情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2014-EIP-63 No.7
2014/2/21

営業秘密と情報資産の統合管理に関する考察
渡邉晴方†1

原田 要之助†1

営業秘密の保護と適切な管理は、営業秘密の漏えいが発覚した際の対応を含め、企業・組織が現代社会を生き抜くために、重要性が高いとされている。
しかしながら、営業秘密の適切な管理は行われているとは言い難い現状が有る。
この現状を踏まえ、経済産業省の「営業秘密管理指針（2011.12.1 改訂）に記載されている営業秘密の管理における秘密度に応じた区分と、JIS Q 27002:2006(ISO/IEC 27002:2005)に記載されている情報資産の適切な保護レベルに応じた分類の二つの関係を比較し検討する。更に現状の問題を拾い上げて更なる分析をするために、企業組織に対する情報セキュリティアンケート調査を実施した。

A study of the integrated management of trade secret and asset
HARUKATA WATANABE†1YONOSUKE HARADA†2

The protection of the trade secret and the appropriate management are high in importance for a company and an organization tosurvive the modern society including correspondence when the leak of the trade secret is found out.
However, the present conditions is hard to say that it is properly managed of the trade secret.
Based on these present conditions、compare with two of the classification that the secret degree in the management of a trade
secret listed in a trade secret management guidance (2011.12.1 revision, issued by of Ministry of Economy, Trade and Industry),and the appropriate protection level of information assets listed in JIS Q 27002: 2006(ISO/IEC 27002: 2005 )，and consider therelation of two.
In addition to this, the information security survey for the company and organization is performed to makeclear the present problems and the further consideration with.

1. はじめに
営業秘密の保護は、企業にとって営業秘密の漏洩が発覚題を少しでも明確に解決策の提案を行うことで、我が国の産業競争力維持、向上の一助にすることを目的としている。

した際の対応を含め、重要性の高いことから適切な管理が3. 研究の範囲求められる。

営業秘密の漏洩リスクを低減することや、営業秘密に係る一方で、2009 年 9 月に経済産業省が発表した「営業秘密の訴訟が発生した際に、営業秘密として法的な保護を受ける管理に関するアンケート調査と裁判例調査の結果分析」 a

ための可能性を高いものとするために、経済産業省「営業によると、争点となったケースの中で、裁判所に最も多く秘密管理指針(平成 25 年 8 月 16 日改訂)」に記載されてい否定されているのは、物理的管理 bにおける「アクセス権る営業秘密を適切に管理するための方法として「情報セキ者の特定」であり、次に「情報の秘密区分の表示」である

ュリティマネジメントシステム（ISMS） 」の推奨が述べとされており、営業秘密の適切な管理は行われているとはられているが、その取組みにおける手引き(整合性)につい言い難い現状がある。ては明記されていない現状がある。

2. 研究の目的
本研究では営業秘密の取扱いについて、営業秘密の管理における秘密性のレベルに応じた区分(以下、秘密度の区分

本稿では、「営業秘密の管理と情報セキュリティマネジメントシステム(ISMS)との整合性の推奨」[１]を切り口に、営業秘密を適切に管理するための方策ついて、情報資産の分類に基づくラベル付けの観点から考察を行う。とする)と情報資産の管理における「情報資産の分類とラベ

まず、第 4 章で「営業秘密の管理と秘密管理性」についル付け」の観点から、営業秘密の管理における問題点と課て、第 5 章では「情報資産の管理における分類とラベル付け」について述べる。

†1 情報セキュリティ大学院大学 情報セキュリティ研究科
INSTITUTE of INFORMATION SECURITY
a 裁判例調査は、「判例検索システム及び文献などで「不正競争防止法」や「知的財産」に関する判例中に「営業秘密」や「トレードシークレット」といった言葉が用いられている裁判例を抽出し、営業秘密に関する争点を精査して、最終的に 85 件の裁判例における 95 争点についてまとめた。」ものである。
b 物理的管理とは、経済産業省が公開している「営業秘密管理指針(平成23 年 12 月 1 日改訂)」によると、「客観的に認識可能な表示(営業秘密及び区分の表示)」と「媒体の分離保管」とされている。

ⓒ 2014 Information Processing Society of Japan

本稿で論じている情報資産及びその管理ついては、ISO/IEC27001:2005 及び ISO/IEC 27002:2005(JIS Q 27002:2006) cの標準に基づいて論じている。

c ISO/IEC 27002：2013 には、「情報資産」という名称が「情報」に変更されている。

1

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2014-EIP-63 No.7
2014/2/21

4. 営業秘密の管理
営業秘密は以下①～③の「性質」があり、適切な管理が求(出典：経営法友会 法務ガイドブック等作成委員会、「営業秘密管理ガイドブック 全訂第 2 版」、商事法務、2010 年

められる。
①無形の技術・ノウハウ・アイディア等の保護の重要性。
企業活動を支える現場の労働者・技術者が生み出す技術情報等の営業秘密は、企業の長年の取組や多額の投資の結集であり、収益を生み出す源としての価値を有していること

11 月 13 日、p21、出典を参考に筆者が作成)
4.2 秘密管理性について
営業秘密が侵害された事例の内、判例上の争点となりやすく、重要とされているものが、秘密管理性であるとされている。[Ⅱ]その理由として、営業秘密に関する裁判例の(根源性)。
②一度侵害されてしまうと回復が極めて困難であること(不可逆性・回復困難性)③人的・組織的な管理といった安定性を欠く管理に頼らざるを得ないことから侵害に対する予防には限界があるという性質を内包していること(予防困難性)。とされている。

内、秘密管理性について判断しているものは 81 件あるとされ、その中で秘密管理性を肯定したものは 23 件に留まり、全体の 7 割強が否定されている現状がある。[1]この現状に対して、「営業秘密管理指針(平成 25 年 8 月 16日改訂) 」によると秘密管理性の要件について肯定的な判断要素として、以下のような管理策が示されている。

[2]
4.1 営業秘密とは営業秘密とは、「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものをいう」と不正競争防止法dに記載されている。
同法上で営業秘密として保護されるためには、以下の 3 つの要件が必要とされている。
①秘密として管理されていること(秘密管理性)②有用な情報であること(有用性)③公然と知られていないこと(非公知性)
また、秘密管理性の要件については、「情報にアクセスするものを制限すること(アクセス制限)」の存在や「情報にアクセスした者にそれが秘密であることを認識できること(客観的認識可能性)」の存在が求められている。」とされている
また、「情報にアクセスした者にそれが秘密であることを認識できること」と記載されている部分は、本稿 6 章で述べる情報資産のラベル付けと同義と捉えられる。
3 つ要件は、営業秘密の三要件と言われ、その三要件を満たした形を図で示すと以下の図 1 のようになる。
図 1：営業秘密の三要件

Ａ．アクセスできる者が限定され、権限のない者によるアクセスを防ぐような手段が取られている（アクセス権者の限定・無権限者によるアクセスの防止）
Ｂ．アクセスした者が、管理の対象となっている情報をそれと認識し、またアクセス権限のある者がそれを秘密として管理することに関する意識を持ち、責務を果たすような状況になっている（秘密であることの表示・秘密保持義務等）
Ｃ．それらが機能するように組織として何らかの仕組みを持っている（組織的管理）
肯定的な判断要素とされた具体的な管理方法としては以下のものが挙げられる。
【Ａについて】アクセス権者の限定
施錠されている保管室への保管
事務所内への外部者の入室の禁止
電子データの複製等の制限
コンピュータへの外部者のアクセス防止措置
システムの外部ネットワークからの遮断【Ｂについて】「秘」の印の押印
社員が秘密管理の責務を認知するための教育の実施
就業規則や誓約書・秘密保持契約による秘密保持義務の設定等【Ｃについて】情報の扱いに関する上位者の判断を求めるシステムの存在
外部からのアクセスに関する応答に関する周到な手順の設定とされている。
しかしながら、上記の管理策については、細部にわたる説明まで(具体的にどの程度行うべきなのか) はされていd 不正競争防止法第 2 条 6 項ⓒ 2014 Information Processing Society of Japan

ない点があると考えられ、管理策を実際に取り入れる上で2

情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2014-EIP-63 No.7
2014/2/21の問題点として挙げられる。のレベルに応じて分類し、分類に基づいたラベル付けを行

4.3 営業秘密の適切な管理い、ラベルごとに事前に定められた管理策に従い情報資産「営業秘密を適切に管理しようとする事業者において、侵害態様等の事後的な事情をあらかじめ考慮することは必を取扱うものとする。
5.1 情報資産とはずしも容易とはいえない。そこで、事業者においては、具情報資産とは、「企業の業務遂行の過程で生み出される価体的な管理方法を適切に組み合わせ、その管理水準を一定値あるもののことです。資産には、不動産や商品など、目以上にすることにより、秘密管理性に関する法的判断におに見えるものもあれば、財務情報、人事情報、顧客情報、ける事後的な事情への依存度を軽減させ、営業秘密として技術情報などの目に見えないものもあります。」[3]とされ法的保護を享受し得る可能性を高くすることが望ましい。」ている。すなわち、情報に関連する全ての有形、無形のもとされ、営業秘密の適切な管理を考える上で、自社の営業のが情報資産であるといえる。情報資産の例示を表 2 に示秘密の侵害における事後的事象について重点をおくべきです。
表 2：情報資産の例示はないと考えられる。
また、留意する点として「事業者の保有する多くの情報を適切に管理することは重要であるが、大量の情報をやみくもに営業秘密として管理しようとすることは、管理コストを高めるのみならず、管理の実効性や業務効率を低下させることとなり、結果的に秘密管理性が認められないことにもなりかねない。」としている。[1]4.4 営業秘密として管理すべき情報資産
営業秘密として管理すべき情報資産の例示として、以下の
表 1 が参考になる。
表 1：裁判例において営業秘密と主張された情報(出典：財団法人 日本情報処理開発協会「ＩＳＭＳユーザーズガイド-JIS Q 27001:2006(ISO/IEC 27001:2005)対応-リスクマネジメント編」2008 年 1 月 31 日)
5.2 情報資産の分類とラベル付けの定義
JIS Q 27002：2006(ISO/IEC 27002：2005) [4]によると、「情報の必要性，優先順位及びその情報を取り扱う場合に期待する保護の程度を示すために，情報を分類すること」と目的が示され、「情報は、組織に対しての価値，法的要求事項，取扱いに慎重を要する度合い及び重要性の観点から分類する」とされ、「情報によっては，保護レベルの引上げ又は特(出典：経済産業省「営業秘密管理指針の概要別な取扱いが必要なこともある。情報の分類体系は，一連平成 23 年 12 月 1 日改訂版」)の適切な保護レベルを定め，〈中略〉保護レベルは，対象と「営業秘密管理指針(平成 23 年 12 月 1 日改訂)」におけする情報についての，機密性，完全性，可用性及びその他る「営業秘密の管理のために実施することが望ましい秘密の特性を分析することによって評定できる。」としている。

管理方法」では、以下のように述べられている。

情報資産のラベル付けについては、「組織が採用した分「営業秘密として管理すべき情報資産が大量にあり、各類体系に従って策定し，実施すること」と管理策で述べ、情報資産の秘密性(機密性)のレベルに応じて異なる管理水「情報のラベル付けに関する手順は，物理的形式及び電子準による管理体制を構築・実施することが可能である場合的形式の情報及び情報処理施設と関連する資産に適用できには、自社の情報資産を情報の秘密性のレベルに応じて区る必要がある。」とされ、「〈電子的形式の文書のようなある分し、区分ごとの管理水準・管理方法を設定することが望種の情報には物理的なラベル付けをすることはできず，電ましい。」とされている。

子的手段によるラベル付けが必要となることもある」とさ

5. 情報資産の管理 (分類とラベル付け)れている。

本稿における情報資産の管理とは、組織の保有する情報から、情報資産を洗い出し、洗い出した情報資産を重要度ⓒ 2014 Information Processing Society of Japan

上記の内容を基に、「情報資産の分類とラベル付け」の定義を以下のように整理した。
①情報資産の分類

3

情報処理学会研究報告
IPSJ SIG Technical Report
企業・組織の保有する情報から、洗い出された情報資産のVol.2014-EIP-63 No.7
2014/2/21

6. 営業秘密と情報資産の統合管理について重要度ごとに分類する。
重要度は、機密性、完全性、可用性の観点から考え、レベル分け(「政府機関の情報セキュリティ対策のための統一管理基準」では、「格付」に相当する)し、分類を行う。
②情報資産のラベル付け
重要度ごとに分類された情報資産にラベル付けを行う。

営業秘密の漏洩リスクを低減することや、営業秘密に係る訴訟が発生した際に、営業秘密として法的な保護を受けるための要素として営業秘密管理指針に述べられている営業秘密の適切な管理方法を情報セキュリティマネジメントシステム(ISMS)で定める管理策に取り込むことは、営業秘密の適切な管理を行うことに繋がると考える。

このとき、情報資産の機密性に応じた重要度に対しては、極秘、社外秘など具体的に表すことや、保管期限などの情報を情報資産自体に明示することとされている。
5.3 情報資産の分類基準について各企業が独自の方法で分類基準を設けており、業界ごと等の統一的な分類や重要度に応じたレベル分けの基準はない。

情報セキュリティ大学院大学原田研究室では、2013 年 8月にプライバシーマーク、ISMS 認証企業及び大学、公官庁(4,500 組織）にアンケート調査を実施し、367 件（8.2%）の回答を得て、集計・分析した調査結果を示す。
6.1 営業秘密管理指針に述べられている営業秘密の適切な管理方法(秘密度の区分)を情報セキュリティマネジメントシステム(ISMS)で定める管理策に取り込むことについ以下に分類の基準を説明する上で、統一的な基準として記載がされている「政府機関の情報セキュリティ対策のための統一管理基準(以下、統一管理基準とする)」の中で用いられている「分類の基準」と「格付の区分」を示す。
統一管理基準は、各府省庁を対象としている為、企業にそのまま当てはめることができるわけではない。しかし、広範囲の政府業務に横断的に利用できるような特性もあるため、活用も可能である。なお、各企業が利用するには、企業の状況を考慮した判断が必要である。
・分類の基準と格付の区分「統一管理基準」では、分類と格付けの基準を、機密性、て情報セキュリティマネジメントシステム(ISMS)で定める管理策に取り込むことについて、仮説を考えた。
仮説１
企業の扱う秘密情報は、知的財産図面などの情報が主体であり、法務部門が中心となって、情報セキュリティ部門と協力して進めている。
仮説に対する調査結果：
調査結果のうち、各企業・組織で営業秘密と考えている情報の種別版)を図 1、営業秘密を管理している部門を図 2に示す。従業員・仕入先・取引先情報が多い。

可用性、完全性の三つの観点から、「格付の区分」を記載している。機密性は 3 段階、可用性は 2 段階、完全性は 2 段
階の段階的な区分で、分類と格付けの基準が明記されている。
以下の表 3 は、統一管理基準に記載されている「分類の基準」と「格付の区分」を、機密性、可用性、完全性の観点から段階的に表したものである。
表 3：「分類の基準」と「格付の区分」(出典：政府機関の情報セキュリティ対策のための統一管理基準

2011 年 4 月 21 日)※「秘密文書」とは、情報公開法に基づく政府特有の表現である。

図 2：営業秘密とされる情報(複数回答) (ｎ＝367)ⓒ 2014 Information Processing Society of Japan4情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2014-EIP-63 No.7
2014/2/21

図 4：営業秘密の秘密度の区分(極秘、秘、社外秘等)状況(ｎ＝367)
発見事項と考察：
営業秘密の秘密度の区分が行われている企業は、40％であり、徹底されていないの 11％と区分していないの 38％を含めると 49％の企業で十分に行われていないことから、仮説 2 は棄却されると考える。これは、図 3 の結果から、営業秘密の管理が総務部門や情報システム管理部門などで実施されており、営業秘密について詳しい法務部門が中心と
図 3：営業秘密を管理している部門(複数回答) (ｎ＝367)

なっていないこと、全社的な取り組みに成っておらず各部管理している部門では、総務部門、社長室又は役員室の門単位で行われているなどが理由として考えられる。企業

順であり、営業秘密の管理について法的な観点からのアプ内部での統一的な営業秘密の管理体制を確立し、秘密情報ローチが行われているとは言い難いと考える。の区分を普及させることが喫緊の課題と考える。

発見事項と考察：

仮説３

調査結果から、営業秘密については、経済産業省などの想定（製造図面やノウハウが対象で、法務部門が関わる）営業秘密を秘密度の区分できている企業は、情報資産の機密度との関連(ひもづけ)付けも行われている。とは異なっており、総務部門、社長室、経理部門など全体を担当する部門や事業部門が直接関与していることが多く、情報セキュリティ担当部門の関与は比較的少なく、多くの部門に分散管理されていることが判った。情報セキュリテ
ィの観点を踏まえた集中的な管理は難しいことが判った。
次に、「営業秘密管理指針」にある秘密性のレベルに応じて区分することが望ましいとされていることから、仮説 2 が成り立つと考えた。
仮説２
営業秘密は企業においてガイドラインなどで適切に区分(極秘、秘、社外等)されている。
仮説に対する調査結果：
仮説 2 に対するアンケート調査の結果を図 4 に示す。

図 5：情報資産の機密度と営業秘密の秘密度の関連付けの状況。(ｎ＝367)
仮説に対する調査結果：
情報資産の機密度と営業秘密の秘密度の関連づけを確認した図 5 によると、39％の企業が関連していることが判った。

ⓒ 2014 Information Processing Society of Japan5

情報処理学会研究報告
IPSJ SIG Technical Report
発見事項と考察：Vol.2014-EIP-63 No.7
2014/2/21

8．まとめ

これは、図 2 で示した通り、仕入先・取引先の情報(顧客営業秘密と情報セキュリティマネジメントシステムのや単価情報)や従業員個人情報が対象と考えられているこ

対応は理想像であり、７章に述べたように実際の企業では、とから、関連付けが有っても個別単位であると考えられる。

「営業秘密管理指針」の通りには営業秘密の管理がされてまた図 3 で示した総務部門などが営業秘密の管理部門であいない実態が判った。

ることが多数であることや法務部門や情報セキュリティ部

特に、ISMS に営業秘密の適切な管理方法を取り込むた門が関わっていない為と想定され、以下の表 4 の関係付けめの手引きとなる事例等が、存在しておらず、更に、「営業が難しいのが実態と考える。

秘密の秘密度」と「情報資産の機密度」における整合性に表４：「情報資産の機密度」と「営業秘密の秘密度」におついても明記されていない現状がある。

ける整合性

本研究によって判ったことを以下に述べる。
①アンケートの調査結果では、営業秘密を管理する部門と情報資産を管理する部門が異なっていることや、責任が異なっていることが判った。
②裁判所に多く否定されている裁判例の内、秘密管理性の要件に関係する「秘密区分の特定と表示」に対して、アン(※第 6 章 3 節で述べた「統一管理基準」を参考に作成)
以上の仮説の検証から、「営業秘密の秘密度」と「情報資ケート調査結果によると、実際に「区分している」企業が少ないことが判った。

産の機密度」における関連付けについて再検討する必要が③「営業秘密の秘密度」と「情報資産の機密度」間の整合あると考える。

性については、経済産業省のガイドラインをそのまま用い

また、「情報資産の機密度」と「営業秘密の秘密度」におた現状では整合性があるとは言い難く、実際に管理を行う

ける対応関係について確認した図 5 によると、39％の企業上での手順等(「秘密性」と「機密性」の違いを踏まえたもが「秘密度に機密度を対応させる必要がある」と考えていの)の整備が必要であると感じた。

ることが判った。

今回の研究の成果として、営業秘密と情報資産については、管理対象の粒度や管理主体の違いによって、統合して実施できる場合と分けた管理を行う場合があり、経済産業省のガイドラインで述べられている「ISMS との推奨」のようにはいかないことがアンケート調査で確認できた。後者の場合について、どのように管理するのが良いかについては更に検討が必要であると考える。
謝辞

本研究にあたり、アドバイスや支援を頂きました情報セキュリティ大学院大学の関係者各位、関係組織の関係者の皆様に、感謝の意を表す。

参考文献
図 6：情報資産の機密度と営業秘密の秘密度との対応関係について、どのような考えをお持ちですか。(ｎ＝367)
発見事項と考察：
企業において「別体系での区別」及び「秘密度に機密度を区別させる必要がない」と回答した企業が 39％である。
また、「秘密度に機密度を対応させる必要がある」と回答した企業については、機密度と秘密度を一体化させて、管理を合理化（営業秘密管理性を担保）したいとの思いがあると考える。

ⓒ 2014 Information Processing Society of Japan

1) 経済産業省、「営業秘密管理指針(平成 25 年 8 月 16 日改訂)」、
2013 年 8 月 26 日アクセス、
http://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/111216hontai.
pdf2) 経済産業省、「営業秘密に係る刑事的措置の見直しの方向性について」(平成 21 年 2 月)
3) 「経済産業委託事業：NPO 日本ネットワークセキュリティ協会」、「情報資産とは」〈http://www.jnsa.org/ikusei/basis/02_01.html〉
2013 年 9 月 5 日アクセス
4) JIS Q 27002：2006(ISO/IEC 27002：2005)、〈http://kikakurui.com/q/Q27002-2006-01.html〉、2013 年 9 月 5 日ア
クセス pp.19-225) 土居範久監修、「情報セキュリティ教本(改訂版)」、IPA 実教出版、2011 年 11 月
6) 経済産業省、「営業秘密の管理に関するアンケート調査と判例調査の結果分析」、2009 年 9 月
7) 内閣官房情報セキュリティセンター、「政府機関の情報セキュ6情報処理学会研究報告
IPSJ SIG Technical Report

Vol.2014-EIP-63 No.7
2014/2/21

リティ対策のための統一管理基準」、2011 年 4 月 26 日
8) 岡野靖丈、「営業秘密に関する情報セキュリティ管理 改正不正競争防止法など相次ぐ立法措置と企業の課題」、野村総合研究所
9) 原田季栄、半田哲夫、「ラベルに基づくセキュリティの限界とその補完：TOMOYO Linux の設計思想と試み(<特集>Linux のセキ
ュリティ機能)」、情報処理 Vol.51 No.10、2010 年 10 月 15 日、p35
pp.1276-1277
10) 経済産業省、「営業秘密に係る刑事的措置の見直しの方向性について」、2008 年 12 月
11) 鈴木武俊・真田大志、「情報セキュリティポリシー運用における課題と対策」UNISYS TECHNOLOGY REVIEW 第 98 号、2008年 11 月
12) 大木栄二郎、田村仁一、清水惠子、佐野智己、芹沢大地、「経営に役立つ情報セキュリティ会計の提案」、情報セキュリティ・マ
ネジメント学会誌、第 25 巻第 2 号、2011 年 9 月
13) 船越洋明、「特集[文書管理から始める情報資産管理]重要情報資産の所在管理のポイント―ISO27001 認証取得企業の実例から―」、野村総合研究所、 IT ソリューションフロンティア Vol.28
No.5 、2011 年 5 月、p914) 経営法友会 法務ガイドブック等作成委員会、「営業秘密管理ガイドブック 全訂第 2 版」、商事法務、2010 年 11 月 13 日

ⓒ 2014 Information Processing Society of Japan7