークサービスを利用するにあたり講じる対策

第4版ではオフィスネットワークから外部ネットワークサービスを利用するにあたり、講じるべき対策しかカバーできていなかった。そこで第5版では新たに社外から外部ネットワークサービスを利用するにあたり講じるべき対策が追記された。具体的には、エンドポイントセキュリティ対策の強化と、上述したクラウドプロキシの適用である。

e.   社外から社内のネットワーク環境にアクセスするにあたり講じる対策

テレワークなどで社外から社内のネットワーク環境にアクセスするにあたって講じるべき対策として、クラウドプロキシの適用、エンドポイントセキュリティの強化、ゼロトラストの概念に基づく対策の導入等が追記された。また、海外からのテレワークに対しては、外国政府による監視リスク、データの域外利用に関する法制度を踏まえた対策が必要であることが指摘されている。

ログ・証跡の保存とインシデント対応中の重要情報漏えい防止について、新しい対策が追記された。

第5版では、教育、人的管理に関し、次の３項目の追記・修正が行われた。

a.   データの利活用と保護についての教育

b.   内部不正と労働者の心身の状態との関わり

c.   派遣労働者に守秘義務を課すための手順

a.   データの利活用と保護についての教育

データ利用をめぐる内部不正が頻発しないように、データ利用と保護に関する法や指針の趣旨についての教育に新たに取り組むべきとの認識から、第5版では当該教育の実施が推奨された。

b.   内部不正と労働者の心身の状態との関わり

 労働者の心身の状態をチェックしてストレス・不満や不安を解消するように配慮することは、内部不正防止にも良い効果をもたらすため、これを実施する場合の労務管理上の注意点が新たに追記された。

c.   派遣労働者に守秘義務を課すための手順

派遣労働者には直接、秘密保持義務を負わせることができないため、派遣元組織と協力した対応が必要であることが追記された。