経済産業省とIPAの新しい取り組みに見る情報漏えい／
内部不正対策の新潮流　～第3回～

当連載の第2回では（独）情報処理推進機構（以下、IPA）が公開した「組織における内部不正防止ガイドライン」第5版について詳しく解説した。これを受けて本稿では、IPAガイドラインの後を追うように、ほぼ1か月後に経済産業省が改訂版を公開した「秘密情報の保護ハンドブック」（以下、ハンドブック）を読み解いていく。この２つの公的指針は、目的が「内部不正防止」・「秘密情報の保護」と異なっているものの、秘密情報漏えいの主原因の１つが内部不正であることから、相互に相関性が高い内容となっている。

ハンドブックの初版は経済産業省知的財産政策室から平成28年2月に公開され、その後、令和4年5月に最新の改訂版が公開されている^*1。また知的財産政策室は、ハンドブックのポイントを紹介したPowerPoint資料^*2や簡易版^*3も公開しているので、こちらも参考にしていただきたい。

*1: https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/full.pdf

*2: https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/1706blueppt.pdf

*3: https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/170607_hbtebiki.pdf

図3が示すように、内部不正（≒秘密漏えい）リスクを重要な経営課題として捉えることの重要性は明白だが、ハンドブックは「経営者は、企業の価値・競争力の源泉となる秘密情報を含めた『情報資産』を企業活動の中でどのように有効に活用しつつ、企業価値・競争力の毀損につながるその漏えいリスクにどのように対処していくかを、リーダーシップを持って判断していかなければなりません。」というメッセージを目的に連なる基本理念として冒頭で強調している。ハンドブックの活用を考えている読者におかれては、図3の調査結果を根拠として活用していただき、是非このメッセージを経営層に強く進言することをお願いしたい。

次に（イ）との関連では、「事業に大きな影響を及ぼすような重要な秘密の管理に全社を挙げて取り組んでいる企業・組織の割合はまだ十分ではない」という調査結果が得られている^*7（図４参照）。

これに対して、ハンドブックは「秘密情報の洗い出し」→「秘密情報の決定」→「秘密情報の分類」の一連の流れ（図５参照）を丁寧に解説しており、企業における重要な秘密管理の課題を解決する上で最も有用な指針となっている。

また、ハンドブックは基本理念として、「秘密情報の管理を実施することには、個別の企業や働く方々にとっても、社会全体にとっても、その実施に係るコストを上回る効用があると言えます。したがって、経営者・情報管理責任者の方々は、この点を踏まえ、一時的な秘密情報の管理に係る手間・コストなどを嫌うことなく、秘密情報の漏えい事故は、企業価値の毀損につながる深刻なリスクである点を認識し、情報の適切な管理・取扱いを求める法令への受け身的な対応に終始するのではなく、企業価値の維持・向上にとっての深刻なリスクを回避し、むしろ企業価値・競争力の維持・向上に積極的・能動的に務めることも含めて、法令遵守の観点から、その実施に適切に取り組んでいただきたく思います。」とも述べている。

読者におかれては、情報資産管理の重要な一角を成す「重要秘密の管理」の充実を喫緊の課題と捉えた際には、このハンドブックを活用して、是非ともガバナンス構築と具体的な対策の実装に取り組んでいただきたい。

最後に（ウ）との関連では、内部不正（≒秘密漏えい）防止に係る種々の取り組みが個人情報に偏っており、営業秘密や重要なデータが重視されていない企業が多いという調査結果が出ている（図６参照）^*7。

ハンドブックは不正競争防止法を所管する経済産業省知的財産政策室が公開した指針であり、営業秘密や限定適用データの保護に主眼があるため、上記課題を有する企業におかれては参考とできる内容が充実しているので、是非ともハンドブックを活用して課題を改善していただきたい。

一方、限定提供データに関する指針は、不正競争防止法における「限定提供データ」として法的保護を受けるために必要となる最低限の水準の対策を示したものである。これを基盤資料として限定提供データ保護のグッドプラクティスを構想するのが良いが、ハンドブックが扱う秘密情報保護のグッドプラクティスが必ずしもすべて当てはまるわけではないので、限定提供データにも活用可能な内容を抜粋して参考にすることが求められる。

表１を用いて対策例を俯瞰してみると、「従業員等」と「退職者等」は共通部分が多く、一部「退職者等」に特化した対策例が組み入れられている。また、「外部者」についても、表現は少し異なるものの「従業員等」や「退職者等」と共通する対策例が多いことが分かる。他方で、「取引先」に対する対策例は他のルートとはかなり違っており、取引先との約束事やその遵守状況の監視・監査などが中心となっている。

次に対策の目的について、概観を個別に紹介していきたい。まず、「接近の制御」は、秘密情報に物理的および電子的に接近・アクセスできないようにする対策である。物理的な境界を設けること、紙にしないこと、不必要になった秘密情報は早急に断捨離すること、ID管理とアクセス制御、サイバー攻撃に対する境界防御やゼロトラストなどが主眼になっている。

「持出し困難化」は、秘密情報を物理的および電子的に社外に持ち出すことを難しくする対策である。単に物理的に持ち出したり、電子的に社外に送信することに留まらず、秘密情報の暗号化、複写を困難にすること、不必要になった秘密情報の断捨離、社外に出た秘密情報の遠隔操作による消去、社外に持ち出す端末のシンクライアント化などをカバーしている。

「視認性の確保」は換言すれば「見える化」を進めることであり、物理的対策としては、これを進めやすい職場環境の管理、見通しが効く職場空間の整備、防犯カメラの設置、名札や来訪者バッジの着用、秘密情報を記録した媒体の管理、コピー／印刷の記録・透かし印刷、秘密情報の保管区域などへの入退室管理、来訪者の入退室管理などがある。一方、電子的な対策としては、外部に送信するメールのチェック、不自然なデータアクセスの検知、情報システム／ネットワークにおけるログ記録・監視およびその周知、取引先への自社サーバー利用の提供などがある。これ以外にも、人的・組織的対策として、内部通報制度、定期・不定期での内部監査、取引先の監視と定期・不定期での監査などが挙げられている。

「秘密情報に関する認識向上」は秘密情報を正しく認識して取扱うための対策である。立入禁止や写真撮影禁止の表示、規則整備・研修、秘密保持義務契約の締結、秘密情報であることの表示、秘密情報の返却・消去の徹底、取引先との合意と監視などがある。

「信頼関係の維持・向上等」は、充実感・満足度を高め、罰則を認識させることで不正を行う意欲を持たせないための対策であり、従業員等の意識向上、社内処分・契約での損害賠償責任等の明示、働きやすさと働くモチベーションの向上、適切な退職金や委託対価の支払いなどがある。

筆者は、内部不正（≒秘密漏えい）防止に対する責任・権限の典型的なモデルは、重要情報にアクセスできるITシステム部門が技術・運用などを担当し、リスク管理部門がこれを監督して責任部門となる形態であると考えている。こうすることで万一ITシステム部門が不正を行った場合にも対応できる。しかし、実際にはITシステム部門が責任部門となっている企業も多い。この場合は、法務・知財担当者を通じて、情報システム担当者に法制度／ガイドラインなど関わる必要な知識を浸透させることが有効である。今後イノベーションを生み出し続け、将来に亘って競争力を長く持続させて企業として存続するためには、知財・無形資産ガバナンスの構築が重要と言われているが、この観点からも重要な秘密・ノウハウの保護において、知財の価値を知り尽くした法務・知財部門の役割が益々重要になっていくものと考えられる。

一方、ハンドブックでは横断的に連携する他の組織が果たすべき役割についてもかなり詳しく例示している。これについては表２で一覧表に整理したので、こちらを参照されたい。

表２　横断的に連携する各部門が果たすべき役割の例

転職者の受入れについては、「信頼関係の維持・向上等」の対策として、転職者の契約関係の確認や転職者採用時における誓約書の取得などが重要になってくる。また、その他にも私物の「持込み困難化」、採用後の「視認性の確保」（監視）などの対策が有効である。これに対して、共同・受託研究開発／取引の中での秘密情報取扱いにおいては、秘密情報に該当する情報を明確化し（「秘密情報に関する認識向上」）、他社から得る情報を厳選した上で（「持込み困難化」）、他社の秘密情報の分離管理や自社の独自研究・開発からの排除を徹底する（「視認性の確保」）ことが求められる。

「従業員等」からの漏えいの場合は、「兆候の把握」において、業務上必要が無いはずの挙動と経済的／社会的に極めて不審な言動の把握がポイントとなる。次に漏えいの「疑いの確認」において、文書管理台帳等やITシステム上のログ記録の確認・監視、定期・不定期での監査などを実施する。次に「退職者等」からの漏えいの場合は、退職前の社内トラブル、退職後の本人の風評、転職先の商品品質等急変などの兆候を分析する。そして漏えいの「疑いの確認」において、退職者についての様々なルートでの情報収集、退職前に社内に残した記録・ログおよび未返却物などの確認を実施する。最後に「取引先」からの漏えいの場合は、取引の突然の打ち切り、取引先からの異常な情報照会、取引先の商品品質等の急変などの兆候を分析する。そして、トラップ情報を漏えいルートを通じて摑ませ、これを使っているかを確認するなどといった対応を行う。

次に「初動対応」については、ハンドブックはその対応をスムーズに進めるために、日頃から連絡体制や対処要領を準備しておくことを推奨している。さらには、秘密情報のさらなる拡散の防止（端末のネットワークからの遮断、警告書発出、インターネット上からの削除要請など）、企業イメージなどの損失の最小化（対外公表、被害者対応、マスコミ対応、刑事事件に発展する可能性がある場合の警察への相談等）、法律に基づく義務手続きの遂行などの対応を求めている。

さらにハンドブックは「責任追及」について、刑事的措置のための警察への相談要領、民事的措置のための対応要領を解説するとともに、社内処分の実施も求めている。

最後に、「証拠の保全・収集」については、次のようなポイントを指摘している。

令和４年5月のハンドブック改訂の背景は、基本的にIPA「組織における内部不正防止ガイドライン」第5版改訂の背景と同じである。ここでは説明を省くが、詳細については第1稿および第2稿を参照していただきたい。

　ここでは、ハンドブック改訂の全体像を、関連する「法制度の見直し・ガイドラインの改訂」に伴う修正、営業秘密・秘密情報をとりまく「環境の変化」に伴う修正、「重要な秘密情報の多様性」への考慮に係る啓発に関する修正・明確化の３つに分けて概観する。

まず、「法制度見直し」に伴う修正として、①平成30年の不正競争防止法改正で追加された「限定提供データ」の保護、②令和２、３年の個人情報保護法の改正で追加された「個人データ漏えい時の報告義務」に対応した修正を実施している。また、最近改訂された下記のガイドラインの修正事項を踏まえた修正も行われている。これらの修正をハンドブックの全体目次の上にマッピングしたものを図14に示す^*7。

• テレワークセキュリティガイドライン（総務省）
• 知的財産取引に関するガイドライン（中小企業庁）
• 組織における内部不正防止ガイドライン（IPA）等

営業秘密・秘密情報をとりまく「環境の変化」に伴う修正としては、テレワークの普及、雇用の流動化等の環境変化を踏まえて秘密情報漏えいリスクについての記載を見直すとともに、技術の進展等による新たな対策やサプライチェーン間での情報の開示・共有に係る記載などを追加している。これらの修正をハンドブックの全体目次の上にマッピングしたものを図15に示す^*7。

「重要な秘密情報の多様性」への考慮に係る啓発に関する修正・明確化については、営業秘密のほか、限定提供データ、個人情報（個人情報保護法）、機微情報（外為法）などの具体例を取り込むことによって、保護すべき対象情報の明確化・具体化を図っている。さらには、日本企業が保有する秘密情報が外国から狙われるリスクについて、過去の漏えい事件を踏まえ、典型的な漏えいパターンの形に整理した上でハンドブックに追記している点は興味深い。これらの修正をハンドブックの全体目次の上にマッピングしたものを図16に示す^*7。

本稿は、「経済産業省とIPAの新しい取り組みに見る情報漏えい／内部不正対策の新潮流」と題して執筆した全3回シリーズの研究レポートの最終稿である。第3稿ではハンドブックを取り上げ、企業動向調査の最新結果なども示しながら、単なる内容紹介に留まらず、筆者の私見も加味して、ハンドブックを活用する際に知っておくと役立つ有益な知見・ノウハウをできる限り読者にお伝えできるように工夫してみた。最後まで読んでいただいた皆様のお役に立てたとすれば幸いである。

このシリーズでは、第1稿で内部不正（≒情報漏えい）を巡る直近5年間の環境変化などを解説し、第2稿ではIPA「組織における内部不正防止ガイドライン」第5版のポイントや改定箇所について紹介した。さらに本稿ではハンドブックを取り上げ、そのポイントについて解説を行っている。ここまで全てを読んでくださった皆様に、改めて心から謝意を表したい。

国内で内部不正・秘密漏えいに焦点を絞った公的指針はこの２つしかない。しかし、ハンドブック／IPA「組織における内部不正防止ガイドライン」ともに厚さと内容の多さは格別であり、これらを直接読み解くのはなかなか大変である。本シリーズの研究レポートが、これらの公的指針を活用する上で少しでも読者の手間を省き、理解を助けるのに役立つことを期待している。レポートを最後まで読んでいただいた読者の皆様には、自社の対策を進める、あるいは改善する際に、是非とも改めて本シリーズの原稿の関係箇所を復習・参照していただきたい。