経済安全保障で重視されるサプライチェーン全体の秘密情報管理と内部不正防止　第1回

IPAはこれまで、企業経営において重要な課題である秘密情報の管理・保護に関する実態調査を通じて、「守るべき情報資産の認識不足」や「内部不正防止対策の遅れ」など、さまざまな問題点を明らかにしてきた。特に中小企業においては、以下の課題が顕著にみられる ²。

• 内部不正防止が「重要な経営課題」として認識されていない
• 営業秘密が各社の業務に依存しているため、その定義が難しく、守るべき情報資産を特定できていない
• サイバーセキュリティ対策は行っているものの、内部不正対策は後手に回りがちである

このような背景を踏まえ、2023年度調査は、これらの課題に対する中小企業の状況を把握し、示唆を抽出することを目的として実施された。

2023年度調査では、中小企業の状況を把握し比較するために、大企業も含めた内部不正防止対策や体制整備などの現状について調査が実施された。なお、本調査では常用従業員数300人以下を中小企業、301人以上を大企業と定義している。また、2022年度調査で効果が確認された調査フレームワークが引き続き採用されている（図表2）。

さらに調査から中小企業の課題を理解し、改善策を見いだすための具体的な視点として、全体で7つの共通のテーマ（調査軸）が設定された。特に調査軸（6）は、中小企業に焦点を当て、調査軸（1）～（5）の視点を適用して調査が行われた。

（1）経営課題の改善

（2）重要な秘密の特定と取扱いの改善

（3）組織体制・連携に関する課題の改善

（4）社員教育とリテラシー構築に関する課題の改善

（5）対策実施に関する課題の改善

（6）中小企業の構造的課題の改善

（7）ガイドラインの利用と実践に関する課題の改善

秘密情報漏えい／内部不正防止の取り組みは、大企業と比較して中小企業は遅れている。中小企業はその規模ゆえに、経営者の意向が組織全体に浸透しやすく、対策を迅速に適用できる可能性を有している。そのため、経営者が秘密情報漏えい／内部不正防止に関心を持ち、リーダーシップを発揮することが、対策の実効性を高める上でとても重要である。

調査結果によると、若干の例外はあるが、従業員数が少なくなるほど、個人情報以外の秘密情報の特定・格付け ³・表示 ⁴ に関する取り組みの実施率が低下する傾向がある。従業員数が50人以下の企業では、秘密情報特定のために基準・運用ルールを定めている割合が約32%にとどまり、少数派となっている（図表5 赤枠）。このため、中小企業では秘密情報を特定するためのルール作りを強化する必要がある。

一方、秘密情報の格付け・表示の実効性を高める取り組みは、大企業であっても実施状況が十分とはいえず、社会全体で底上げを図る必要がある（図表5 黄枠）。

次に、秘密情報の格付け・表示の実効性について、「従業員が格付けの表示等によってほぼ漏れなく秘密情報を認知できる」とした企業の割合を下記図表6に基づき、大企業全体と中小企業全体に分けて集計し直した結果、大企業では38.7%にとどまり、中小企業では21.8%にとどまっている。この結果から、大企業においても格付け・表示の実効性は決して十分でないことが分かる。また、中小企業ではさらに遅れているという実状がうかがえる（図表6 黄枠）。

調査結果によれば、内部不正への対応についての責任の所在が定められている企業は82.4%に達している。つまり、大半の企業で内部不正防止の責任の所在が明確にされているといえる。その中でも「経営層が主体的に対応する」企業が最大の割合（28.6%）を占めている。一方で、「インシデント対応を現場組織が対応する」企業の割合は4%にとどまっている（図表7参照）。

さらに、内部不正に対応する経営層や組織は、平時に関連部門と連携し、自部門だけでは対処しきれないコンプライアンス・ガイドラインなどの専門知識や助力を得ている（図表8参照）。

一方、中小企業では、経営者を責任者とし、その下にシステム、総務・人事、教育、内部監査などを担当する幹部が集まって委員会を設置するなどの事例はあるものの、組織の連携は必ずしも十分とはいえない。また、内部不正には予防に加えて、兆候や不審な挙動をできるだけ早く把握することが求められる。このため、秘密情報の不自然な扱いを目撃した際には、迅速かつ適切に報告・通報できる仕組みを整備することが重要である。しかし、こうした仕組みの整備は大企業でも不十分な部分があり、特に全社責任者や経営層へのエスカレーション ⁵ に課題がみられる。

また中小企業では、常用雇用者数が50人以下の場合に内部通報体制やルールの整備が顕著に遅れている（図表9 赤枠）。経営者と従業員が直接顔を合わせるため、性善説に基づく管理になりがちであり、これが対応の遅れに影響を及ぼしている可能性がある。

個人情報のみならず、秘密情報についてもその内容と保護に関する知識を組織全体に浸透させる必要がある。また事業や経営における秘密情報の重要性や価値、漏えいや毀損などが発生した場合の影響や損害について、従業員が正しく認識することが求められる。調査の結果によれば、約8割の企業で秘密情報などの保護が個人情報保護と同じように重要であることを周知し、教育していることが確認できた（図表10参照）。

秘密情報の漏えいに繋がる内部不正防止対策としては、現状、「会社などへの不満・鬱憤を蓄積させない職場環境の整備」、「雇用開始／終了時の秘密保持義務契約や誓約書の提出」、「人的ミスへの十分な注意指示・徹底」に重点が置かれており、これらを実施している企業の割合が5割を超えている（図表13 赤枠）。

一方で、多数の秘密情報が扱われる「重要プロジェクトへの参加／離任時の秘密保持義務契約や誓約書提出」は効果が見込まれるものの、実施している企業の割合は25.6%にとどまっている。また「社内システムなどのログの定期的な確認」は、内部不正を早期に発見するために重要だが、実際に内部不正の兆候を確認している企業は36.2%に過ぎない。会社が従業員のログを定期的に確認していることを従業員に周知することで、内部不正を抑止する効果が期待できるため、この点も踏まえて対策を検討すべきである。

クラウドサービスの利用やテレワークの拡大により、秘密情報を社外で取り扱う機会が増加している。このため、秘密情報を不必要に社外に持ち出さないことが重要になる。しかし、これに関する規定を定め、周知・徹底している企業は32.4%に過ぎない。昨今、クラウドサービスの設定ミスやVPN機器の脆弱性が多発していることを考慮すると、この割合は大幅に引き上げていく必要がある（図表13 青枠）。

中小企業では、要員やリソースの不足から、内部不正防止に特有の対策の実施は後回しになっている。この現状を踏まえ、有識者からは「サイバーセキュリティと内部不正防止で共通する対策を適用しながら、限られた要員やリソースを効率的に活用すべき」という意見があった。具体的には、守るべき資産やリスクの違いに応じて、足りない部分にリソースを集中させるなどが挙げられる。