社内不正、最も多いのは「情報持ち出し」発覚は毎年4〜5月がピーク

企業活動において、情報は最も重要な資産の一つです。しかし近年、社内不正による情報漏洩事故が増加しており、企業の信頼低下や高額な損害賠償などのリスクをもたらしています。本記事では、社内不正の中でも特に多い「情報持ち出し」に焦点を当て、その実態と対策について解説します。

1. 社内不正の現状と危険性

近年、企業の情報漏洩事故が増加しており、2023年の情報漏洩・紛失事故は過去最多を記録しました。その中でも内部不正による情報漏洩は重大な脅威となっており、独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威2024」の組織向けランキングでは「内部不正による情報漏えい等の被害」が3位にランクインしています。

社内不正とは、企業や組織内の情報を従業員や内部にいる人間が悪意を持って、または無意識に外に持ち出したり、社内システムにアクセスして情報を取得したり、意図的にデータを削除することです。企業にある機密情報の持ち出しは、大きな事件に発展することもあります。

2. 最も多い社内不正は「情報持ち出し」

デジタルデータソリューション株式会社が2023年度に社内不正被害にあった経験のある企業230社を対象に実施した実態調査によると、社内不正の中で最も多いのは「情報持ち出し」であることが明らかになりました。

2.1 情報持ち出しの統計データ

調査結果によれば、2023年度に発生した社内不正事案において、約57%が「情報持ち出し」に関するものでした。社内不正の半数以上を占めるこの「情報持ち出し」は、以下のように分類されます：

情報持ち出しの種類	割合
退職者による情報持ち出し	約43%
在籍中従業員による情報持ち出し	約11%
派遣・業務委託者による情報持ち出し	約3%

2023年度の社内不正に関する相談件数は、前年度比で約22％増加しており、各インシデントの件数が微増しています。特に情報持ち出しの中でも、退職者によるものが最も多いことが特徴的です。

2.2 発覚のピークは4～5月

実際に情報持ち出し被害にあった企業に、不正が発覚した月を聞いたところ、「5月」が最も多く、次いで「6月」「4月」と続くことが分かりました。つまり、人材の入れ替わりが活発な4月から6月に情報持ち出しの発覚が多い傾向があることが明らかになっています。

2.3 なぜ4～5月に発覚するのか

4～5月に情報持ち出しの発覚が多い理由としては、以下の点が考えられます：

• 日本では3月末に退職し、4月に新たな職場へ移る人材の流動性が最も高い時期であること
• 退職者が前職の情報を持ち出して新しい職場で使用し始めることで不正が発覚すること
• 入社早々の中途採用者が前職の顧客データや外注先情報を不正に持ち込んで使用するケースがあること
• 年度始めで業務の引き継ぎや確認作業が増え、不正の痕跡が発見されやすくなること

調査では、入社早々に調査を希望する企業も出ており、その理由として「転職してきた中途社員が前職の顧客データや外注先の情報を不正に持ち込んで使用している疑い」が挙げられています。

3. 情報持ち出しの種類と手口

情報持ち出しの手法はさまざまですが、主に以下の3つの分類があります。それぞれの特徴と代表的な手口について解説します。

3.1 退職者による情報持ち出し

最も多いケースである退職者による情報持ち出しは、退職前に会社の機密情報や顧客データを持ち出し、転職先や自身の起業に活用するというものです。

代表的な手口：

• 個人のUSBメモリやハードディスクにデータをコピー
• 個人のクラウドストレージにアップロード
• 業務データを個人メールに送信
• 顧客リストや営業資料を印刷して持ち出す
• 在職中のアクセス権限を利用してリモートで情報を取得

退職者によって持ち出される情報の種類としては、「顧客情報」「顧客への提案資料」「仕入れ先情報」などが多く報告されています。

→ 退職者による情報持ち出し対策はこちら

3.2 在籍中従業員による情報持ち出し

在籍中の従業員による情報持ち出しは、転職や独立を計画している場合や、金銭目的で情報を外部に売却するケースなどがあります。

代表的な手口：

• 業務用PCから個人デバイスへのデータ移行
• 業務時間外に大量のデータをダウンロード
• 不要な情報へのアクセスや閲覧
• 社内システムの権限を不正に拡大して情報を取得
• テレワーク環境を利用した情報の持ち出し

在籍中従業員の場合、会社のシステムやネットワークへの正規のアクセス権を持っているため、不正行為が発見されにくいという特徴があります。

3.3 派遣・業務委託者による情報持ち出し

一時的に企業内で働く派遣社員や業務委託者による情報持ち出しも、少数ながら発生しています。

代表的な手口：

• 業務上必要な範囲を超えた情報へのアクセス
• 業務用端末からのデータコピー
• スマートフォンでの書類の撮影
• 与えられた一時的なアクセス権限の悪用

派遣・業務委託者は正社員と比べて会社への帰属意識が低いケースがあり、また契約終了後の追跡が難しいこともあります。

4. 情報持ち出しによる企業リスク

情報持ち出しが発生すると、企業にはさまざまなリスクが生じます。その主なものを解説します。

4.1 信頼・ブランド価値の低下

情報漏洩事故を引き起こした企業は、顧客や取引先からの信頼を大きく損なう可能性があります。特に顧客情報や個人情報が漏洩した場合、社会的信用の低下、顧客離れ、風評被害などが発生し、長期にわたって企業イメージに悪影響を及ぼすことがあります。

4.2 損害賠償リスク

情報漏洩が発生すると、被害を受けた顧客や取引先から損害賠償を請求される可能性があります。日本ネットワークセキュリティ協会の調査によると、1件当たりの平均想定損害賠償額は6億3,767万円と高額になっています。

また、個人情報保護法や業界固有の規制に違反した場合、罰金や業務停止命令などの行政処分を受ける可能性もあります。こうした法的責任や損害賠償が企業の経営状況を悪化させることがあります。

4.3 業務への影響

情報漏洩が発生した場合、原因調査や復旧作業、再発防止策の実施など、対応に多大なリソースが必要となります。また、情報の公表や顧客からの問い合わせ対応にもリソースが割かれるため、通常業務が滞り、ビジネスに大きな影響を与える可能性があります。

さらに、情報持ち出しによって競合他社に機密情報や営業秘密が流出した場合、競争優位性の喪失や市場シェアの低下につながることもあります。

5. 情報持ち出しの発覚経路

情報持ち出し被害が発覚するきっかけについて、調査結果によれば、約40％が「他の社員からの報告」であることがわかっています。これは、内部告発や偶然の発見など、人的要素が発覚の重要な経路となっていることを示しています。

その他の発覚経路としては：

• システムログの監視・分析による異常検知
• 取引先からの指摘や問い合わせ
• 退職者が同業他社に転職したことによる情報の流用発見
• 定期的な内部監査での発見
• 不審なデータアクセスの検出

退職者が同業他社への転職や、起業・独立することを他の社員が知り、不審に思われてフォレンジック調査に至ったケースも多く見られます。

6. 情報持ち出し対策

情報持ち出しを防止するためには、包括的な対策が必要です。ここでは、技術的、組織的、人的、物理的な観点から対策を解説します。

6.1 技術的対策

情報持ち出しを技術的に防止するための対策には以下のようなものがあります：

• アクセス制御の強化：必要最小限の権限付与、特権アカウントの厳格な管理
• 外部記憶媒体の制限：USBポートの無効化、許可された機器のみ接続可能に設定
• 操作ログの取得・監視：「誰が」「いつ」「どのファイル」を操作したかを記録
• DLP（Data Loss Prevention）ツールの導入：機密情報の外部送信を検知・ブロック
• 暗号化の実施：重要データの暗号化によるセキュリティ強化
• 不正アクセス検知システム：異常なアクセスパターンを検出
• クラウドサービスのセキュリティ設定見直し：適切なアクセス権限設定と監視

6.2 組織的対策

組織として情報持ち出し対策を進めるための方法には以下のようなものがあります：

• 情報セキュリティポリシーの策定と周知：明確なルールの設定と全従業員への共有
• 定期的な内部監査の実施：情報管理体制の継続的な評価と改善
• インシデント対応体制の構築：情報漏洩発生時の迅速な対応準備
• 情報の重要度に応じた取扱区分の設定：機密レベルに応じた管理体制の構築
• 退職者プロセスの厳格化：退職時のデータ返却確認、アカウント削除などの手順化
• 取引先や委託先の管理強化：セキュリティ要件の契約への盛り込み

特に退職者管理においては、退職前から計画的に情報へのアクセス権限を制限したり、業務用端末の利用状況を監視したりするなど、段階的な対応が重要です。

6.3 人的対策

情報持ち出し対策の根幹となる人的対策には以下のようなものがあります：

• 定期的なセキュリティ教育・研修：情報セキュリティの重要性や具体的な対策方法の周知
• 情報セキュリティ意識の向上：過去の事例共有や啓発活動の実施
• 秘密保持誓約書の締結：従業員、派遣社員、委託先などとの法的拘束力のある合意
• 内部通報制度の整備：不正行為を安全に報告できる仕組みの構築
• 適切な人事評価・処遇：従業員の不満や不公平感の軽減による動機の排除
• 退職時の確認プロセス強化：会社情報の返却・削除の確認と誓約書の取得

6.4 物理的対策

物理的な側面からの情報持ち出し対策には以下のようなものがあります：

• 入退室管理システムの導入：重要情報を保管するエリアへのアクセス制限
• 監視カメラの設置：不正行為の抑止と証拠収集
• クリアデスクポリシーの実施：机上の書類放置防止
• シュレッダーの適切な配置と利用：紙媒体の適切な廃棄
• プリンタ出力の管理：印刷ログの取得、認証印刷の導入
• 私物デバイスの持ち込み制限：BYOD（個人所有デバイスの業務利用）の管理

特に情報の紙媒体での持ち出しを防止するため、プリンタやコピー機の使用状況監視や、機密文書の管理ルールの徹底が重要です。

7. 情報持ち出し事例

実際に発生した情報持ち出し事例を紹介します。これらの事例から学び、自社の対策に活かしましょう。

事例1：退職者による顧客情報の持ち出し

事例2：在籍中従業員による技術情報の漏洩

事例3：委託先による個人情報の持ち出し

これらの事例に共通するのは、基本的な対策の不足や、内部の人間を完全に信頼しすぎていたことなどが挙げられます。一方で、発覚のきっかけは他の従業員からの報告や監視システムなど、複数の経路があることも特徴です。

8. 情報持ち出しが発覚した場合の対応

情報持ち出しが発覚した場合、迅速かつ適切な対応が必要です。以下に基本的な対応ステップを示します。

初動対応

1. 事実確認と被害範囲の特定：どのような情報が、どのように持ち出されたのかを調査
2. 証拠の保全：ログデータ、メール、端末などの証拠を適切に保全
3. 緊急対策本部の設置：経営層、法務、IT、人事など関連部門による対応チームの組成
4. 被害拡大防止措置：関連アカウントの一時停止、アクセス制限の強化など

調査と対応

1. 詳細調査の実施：フォレンジック調査などによる事実関係の把握
2. 関係者への対応：当事者からの事情聴取、就業規則に基づく処分の検討
3. 法的対応の検討：警察への被害届、民事訴訟の検討
4. 再発防止策の策定：技術的・組織的な対策の見直し

外部への対応

1. 関係者への通知：漏洩した情報に関係する顧客や取引先への通知
2. 監督官庁への報告：個人情報保護委員会などへの報告義務の確認と対応
3. 公表判断と危機管理広報：公表の要否判断と適切な広報対応
4. ステークホルダーへの説明：取引先、株主、従業員など関係者への説明

また、法的観点からの対応も重要です。情報を持ち出した従業員に対しては、就業規則に基づく懲戒処分のほか、民事上の損害賠償請求や、悪質な場合は刑事告訴も検討されます。

重大で悪質な営業秘密侵害事案においては、警察に相談し、刑事告訴することも考えられますが、情報持ち出しを裏付ける客観的な証拠が見つかっていない状況では、まず自社で調査を行い、証拠を収集したうえで警察に相談することが推奨されています。

9. まとめ

社内不正の中で最も多い「情報持ち出し」は、企業にとって深刻なリスクをもたらします。特に人材の流動性が高まる4～5月に発覚するケースが多く、退職者による情報持ち出しが最も大きな割合を占めています。

情報持ち出し対策のポイントは以下の通りです：

• 技術的対策（アクセス制御、ログ監視、外部媒体制限など）
• 組織的対策（ポリシー整備、内部監査、退職者プロセス強化など）
• 人的対策（教育・研修、意識向上、秘密保持誓約など）
• 物理的対策（入退室管理、監視カメラ、紙媒体管理など）

特に注目すべき点として、情報持ち出し被害が発生した企業の約96％が外部記憶媒体の利用制限を設けていなかったという調査結果があります。このことから、基本的な対策を実施するだけでも、情報持ち出しリスクを大幅に低減できる可能性があります。

企業の重要な資産である情報を守るためには、「情報は必ず漏れるもの」という前提に立ち、包括的な対策を講じることが重要です。特に人材の流動性が高まる時期には、より一層の警戒と対策強化が求められます。