経済安全保障で重視されるサプライチェーン全体の秘密情報管理と内部不正防止　第2回

第1回の図表3および図表4で示したとおり、中小企業の経営者における秘密情報漏えいに対するリスク認識とリーダーシップは、大企業と比べると十分とはいえない。特に常用雇用者数が50人以下の中小企業では、その傾向が強く出ている。

一方で、第1回でも述べたとおり、規模の小さな中小企業は経営者の意向が組織全体に浸透しやすく、対策を迅速に適用できる可能性を有している。このため、経営者の意識と取り組み姿勢の改善は克服すべきキーポイントであり、重要な課題であるといえる。

現在、ランサムウェア攻撃などによる個人情報漏えいが報道やネットニュースでクローズアップされている。そのため、秘密情報漏えいの防止において、社外からの脅威が強く意識される傾向がある。しかし、実際には内部に潜む脅威（内部不正 ⁷ ）への対応も同様に重視する必要がある。

例えば、働きやすい職場環境の整備、秘密保持義務契約や誓約書の提出、人的ミス防止策、職員などの不正行為の監視、テレワークやクラウドサービスで取り扱う秘密情報の制限、不必要な秘密情報を取引などで共有しないといった対策が求められる。

しかし、特に常用雇用者数が100人以下の中小企業では、これらの対策の実施が遅れているのが現状である（図表2黄枠）。この現状を少しでも改善し大企業に近付けることが、サプライチェーン管理の観点から喫緊の課題となっている。

第1回の図表5および図表6で示したとおり、常用雇用者数が100人以下の中小企業では、秘密情報の取り扱いに関する意識が低く、情報漏えいが懸念される現状である。具体的には、以下の3点が課題となっている。

• 日常業務の中で、取り扱いに注意を要する秘密情報の特定が十分ではなく（換言すれば、特定漏れが多く発生しており）、組織や担当者によってもバラつきが生じている。
• 従業員などの誰かが秘密情報を正しく特定できたとしても、その機微さの度合いや開示可能範囲を明示するラベリングが不十分である。このため、他の従業員などが正しい扱い方を知ることができず、秘密情報の保護がおろそかになっているケースが多い。
• 秘密情報へのラベリングの不十分さや秘密情報の重要性に対する意識・理解の低さから、秘密情報であることが認識されず、適切に扱われていないケースが多い。

さらに、第1回の図表9で示したように、常用雇用者数が50人以下の中小企業では、不自然な秘密情報の取り扱いや漏えいを目にした際の内部通報体制やルール整備が特に遅れている。このため、インシデントが発生していても全社的に見落とされる懸念があり、こうした体制整備の遅れを解消することが重要な課題となっている。

独立行政法人工業所有権情報・研修館（INPIT）の営業秘密支援窓口では、中小企業が組織全体で営業秘密の管理体制を構築するための支援を行っている。しかし、規模の小さな中小企業では、こうした体制の整備は遅れているのが実状である。

この状況を踏まえ、図表3は、個人情報と比較した際の秘密情報保護対策の重視度を示している。常用雇用者数が100人以下の中小企業では、個人情報保護の対策は進んでいる一方で、秘密情報保護の対策が不十分な企業の割合が高い。この結果から、中小企業における営業秘密などの保護に対する意識の低さが浮き彫りになっている（図表3黄枠）。

どのような企業であっても、事業・営業・技術・調達・販売などに関するノウハウを有していることが一般的である。こうした秘密情報の保護に対する意識を底上げすることは、中小企業が直面する重点課題の一つであり、早急に取り組むべきテーマである。

IPA2023年度調査では、常用雇用者数が100人以下の先進的な中小企業の経営者、有識者（弁護士、ITコーディネータ、知財戦略エキスパート）などにヒアリングを実施した。その結果、人的リソースが限られた中小企業が、社外からの情報収集に苦労している実態が明らかになった。具体的には、社外の専門家との顔の見える人的ネットワークが不足しており、同業他社などで発生した重要事件情報、最新のサイバー脅威情報などの収集が難しい状況にある。一部の企業では、ITコーディネータやセキュリティベンダに依頼して情報収集している事例もみられた。

サプライチェーンの秘密情報管理を円滑に進めるには、企業間で垣根を超えたリスクコミュニケーションが必要であり、お互いの顔が見える人的ネットワークの構築が望まれる。しかし、これを実現するためには、小規模な中小企業においても対応可能な人財の育成が必要となる。

IPA2023年度調査の総括では、中小企業の課題として「秘密情報をライフサイクル全体で管理する体制を構築すること」が強調されている。この課題の背景には、中小企業における情報資産管理台帳の整備と、これを用いた秘密情報管理の実践が依然として十分でない現状があることが指摘されている。

情報資産管理台帳の整備は、一般にはISMS（Information Security Management System）⁸ や技術情報管理認証制度 ⁹ などの第三者認証の取得を契機に進むことが多く、営業秘密などの管理に全社で取り組むことで、情報資産管理台帳を用いた秘密情報管理体制が整備される。しかし、一般社団法人日本情報経済社会推進協会（JIPDEC）が2024年1月に実施した「企業IT利活用動向調査2024」¹⁰ の調査結果によると、ISMSの取得率は従業員数が5,000人以上の大企業では約80%であるのに対し、従業員数が299人以下の中小企業では約45%に過ぎず、従業員数が100人以下の中小企業ではこの割合がさらに低くなると推察される。この調査結果は、IPA2023年度調査が指摘する現状の問題点と課題を裏付けるものといえる。

上記 (b) では、秘密情報漏えいの防止にあたり内部不正への対応が重要であることを指摘した。また、内部不正防止に焦点を当てた対策として、働きやすい職場環境の整備、秘密保持義務契約や誓約書の提出、人的ミス防止策、職員などの不正行為の監視、テレワークやクラウドサービスで取り扱う秘密情報の制限、不必要な秘密情報を取引などで共有しないなどがあることも述べた。サイバー攻撃対策の中には内部不正防止にも資するものが多いが、それだけでは十分ではなく、どうしても内部不正防止に特化した対策を補完する必要がある。

一方で、常用雇用者数が100人以下の中小企業では、経営資源不足、専門知識、技術の不足などが原因で、内部不正防止に特化した対策の必要性に気付いていない、またはサイバー攻撃対策で手いっぱいで、こうした対策までは手が回らない企業の割合が顕著に高まっている（図表4黄枠）。この状況は、サプライチェーンの秘密情報管理の弱点につながるため、克服すべき喫緊の課題である。この課題を克服する方法として、内部不正防止にも資するサイバー攻撃対策の確保に重点を置きつつ、内部不正防止に特化した対策をピンポイントで補完することが望ましい。

サプライチェーンの秘密情報管理対策は、一般的にサプライチェーンの上流で講じるほど効果が大きくなる。このため、最上流の委託元企業（主として大企業）が果たすべき役割は重要である。また、サプライチェーンの委託先・再委託先（特に、常用雇用者数が100人以下の再委託先）には、基本的に秘密情報管理に課題を有しているという前提で接することが望ましい。委託元企業はまず、自社の秘密情報管理を点検する必要がある。主たる点検項目を以下に示す。

• 自社の強みとなる秘密情報を漏れなく把握し、格付けし、開示範囲を定めているか
• 渡す必要のない秘密情報をサプライチェーンに提供していないか
• サプライチェーンに提供する際に、委託元企業の秘密情報であることが自明であるように、自社の秘密であることや格付け・開示範囲を必ず明示しているか

特に重要なのは3つ目の項目である。3章 (2) の (c) で述べたように、委託先・再委託先企業では、秘密情報の見落としや不十分な秘匿が普通に発生する懸念があるため、委託元企業の秘密であることが明確に識別できるようにしておかないと、不適切な取り扱いを受け、漏えいのリスクが高まる ¹¹ と想定すべきである。

委託元企業は、Tier1の委託先を客観的な根拠に基づいて格付けし、その到達度に合わせて共有する自社の秘密情報の範囲を制御することが望ましい。例えば、非常に機微な秘密情報は最高レベルに格付けされた委託先企業にのみ共有するなどの運用が考えられる。筆者が知る限りでは、大企業であってもこれを実践できている企業はかなり少ないと考えられる。

一部の委託先企業の中には、他に代えがたい技術・ノウハウを有するonly one企業が存在する場合がある。こうした企業が秘密情報管理に課題を抱えていても、取引を停止することは難しい。むしろ当該企業の秘密情報管理を改善するために積極的に協力すべきであると考える。具体的には、当該企業の秘密情報管理について助言型監査を行い、監査の最終段階で当該企業の経営者と積極的に対話するのが効果的である。この対話を通じて望ましい改善の方向性を経営者と具体的に共有して意識付け、その実践に向けたリーダーシップを発揮してもらうことができれば、効果を大いに期待できる。

Tier2以下の再委託先については、本レポート3章の (1) で述べたように、委託元企業の管理統制が十分に及んでいないことが多い。特に、Tier3以降の常用雇用者数が100人以下の中小企業では、実態としてほとんどの場合、管理統制が及んでいないのが現状である。しかし、このままではサプライチェーンの下部に秘密情報管理の弱点を抱えることになり、放置することはできない。かといって、経済安全保障推進法の「基幹インフラ役務の安定的な提供の確保に関する制度」のように、サプライチェーン末端の再委託先に至るまですべて漏らさず管理統制することはなかなか現実的ではない。ではどうすればこの課題を改善できるだろうか。

そのカギを握るのが、IPA2023年度調査が示す常用雇用者数100人以下の先進的な中小企業の経営者のヒアリング結果である。この調査結果には、優れた中小企業およびその経営者に共通する特徴が示されており、これを参考にすれば望ましい再委託先を選定するための基準となる。以下にTier2以下の再委託先の選定に役立つ優れた特徴を挙げる。

● 全社などでの組織的な取り組み：

• 情報管理に関わる第三者認証を取得している
• 営業秘密管理を導入している
• 情報資産管理台帳を作成・運用している
• 秘密情報を、情報資産管理台帳を用いて管理している

　管理項目例：情報の保存場所・保存期間、情報漏えいリスクの大きさ、格付け、情報の消去方法など

● 経営者の意識、経営姿勢：

• 情報漏えい防止において、個人情報と同等、あるいはそれ以上に秘密情報を重視している
• 自ら手を動かし、率先して上記の組織的取り組みを主導している ¹²。また、強いこだわりも持っている
• サイバー攻撃対策でカバーできない内部不正特有の情報漏えいリスクを重視しており、これに特化した対応方針を的確に指示することができる。従業員への意識付けにも積極的である

こうした特徴を持つ中小企業であるかどうかは、経営者との直接対話、あるいは経営企画を所管する幹部から経営者の意識・姿勢を聞き取ることで容易に判断できる。なぜなら、できている企業はほとんど全ての特徴に合致し、できていない企業はほとんどどれにも当てはまらないため、はっきりと二分されるからである。

以上を踏まえると、委託元企業としては、委託先企業／再委託先企業が行うすべての再委託の可否を自ら承認する体制を構築することが望ましい。具体的には、自ら、あるいは再委託を目論む委託先企業／再委託先企業が、候補先の経営者または経営企画を所管する幹部と面談し、その上で把握した基準への合致度を踏まえて可否判断を行うのが良いと考えられる。このアプローチは厳密ではないものの、実践的で一定以上の効果を期待できると考えられる。

委託元企業は、情報漏えい事件が発生した直後の円滑な対応についても気を配る必要がある。3章 (2) の (c) で述べたように、常用雇用者数が50人以下の中小企業ではインシデントが発生していても見落とされる懸念があり、Tier2以下で発生したインシデントについて、委託元企業による事実関係の把握が大幅に遅れるリスクがある。これを踏まえ、委託元企業がサプライチェーンに秘密情報を提供する際には、委託先・再委託先のインシデント対応力を過信せず、サプライチェーン全体での即応方針を定め、末端まで統制しておくことが望ましい。