Vol.2013-EIP-62 No.10
2013/11/21

情報処理学会研究報告
IPSJ SIG Technical Report

情報資産の分類に基づくラベル付けと営業秘密に関する考察

渡邉晴方†1

原田 要之助†1

営業秘密の保護と適切な管理は、営業秘密の漏えいが発覚した際の対応を含め、企業・組織が現代社会を生き抜くために、重要性が高いとされている。
しかしながら、営業秘密の適切な管理は行われているとは言い難い現状が有る。
この現状を踏まえ、経済産業省の「営業秘密管理指針（2013.8.16 改訂）に記載されている営業秘密の管理における秘密度に応じた区分と、JIS Q 27002:2006(ISO/IEC 27002:2005)に記載されている情報資産の適切な保護レベルに応じた分類の二つの関係を比較し検討する。更に現状の問題を拾い上げて更なる分析をするために、企業組織に対する情報セキュリティアンケート調査を実施した。

A study of trade secrets and classification labeling on asset
management
HARUKATA WATANABE†1YONOSUKE HARADA†2The protection of the trade secret and the appropriate management are high in importance for a company and an organization tosurvive the modern society including correspondence when the leak of the trade secret is found out.
However, the present conditions is hard to say that it is properly managed of the trade secret.
Based on these present conditions、compare with two of the classification that the secret degree in the management of a trade
secret listed in a trade secret management guidance (2013.8.16 revision, issued by of Ministry of Economy, Trade and Industry),and the appropriate protection level of information assets listed in JIS Q 27002: 2006(ISO/IEC 27002: 2005 )，and consider therelation of two.
In addition to this, the information security survey for the company and organization is performed to makeclear the present problems and the further consideration with.

1. はじめに

3. 研究の範囲

営業秘密の保護は、企業にとって営業秘密の漏洩が発覚営業秘密の漏洩リスクを低減することや、営業秘密に係した際の対応を含め、重要性の高いことから適切な管理がる訴訟が発生した際に、営業秘密として法的な保護を受け求められる。

るための可能性を高いものとするために、経済産業省「営一方で、2009 年 9 月に経済産業省が発表した「営業秘密業秘密管理指針(平成 25 年 8 月 16 日改訂)」に記載されての管理に関するアンケート調査と裁判例調査の結果分析」

いる営業秘密を適切に管理するための方法として「情報セ[1]によると、争点となったケースの中で、裁判所に最も多キュリティマネジメントシステム（ISMS）」[2]の推奨が述く否定されているのは、物理的管理における「アクセス権べられているが、その取組みにおける手引き(整合性)につ者の特定」であり、次に「情報の秘密区分の表示」である

いては明記されていない現状がある。とされており、営業秘密の適切な管理は行われているとは

本稿では、「営業秘密の管理と情報セキュリティマネジ言い難い現状がある。

メントシステム(ISMS)との整合性の推奨」[2]を切り口に、

2. 研究の目的

営業秘密を適切に管理するための方策ついて、情報資産の分類に基づくラベル付けの観点から考察を行う。

本研究では営業秘密の取扱いについて、営業秘密の管理

まず、第 4 章で「営業秘密の管理と秘密管理性」についにおける秘密性のレベルに応じた区分(以下、秘密度の区分て、第 5 章では「情報資産の管理における分類とラベル付とする)と情報資産の管理における「情報資産の分類とラベけ」について述べる。
ル付け」の観点から、営業秘密の管理における問題点と課本稿で論じている情報資産及びその管理ついては、ISO/IEC

題を少しでも明確に解決策の提案を行うことで、我が国の27001:2005 及び ISO/IEC 27002:2005(JIS Q 27002:2006)の標

産業競争力維持、向上の一助にすることを目的としている。

準に基づいて論じている。a†1 情報セキュリティ大学院大学

a ISO/IEC 27002：2013 には、「情報資産」という名称が「情報」

情報セキュリティ研究科
INSTITUTE of INFORMATION SECURITYⓒ2013 Information Processing Society of Japanに変更されている。

1

Vol.2013-EIP-62 No.10
2013/11/21

情報処理学会研究報告
IPSJ SIG Technical Report

4. 営業秘密の管理
営業秘密は以下①～③の「性質」があり、適切な管理bがクセスを防ぐような手段が取られている（アクセス権者の限定・無権限者によるアクセスの防止）
Ｂ．アクセスした者が、管理の対象となっている情報をそ求められる。
れと認識し、またアクセス権限のある者がそれを秘密とし①無形の技術・ノウハウ・アイディア等の保護の重要性。て管理することに関する意識を持ち、責務を果たすような企業活動を支える現場の労働者・技術者が生み出す技術情状況になっている（秘密であることの表示・秘密保持義務
報等の営業秘密は、企業の長年の取組や多額の投資の結集等）であり、収益を生み出す源としての価値を有していること(根源性)。

Ｃ．それらが機能するように組織として何らかの仕組みを持っている（組織的管理）②一度侵害されてしまうと回復が極めて困難であること(不可逆性・回復困難性)

肯定的な判断要素とされた具体的な管理方法としては以下のものが挙げられる。

③人的・組織的な管理といった安定性を欠く管理に頼らざ【Ａについて】るを得ないことから侵害に対する予防には限界があるといアクセス権者の限定う性質を内包していること(予防困難性)。とされている。
[2]

施錠されている保管室への保管

4.1 営業秘密とは事務所内への外部者の入室の禁止
電子データの複製等の制限

営業秘密とは、「秘密として管理されている生産方法、販コンピュータへの外部者のアクセス売方法その他の事業活動に有用な技術上又は営業上の情報防止措置であって、公然と知られていないものをいう」[3]と不正競システムの外部ネットワークからの争防止法に記載されている。
同法上で営業秘密として保護されるためには、以下の 3

遮断【Ｂについて】つの要件が必要とされている。
「秘」の印の押印①秘密として管理されていること(秘密管理性)
社員が秘密管理の責務を認知するための教育の実施②有用な情報であること(有用性)
就業規則や誓約書・秘密保持契約による秘密保持義務の設③公然と知られていないこと(非公知性)
定等
秘密管理性の要件については、「情報にアクセスするも【Ｃについて】のを制限すること(アクセス制限)」の存在や「情報にアク情報の扱いに関する上位者の判断を求めるシステムの存在セスした者にそれが秘密であることを認識できること(客外部からのアクセスに関する応答に関する周到な手順の設観的認識可能性)」の存在が求められている。」[2]とされて定とされている。
いる
しかしながら、上記の管理策については、細部にわたる「情報にアクセスした者にそれが秘密であることを認識できること」と記載されている部分は、本稿 5 章で述べ説明まで(具体的にどの程度行うべきなのか) はされていない点があると考えられ、管理策を実際に取り入れる上でる情報資産のラベル付けと同義と捉えられる。の問題点として挙げられる。
4.2 秘密管理性について
4.3 営業秘密の適切な管理営業秘密が侵害された事例の内、判例上の争点となりや「営業秘密を適切に管理しようとする事業者において、すく、重要とされているものが、秘密管理性であるとされ侵害態様等の事後的な事情をあらかじめ考慮することは必ている。営業秘密に関する裁判例の内、秘密管理性について判断しているものは 81 件あるとされ、その中で秘密管ずしも容易とはいえない。そこで、事業者においては、具理性を肯定したものは 23 件に留まり、全体の 7 割強が否体的な管理方法を適切に組み合わせ、その管理水準を一定以上にすることにより、秘密管理性に関する法的判断にお定されている現状がある。[1]この現状に対して、「営業秘密管理指針(平成 25 年 8 月ける事後的な事情への依存度を軽減させ、営業秘密として16 日改訂) 」によると秘密管理性の要件について肯定的な法的保護を享受し得る可能性を高くすることが望ましい。」とされ、営業秘密の適切な管理を考える上で、自社の営業判断要素として、以下のような管理策が示されている。
秘密の侵害における事後的事象について重点をおくべきで
Ａ．アクセスできる者が限定され、権限のない者によるアはないと考えられる。
b 「事業者が保有する重要な情報につき、不正競争防止法上の営業秘密としての保護を受けることができる」状態に管理すること。
[2]

また、留意する点として「事業者の保有する多くの情報を適切に管理することは重要であるが、大量の情報をやみくもに営業秘密として管理しようとすることは、管理コスⓒ2013 Information Processing Society of Japan2

Vol.2013-EIP-62 No.10
2013/11/21

情報処理学会研究報告
IPSJ SIG Technical Report

表 2：情報資産の例示

トを高めるのみならず、管理の実効性や業務効率を低下させることとなり、結果的に秘密管理性が認められないことにもなりかねない。」としている。[2]4.4 営業秘密として管理すべき情報資産
営業秘密として管理すべき情報資産の例示として、以下の表 1 が参考になる。
表 1：裁判例において営業秘密と主張された情報(出典：財団法人 日本情報処理開発協会「ＩＳＭＳユーザーズガイド-JIS Q 27001:2006(ISO/IEC 27001:2005)対応-リ
スクマネジメント編」2008 年 1 月 31 日)
5.2 情報資産の分類とラベル付けの定義
JIS Q 27002：2006(ISO/IEC 27002：2005)によると、「情報の必要性，優先順位及びその情報を取り扱う場合に期待す(出典：経済産業省「営業秘密管理指針の概要る保護の程度を示すために，情報を分類すること」と目的

平成 25 年 8 月 16 日改訂版」)が示され、「情報は、組織に対しての価値，法的要求事項，「営業秘密管理指針(平成 25 年 8 月 16 日改訂)」におけ取扱いに慎重を要する度合い及び重要性の観点から分類する「営業秘密の管理のために実施することが望ましい秘密る」とされ、「情報によっては，保護レベルの引上げ又は特管理方法」では、以下のように述べられている。

別な取扱いが必要なこともある。情報の分類体系は，一連「営業秘密として管理すべき情報資産が大量にあり、各情の適切な保護レベルを定め，〈中略〉保護レベルは，対象と報資産の秘密性(機密性)のレベルに応じて異なる管理水準する情報についての，機密性，完全性，可用性及びその他による管理体制を構築・実施することが可能である場合にの特性を分析することによって評定できる。」としている。

は、自社の情報資産を情報の秘密性のレベルに応じて区分情報資産のラベル付けについては、「組織が採用した分類体し、区分ごとの管理水準・管理方法を設定することが望ま系に従って策定し，実施すること」と管理策で述べ、「情報しい。」とされている。のラベル付けに関する手順は，物理的形式及び電子的形式

5. 情報資産の管理 (分類とラベル付け
分類とラベル付け)
分類とラベル付けの情報及び情報処理施設と関連する資産に適用できる必要がある。」とされ、「〈電子的形式の文書のようなある種の情本稿における情報資産の管理とは、組織の保有する情報報には物理的なラベル付けをすることはできず，電子的手から、情報資産を洗い出し、洗い出した情報資産を重要度段によるラベル付けが必要となることもある」とされていのレベルに応じて分類し、分類に基づいたラベル付けを行る。[5]い、ラベルごとに事前に定められた管理策に従い情報資産
上記の内容を基に、「情報資産の分類とラベル付け」のを取扱うものとする。
定義を以下のように整理した。
①情報資産の分類
5.1 情報資産とは企業・組織の保有する情報から、洗い出された情報資産の情報資産とは、「企業の業務遂行の過程で生み出される価重要度ごとに分類する。
値あるもののことです。資産には、不動産や商品など、目重要度は、機密性、完全性、可用性の観点から考え、レに見えるものもあれば、財務情報、人事情報、顧客情報、ベル分け(「政府機関の情報セキュリティ対策のための統一技術情報などの目に見えないものもあります。」[4]とされ管理基準」では、「格付」に相当する)し、分類を行う。ている。すなわち、情報に関連する全ての有形、無形のも②情報資産のラベル付けのが情報資産であるといえる。情報資産の例示を表 2 に示

重要度ごとに分類された情報資産にラベル付けを行う。

す。
このとき、情報資産の機密性に応じた重要度に対しては、極秘、社外秘など具体的に表すことや、保管期限などの情報を情報資産自体に明示することとされている。

ⓒ2013 Information Processing Society of Japan3

Vol.2013-EIP-62 No.10
2013/11/21

情報処理学会研究報告
IPSJ SIG Technical Report

5.3 情報資産の分類基準について

6.1 営業秘密管理指針に述べられている営業秘密の適切各企業が独自の方法で分類基準を設けており、業界ごとな管理方法(秘密度の区分な管理方法 秘密度の区分)を情報セキュリティマネジメン
秘密度の区分 を情報セキュリティマネジメン

等の統一的な分類や重要度に応じたレベル分けの基準はな

トシステム(ISMS)で定める管理策に取り込むことについで定める管理策に取り込むことについトシステム

い。て

以下に分類の基準を説明する上で、統一的な基準として情報セキュリティマネジメントシステム(ISMS)で定める記載がされている「政府機関の情報セキュリティ対策のた管理策に取り込むことについて、仮説を考えた。

めの統一管理基準(以下、統一管理基準とする)」の中で用仮説１

いられている「分類の基準」と「格付の区分」を示す。[6]企業の扱う秘密情報は、知的財産図面などの情報が主体

統一管理基準は、各府省庁を対象としている為、企業にであり、法務部門が中心となって、情報セキュリティ部門そのまま当てはめることができるわけではない。しかし、と協力して進めている。

広範囲の政府業務に横断的に利用できるような特性もある

仮説に対する暫定調査結果：

ため、活用も可能である。なお、各企業が利用するには、暫定調査結果のうち、各企業・組織で営業秘密と考えて企業の状況を考慮した判断が必要である。

いる情報の種別版)を図 1、営業秘密を管理している部門を・分類の基準と格付の区分

図 2 に示す。従業員・仕入先・取引先情報が多い。

統一管理基準では、分類と格付けの基準を、機密性、可用性、完全性の三つの観点から、「格付の区分」を記載している。機密性は 3 段階、可用性は 2 段階、完全性は 2 段階の段階的な区分で、分類と格付けの基準が明記されている。
以下の表 3 は、統一管理基準に記載されている「分類の基準」と「格付の区分」を、機密性、可用性、完全性の観点から段階的に表したものである。
表 3：「分類の基準」と「格付の区分」

図１：営業秘密とされる情報(複数回答)(出典：政府機関の情報セキュリティ対策のための統一管理基準

2011 年 4 月 21 日)※「秘密文書」とは、情報公開法に基づく政府特有の表現である。

6. 営業秘密と情報資産の統合管理について営業秘密の漏洩リスクを低減することや、営業秘密に係る訴訟が発生した際に、営業秘密として法的な保護を受けるための要素として営業秘密管理指針に述べられている営

図 2：営業秘密を管理している部門(複数回答)

業秘密の適切な管理方法を情報セキュリティマネジメント管理している部門では、総務部門、経理部門の順であり、システム(ISMS)で定める管理策に取り込むことは、営業秘
営業秘密の管理について法的な観点からのアプローチが行密の適切な管理を行うことに繋がると考える。
われているとは言い難いと考える。
情報セキュリティ大学院大学原田研究室では、2013 年 8発見事項と考察：

月にプライバシーマーク、ISMS 認証企業及び大学、公官調査結果から、営業秘密については、経済産業省などの庁(4,500 組織）にアンケート調査を実施し、367 件（8.2%）想定（製造図面やノウハウが対象で、法務部門が関わる）の回答を得て、集計・分析作業中である。その中から 200とは異なっており、総務部門や経理、社長室など全体を担件のデータについて、営業秘密に関する回答を分析した暫当する部門や事業部門が直接関与していることが多く、情定調査結果を示す。
報セキュリティ担当部門の関与は比較的少なく、多くの部ⓒ2013 Information Processing Society of Japan4

Vol.2013-EIP-62 No.10
2013/11/21

情報処理学会研究報告
IPSJ SIG Technical Report
門に分散管理されていることが判った。集中的な管理は難仮説に対する調査結果：

しいことが判った。

情報資産の機密度と営業秘密の秘密度の関連づけを確認し次に、「営業秘密管理指針」にある秘密性のレベルに応じて区分することが望ましいとされていることから、仮説2 が成り立つと考えた。
仮説２
営業秘密は企業においてガイドラインなどで適切に区分た図 4 によると、53％の企業が関連していることが判った。
発見事項と考察：
これは、図 1 で示した通り、仕入先・取引先の情報(顧客や単価情報)や従業員個人情報が対象と考えられていることから、関連付けが有っても個別単位であると考えられる。

(極秘、秘、社外等)されている。

また図 2 で示した総務部門などが営業秘密の管理部門であ仮説に対する調査結果：ることが多数であることや法務部門や情報セキュリティ部

仮説 2 に対するアンケート調査の結果(暫定版)を図 3 に示門が関わっていない為と想定され、以下の表 4 の関係付けす。

が難しいのが実態と考える。
表４：「情報資産の機密度」と「営業秘密の秘密度」における整合性(※第 6 で述べた「統一管理基準」を参考に作成)
以上の仮説の検証から、「営業秘密の秘密度」と「情報図 3：営業秘密の秘密度の区分(極秘、秘、社外秘等)状況。

資産の機密度」における関連付けについて再検討する必要(ｎ＝173)

があると考える。

発見事項と考察：

また、「情報資産の機密度」と「営業秘密の秘密度」にお営業秘密の秘密度の区分が行われている企業は、47％でける対応関係について確認した図 5 によると、52％の企業あり、徹底されていないの 11％と区分していないの 42％をが「秘密度に機密度を対応させる必要がある」と考えてい含めると 53％の企業で十分に行われていないことから、仮ることが判った。

説 2 は棄却されると考える。これは、図 2 の結果から、営業秘密の管理が総務部門や情報システム管理部門などで実施されており、営業秘密について詳しい法務部門が中心となっていないこと、全社的な取り組みに成っておらず各部門単位で行われているなどが理由として考えられる。企業内部での統一的な営業秘密の管理体制を確立し、秘密情報の区分を普及させることが喫緊の課題と考える。
仮説３
営業秘密を秘密度の区分できている企業は、情報資産の機密度との関連(ひもづけ)付けも行われている。
図 5：情報資産の機密度と営業秘密の秘密度との対応関係について、どのような考えをお持ちですか。(ｎ＝159)
発見事項と考察：
企業は、機密度と秘密度を一体化させて、管理を合理化（営業秘密管理性を担保）したいとの思いがあると考える。

7. まとめ
営業秘密と情報セキュリティマネジメントシステムの対応は理想像であり、6 章に述べたように実際の企業では、「営業秘密管理指針」の通りには営業秘密の管理がされて
図 4：情報資産の機密度と営業秘密の秘密度の関連付けのいない実態が判った。
特に、ISMS に営業秘密の適切な管理方法を取り込むた状況。(ｎ＝155)
めの手引きとなる事例等が、存在しておらず、更に、「営業ⓒ2013 Information Processing Society of Japan5

情報処理学会研究報告IPSJ SIG Technical Report

Vol.2013-EIP-62 No.10
2013/11/21

秘密の秘密度」と「情報資産の機密度」における整合性についても明記されていない現状を踏まえて、今後の予定として、以下の研究を行う。
①アンケート全件を入力して分析を行い、企業規模や業種等の関連分析を行って、6 章に述べた仮説を再検証する。
②アンケートの調査結果(暫定版)では、営業秘密の管理部門と情報資産を管理部門が異なる点や、責任が異なる点が分かった。これらの点を踏まえて、企業における実施体制を考察する。
③「営業秘密の秘密度」と「情報資産の機密度」間の整合性をもたせられる方法として、情報セキュリティマネジメントシステムをベースとした営業秘密の価値(有用性)に基づいた対応モデルを検討する。
④経済産業省「営業秘密管理指針」で述べられている「秘密管理性の要件を備えるための具体的な管理方法を適切に組み合わせた一定以上の管理水準」について、判例調査を基に、詳細な管理方法の組み合わせの洗い出しを行い、JISQ 27002:2006(ISO/IEC 27002:2005)に記載されている管理策との比較を行う。
⑤企業における情報資産の管理における実態分析から、営業秘密の管理における秘密度の区分と情報資産の管理における機密度の分類について有るべき管理態勢を考察する。

謝辞

本研究にあたり、アドバイスや支援を頂きました情報セキュリティ大学院大学の関係者各位、関係組織の関係者の皆様に、感謝の意を表す.

参考文献[1] 経済産業省、「営業秘密の管理に関するアンケート調
査と判例調査の結果分析」、2009 年 9 月、
http://www.meti.go.jp/committee/materials2/downloadfiles/g90
930a06j.pdf、2013 年 8 月 10 日アクセス[2] 経済産業省、「営業秘密管理指針」、平成 25 年 8 月 16日改訂、
http://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/11121
6hontai.pdf、2013 年 8 月 26 日アクセス[3] 不正競争防止法第 2 条 6 項[4] 「経済産業委託事業：NPO 日本ネットワークセキュリ
ティ協会」、「情報資産とは」、
http://www.jnsa.org/ikusei/basis/02_01.html、
2013 年 9 月 5 日アクセス[5]JIS Q 27002：2006(ISO/IEC 27002：2005)、
http://kikakurui.com/q/Q27002-2006-01.html、2013 年 9 月 5日アクセス、pp.19-22[6]内閣官房情報セキュリティセンター、「政府機関の情報セキュリティ対策のための統一管理基準」、2011 年 4 月 2
１日、http://www.nisc.go.jp/active/general/pdf/K305-101.pdf、2013 年 7 月 6 日アクセスⓒ2013 Information Processing Society of Japan

6