KYBにおける技術情報漏えい防止活動の取り組み

紹介

KYBにおける技術情報漏えい防止活動の取り組み
佐１

藤晃

はじめに彦

３

ISO27001の概要

昨今，新聞やニュースで，故意による個人情報の流出やサーバへの不正アクセスによる仮想通貨の流

3. 1 ISO27001の特徴
ISO27001は，当社で認証を取得しているISO9001

出など，情報漏えいに関する事故が多く報じられている．もし，KYBで情報漏えい事故が発生し，新聞やニュースなどに取り上げられた時，お客様や取引先様にご迷惑，ご心配をおかけする事態になり得る．
本報では，当社が取り組んでいる技術情報漏えい防止活動について紹介する．

（品質マネジメントシステム）やISO14001（環境マネジメントシステム）と同様のマネジメントシステムの規格である．ISO27001にもISO9001，14001と同じくPDCAサイクルの構築，適用範囲の決定，リーダシップの関与，文書化の要求事項が定められている．しかし，ISO9001や14001との違いは，本文である要求事項の他に，情報セキュリティを実現するうえで必要な運用の具体的方策が，詳細管理策の附属書Aに示されている（図 １ ）．

２

本活動の背景近年，IT化の進展，工場の海外進出，外部からの不正アクセスや内部関係者による不正な情報の持出しなど，情報を脅かすセキュリティリスクは多岐にわたっている．当社においてもパソコンや携帯電話などの紛失による社外へ情報が漏えいする可能性が懸念される．
企業は様々な機密情報を取り扱っているが，製造業である当社は，大半が技術的な情報が書かれた資料（以下技術情報）を扱っている．技術情報は，「当社の技術的優位性を保つために有効で，関係者しか知り得ない技術的な情報」である．これは，関係者以外に非公開で，全従業員が会社として職場として守るべき情報である．
図 １ ISO27001の構成
もし，技術情報の流出が発生した場合，お客様や取引先様からの信用失墜につながりかねない．更に，情報セキュリティとは，情報の機密性注1），完全性注2）及び可用性注3）を維持しなければならないと競合会社に対する競争力の低下を招く重大な事象とISO27000：2014に定義されている．
なる．本活動は，国際規格であるISO27001に則り実施しているため，技術情報以外の個人情報や営業

注 １）機密性：情報を許可されていない第三者へ漏らさ情報など当社が保有している全ての企業秘密に適用することができる．

ない，触れさせないこと
注 ２）完全性：誤った情報にしない，させないこと
注 ３）可用性：使いたいときにすぐに情報を使えるようにすること

3. 2 情報セキュリティマネジメントシステム
情報漏えいリスクに対して，効果的かつ，効率的― 56 ―

KYB技報図２第59号

2019―10KYBグループ各社への展開概要に対処するためには，組織で情報セキュリティマネジメントシステム（以下ISMS注4））を導入，構築することが不可欠である．これを具体的に言うと，会社として企業秘密を守ることを宣言する企業行動指針，PDCAサイクルを実行するための組織と仕組みを構築し，情報漏えいが発生しない状態を維持するために，ルールに従い運用を行い，適正に運用されているか定期的に確認，改善を実施し，新たなリスクの評価と対応をしていくことで，継続的に情報セキュリティのレベルを向上させることである．
注 ４）ISMS：Information Security Management System

3. 3 情報セキュリティ体制を構築する要求事項
ISO27001の要求事項は，図 ３ に示すように組織がPDCAサイクルを実行するためには何をするべきか示されている．

定め，規程類や手順書を整備，運用し，その実施状況を確認し，必要に応じた改善を行うことである．
⑵人的安全管理策
従業員に対して，秘密保持契約の締結や教育，訓練を実施することである．
⑶物理的安全管理策
社屋や事務所への入退館（室）の管理，外部からの侵入による盗難防止などの措置を行うことである．
⑷技術的安全管理策
技術情報や，それを取り扱う情報システムへのアクセス制御，監視など技術的な対策を行うことである．

４

当社の技術情報漏えい防止活動

図 ２ に示すように当社では本活動を2015年度から開始した．活動は当社国内拠点（本社，支店，各工場）を皮切りに，国内関係会社，海外関係会社の順に展開を進めている．また，当社の取引先様に対しても情報漏えい防止活動の展開を行っている．本活動の構築は表 １ に示す順で行う．
表１⑴

方針と活動体制の整備⑵

決まりごとの構築と遵守の徹底

ISO27001要求事項の構成⑶

従業員教育体制の構築

情報セキュリティを運用するための管理策⑷

決まりごとに基づいた運用とその確認⑸

新たな脅威への対応とISMSの有効性評価⑹

取引先様管理体制の整備と運用

図３

3. 4

本活動の構築

附属書Aの詳細管理策は，組織が情報セキュリティを実現するために，組織的，人的，物理的，技術的な観点１）から自社の管理策を決定し，実施するための具体的な方策が示されている．
⑴組織的安全管理策
技術情報に対して，従業員の責任と権限を明確に

4. 1 方針と活動体制の整備⑴方針の整備
技術情報漏えい防止活動を当社として取り組む姿― 57 ―

KYBにおける技術情報漏えい防止活動の取り組み

勢を社内および社外へ示すために，最上位の方針として，「技術情報セキュリティ方針」を整備した．

技術情報の返却と，退職後に当社の情報を漏えいしないことが記載されている誓約書への記入を確認した．

⑵活動体制の整備
技術情報漏えいに対する従業員の意識を高め，会社全体で活動を行うために，当社では図 ４ に示すよ4. 3 従業員教育体制の構築⑴技術情報漏えい防止の基本的な考え方
自らが所有している技術情報を誰に対して伝える

うに技術情報管理組織を構築した．
技術情報管理委員会は，本社機能部門，各工場，国内関係会社から選出された委員で構成されている．

必要があるのか，誰から技術情報を隔離する必要があるのか，もし技術情報が漏えいしたときにどのような影響を及ぼすのかを考慮した上で，運用方法を活動推進キーマンは，各部門から選出してもらい，部門への本活動の展開，啓蒙活動を行っている．
監査責任者と内部監査者は，独立性を担保するために技術情報管理委員会から独立した者を選出する．

決める必要がある．
⑵従業員向け教育内容の検討
前述の基本的な考え方に基づき，従業員が当社の技術情報を漏えいさせないように意識を高め，決まり事を理解，遵守してもらうために，技術情報漏えい防止規程類に従い，「技術情報保護 ９ つのルール」を定義した（表 ２ ）．以下に各項目の実施目的とポイントを記載する．
表２

技術情報保護 ９ つのルール

項目

図４

技術情報管理組織

内容①

発行部門と受取部門の義務②

機密分類および識別表示③

技術情報の開示および回収管理④

可搬記憶媒体の管理⑤

持ち出し管理⑥

クリアデスク・クリアスクリーンの実施⑦

技術情報の保管・保存⑧

技術情報の消去・廃棄⑨

技術情報の流出が発覚したときは

4. 2 決まりごとの構築と遵守の徹底
当社で扱う技術情報の定義を行い，会社として，職場として遵守するべき技術情報取扱のルールを整備した．更に，ルールを違反した際の罰則を周知し，①発行部門と受取部門の義務遵守を徹底した．
⑴技術情報漏えい防止規程類の整備
当社では，ISO27001の要求事項，詳細管理策（附 技術情報を取り扱う役割に応じて，実施事項を明確にするために，文書を発行する人（部門）を「発行部門」，文書を受け取る人（部門）を「受属書A）と社内規程類を確認し，ISOに対応できていない部分に対して規程類の整備を実施した．
実施内容としては技術部門では，技術情報の管理取部門」として，それぞれの役割での実施事項を定義した．また，文書を他部門へ再配付する時に発行部門に確認することを明確化した．

体制についての規程と技術情報の取扱規則を制定し，その他機能部門である法務，総務，人事，IT部門では規程類を確認し，修正，追加を行った．

②機密分類および識別表示 作成した技術情報を全ての従業員が同じように取扱を行えるようにするために，作成する文書に⑵従業員や退職者からの漏えい防止の徹底
当社入社時に，新入社員へ社内の秘密を保持し，第三者に漏えいさせないこと，及びルールに違反し機密レベル，開示範囲により「社外極秘」，「関係者外秘」，「社外秘」，「公開情報」と機密分類を明確化し，文書に表示するように定義した．（表 ３ ）た場合には罰則が適用されることを誓約書などで合意していることを確認した．
また，退職者からの情報漏えいを防止するために，③技術情報の開示および回収管理 社内，または社外関係者に開示した技術情報の所在を明らかにするために，技術情報を配付する― 58 ―

KYB技報
表３

開示範囲

社外極秘

当社内でも特に限定された従業員

社外秘

当社全従業員公開情報

2019―10⑶従業員教育の実施
前項で定義した，「技術情報保護 ９ つのルール」を従業員へ周知，徹底させるために，当社に従事す識別表示と開示範囲

識別表示

関係者外秘

第59号

る全従業員へ教育を実施した．教育の方法は表 ４ に示す方法で行い，ルールを周知徹底した．

当社内関係者，秘密保持契約を締結し表４た当社外関係者

従業員への教育方法と対象者

教育方法

全ての者

事務局が講義時は配付先の記入を行うようにした．また，社外に配付した技術情報の配付・回収管理を徹底するようにした．
④可搬記憶媒体の管理
 可搬記憶媒体から，意図せずに技術情報が流出

対象者
活動推進キーマン，
定期採用新入社員【PC環境あり】

eラーニング

幹部従業員，一般従業員，パート従業員，派遣従業員【PC環境なし】
紙資料（抜粋版）
一般従業員，パート従業員，配付
派遣従業員

することを防止するために，USBメモリなどの可搬記憶媒体の使用を原則禁止，個人所有のUSBメモリの使用を禁止した．また，やむを得ず使用する時は会社が許可したUSBメモリのみ使用することができることを明確に定義した．
⑤持出し管理 技術情報を社外へ持ち出した時に情報漏えいを防止するために，添付データがある電子メールを社外の関係者へ送付する時のパスワード付加や，社外の輸送業者を使い重要文書や試作品などを送る時の実施事項を定義した．
⑥クリアデスク・クリアスクリーンの実施
 関係者以外に情報を不用意に見られないようにするために，従業員が帰宅，外出する時は，技術情報が記載されている書類を机上に放置しない，パソコンはシャットダウンすることを定義した．

4. 4 決まりごとに基づいた運用とその確認「技術情報保護 ９ つのルール」が，各部門で実施されているか運用状況を確認するために，定期的に部門へ点検を実施している．点検は，情報の取扱状況について事前に被点検部門の活動推進キーマンが職場の点検を行い，その結果に基づき監査者は実際に事務所などの現場に出向いて取扱状況の点検を実施する．もし，不適合事項や改善の機会が抽出された場合は，被点検部門は速やかに計画を立案し，改⑦技術情報の保管・保存 保管，保存されている技術情報の盗難，紛失を善を実施する．その中でも情報漏えいリスクが高く，不適合事項があれば，改善後に監査者による再点検防止するために，電子データや書類などの紙媒体など異なる形態の情報を，機密分類に基づき適切な場所と方法で保管，保存することを定義した．
⑧技術情報の消去・廃棄を実施することもある．
4. 5 新たな脅威への対応とISMSの有効性評価⑴新たな脅威への対応
ルール運用時に，環境の変化による脅威や新たな 技術情報を確実に廃棄，再利用できないようにし，漏えいを防止するために，作成した技術情報リスクとなり得る項目を抽出して対応するために，リスクアセスメントを実施している．もし，新たなを廃棄時に情報を読み取られないようにシュレッ
ダなどで破砕，破壊処分を行う．また，社外に廃棄を委託する場合は，廃棄証明書を取得するように定義した．

リスクが抽出された場合は，事務局でリスクに対して評価を行い，リスクを低減させる対策を行う．
⑵ISMSの有効性評価
会社として技術情報漏えい防止活動が有効に機能⑨技術情報の流出が発覚したときは
 万が一技術情報漏えい事故が発生した時の対応を正確，かつ迅速に行い，同様の事故を再発防止しているか，有効性評価と呼ばれる手法を用いて評価を実施している．有効性評価は，本活動を行う中で過不足（やりすぎな部分，足りない部分など）はするために，事故発生時は速やかに上司と事務局へ報告するようなルールを定義した．

無いか，ISMSの運営に対する課題は無いかなどを
抽 出 す る こ と で あ る． こ れ に よ り 次 年 度 以 降 に契約時誓約書の 日本語が理解できない外国人
読み合わせ

従業員

各工場人事部門 中途採用従業員，不定期採用パート
から資料配付― 59 ―従業員，派遣従業員

KYBにおける技術情報漏えい防止活動の取り組み

ISMSが有効に機能していることを確認でき，部門での効率的な運用へつなげていくことができる．ここで課題が抽出された場合，有効に機能するように当社のISMSの改善を行う．
4. 6 取引先様管理体制の整備と運用
図面や技術情報を開示している当社の取引先様から情報漏えいが発生しないように，取引先様にも技術情報漏えい防止活動の展開を行っている．これにより取引先様から情報が漏えいするリスクを低減させることができる．
⑴取引基本契約書の改定
既存の取引契約を確認し，情報保護の項目などに付し，調査を実施した．この調査票で判定点が芳しくない取引先様に対しては，指摘と改善を依頼した．

５

おわりに本活動を通して，従業員に当社の保有する技術情報が重要な財産であることを伝えることができた．
2016年度より全従業員に対して教育を実施してから，現在のところ重大な情報漏えい事故は発生してなく，本活動が効果的に機能していると考えている．

今後は本活動を海外関係会社にも展開し，当社グループから情報漏えい事故を発生させないように引一部不足部分があったので契約書の改定を実施した． き続き活動を継続していく．
新規取引先様は改定した契約書で契約を行い，既存の取引先様は改定部分の覚書の締結を行った．
⑵情報の取扱状況に関する調査
当社取引先様の情報の取扱状況を把握するために，「機密情報の取扱に関する調査票」を取引先様へ配
著

参文

献

１ ）個 人情報保護委員会：個人情報保護に関する法律につ

者 佐藤

考晃彦

2008年入社．技術本部技術企画部
技術標準化推進室．
基盤技術研究所，電子技術センターを経て現職．技術情報漏えい防止推進業務に従事．

― 60 ―

いてのガイドライン（通則編），pp 88-98，（2019年 １ 月）.