組織における内部不正防止対策

独立行政法人 情報処理推進機構
情報セキュリティ分析ラボラトリー
ラボラトリー長 小松文子

目次
1. 内部不正インシデントの状況– 内部不正事例– 内部不正の状況– 内部不正の特徴

2. 内部不正を防ぐ––––

内部不正者への対策方針
トップの関与・体制整備
内部者対策
内部不正に強い組織の構築

3. ガイドライン•

不正競争防止法（営業秘密保護）、内部不正防止ガイドライン

Copyright © 2015 独立行政法人 情報処理推進機構2

1(1) 相次ぐ内部不正事件
報道月

事件の概要

2015年
1月

家電量販店エディオンの元社員が、販売戦略に関する営業秘密を不正の取得したとして不正競争防止法違反（営業秘密の不正取得）の容疑で逮捕された。

退職者

転職先で役
立てたかっ
た

2014年
7月

株式会社ベネッセコーポレーションの顧客データベースを保守管理するグループ会社の業務委託先の元社員が、大量の個人情報を流出させたとして不正競争防止法違反の疑いで逮捕された。

委託先社員
SE

金銭の取得

5月

国立国会図書館のネットワークシステム保守管理の委託先である株
式会社日立製作所の社員が、権限を悪用し入札情報等を不正に入手し、自社の入札活動に利用したとして公契約関係競売等妨害の容疑で刑事告発され、懲戒処分となった。

委託先社員
SE

受注活動を
有利にした
かった

5月

日産自動車株式会社の元社員が退職する直前、同社のサーバにアクセスし、販売計画など営業上の秘密を不正に得ていたとして不正競争防止法違反の疑いで逮捕された。

退職者

金銭の取
得？（容疑
否認）

3月

株式会社東芝の業務提携先であるサンディスク社の元社員が、東芝の機密情報を不正に持ち出し、転職先の韓国SKハイニックス社に提供したとして、不正競争防止法違反の容疑で逮捕された

退職者,技術
者

処遇（給与
等）の不満

2月

金銭の取得
金融関連の保守管理業務を委託している会社の元社員が、取引デー 委託先社員、技術者
タから顧客のカード情報を不正に取得し、偽造キャッシュカードを作成・所持していた容疑で逮捕された。
（報道により公表された事例をIPAがまとめたもの）

Copyright © 2015 独立行政法人 情報処理推進機構

不正行為者

動機

3

事例1

元社員による営業秘密不正取得～外部攻撃（遠隔操作）と内部者不正の組み合わせ～2015年1月、家電量販店エディオンの元社員が退職前に事務所のパソコンに遠隔操作ソフトをインストールし、転職先の上新電機の業務用パソ
コンから遠隔操作ソフトを通じて不正に営業秘密にあたる情報を取得したとして不正競争防止法違反（営業秘密の不正取得）の容疑で逮捕された。
エディオン
退職後90日間アカウントが有効

2つのルート※元社員は2013年12月にエディオンを退職後、・遠隔操作
2014年1月に上新電機に転職。
・元部下を手引き
遠隔操作

上新電機
元社員

②転職先の上新電機から遠隔操作で営業秘①退職前にパソコンに密を不正取得
遠隔操作ソフトをイン
ストール

4

元社員の
20年来の
元部下

メールで転送取得した営業秘密の一部は上新電機内で参照されていた

事例2

委託SEによる個人情報漏えい

2014年7月、株式会社ベネッセコーポレーションの顧客データベース
を保守管理するグループ会社（株式会社シンフォーム）の委託先の元社員が、顧客の個人情報を名簿業者へ売り渡す目的で、記憶媒体にコピーし流出させたとして不正競争防止法違反の疑いで逮捕された。
2014年9月25日時点で報道より得られた情報を元に記載

流出した個人情報は
約３５０４万件

業務被害・特別損失 260億円（2014年度第1四半期）
・役員2名が辞任③複数の業者へ転売

ベネッセコーポレーション
顧客データベース

保守管理
業務担当

名簿業者

個人情報

厳重に管理

②顧客名簿業者に販売付与されたIDでアクセス①大量の顧客情報をダ
ウンロードしスマートフォンにコピー5

事例3

海外競合企業への技術情報の流出

2014年3月、東芝のフラッシュメモリーの研究データを不正に持ち出し、転職先である韓国の半導体大手SKハイニックスに提供したとして、東芝と業務提携していた半導体メーカー サンディスクの元技術者が、
不正競争防止法違反（営業秘密開示）容疑で逮捕された。
・2014年12月に和解金約300億円で和解・2015年3月 元技術者に懲役5年、罰金300万円

不正競争防止法に基づく賠償請求 約1100億円
東芝

SKハイニックス
サンディスク

処遇に不満

業務提携

NAND型フラッシュメモリ研究データ（営業秘密）③研究データを使用して製造②研究データを提供する見返りに好待遇で転職①研究データをコピーし、不正に持ち出して退職

6

(2)内部不正の状況• インシデントの発生源として最も多いと挙げられたのは
現従業員35% 元従業員30% ハッカー24%[グローバル情報セキュリティ調査®」2015• 半数以上の企業が「内部犯行による情報漏洩リスク」を重視 [JIPDEC:企業IT利活用動向調査2015]• 情報漏えいの“敵”は社内にあり「内部犯行」「うっかりミス」に懸念 [TechTargetジャパン:企業の情報漏えい対策に関する読者調査]• 漏洩の疑い、過去5年間で企業の1割が経験 ～ 漏洩防止への取り組みは5割にとどまる ～ [帝国データバンク]• 営業秘密の流出者は、中途退職者が最も多く、流出先は国内競合他社が多い [METI:「人材を通じた技術流出に関する調査研究報告書（2013年3月）]

Copyright © 2015 独立行政法人 情報処理推進機構

7

(2)内部不正の状況
内部者による技術情報流出の実態•ビジネス上有用なノウハウや技術等の営業秘密の流出は、従業員によるものが多い•流出ルートは、退職者による漏えいが最も多い。
•国内外の競業他社へ漏えいしている恐れがある。
営業秘密の漏えい先

営業秘密の漏えい者※複数回答の上位8項目

50.30%

中途退職者（正社員)による漏洩

46.5%
14.1%

国内の競業他社以外の企業
10.90%

6.20%

定年退職者による漏洩

6.20%
5.70%

10.8%

外国の競業他社

9.30%

中途退職者（役員）による漏洩

契約満了後又は中途退職した契約社員による漏洩
取引先からの要請を受けての漏えい

国内の競業他社

26.90%

現職従業員等のミスによる漏洩
金銭目的等の動機をもった現職
従業員による漏洩
取引先や共同研究先を経由した漏洩※過去５年間で「明らかな漏えい事例」が１回以上あったと回答した企業での流出先

3.8%

外国の競業他社以外の企業

17.8%

わからない

(n=185)(n=193)

18.4%

その他

5.70%

0%

10%

20%

30%

40%

50%

（出典）経済産業省:「人材を通じた技術流出に関する調査研究報告書（2013年3月）」
Copyright © 2015 独立行政法人 情報処理推進機構

8(2) 内部不正の状況
被害額と平均解決日数• サイバー攻撃の年間平均被害額では内部不正が最も高い[2014 Global Report on the Cost of Cyber Crime]− 内部不正 約21.4万ドル− DoS攻撃 約16.6万ドル,Webベースの攻撃 約11.6万ドル•

サイバー犯罪の犯行者の内訳は、外部者が72%であるが、被害の大きさは、外部は54%、内部者によるものは46%と拮抗 [US Cyber Crime Survey2014]• サイバー攻撃の解決に要する平均日数は、内部不正が最長で、58.5
日、最短はウィルス/ワーム/トロイの木馬で1.2日
項目
サイバー攻撃の平均解決日数（解決にかかる1日当たりの平均費用）
内部不正の平均解決日数
Copyright © 2015 独立行政法人 情報処理推進機構

海外（7カ国275社）

日本
（31社）

31日
25日
（約2万ドル/日 （約2百万/日）
58.5日

39.5日
9

(2)内部不正の状況：75%が法的措置を取らず
その理由は被害の状況を十分把握できなかったから2014 US State of Cybercrime Survey
サイバー犯罪に対し法的措置を取らなかった理由

2013
%

2012
%

2011
%

被害の程度が起訴を保証するのに十分
でない

34

36

40

起訴するのに、証拠がない／情報が不
足している

36

36

34

犯罪を犯した個人を特定できなかった

37

32

37

ネガティブな公開（評判）を懸念

12

9

14

内部（法的措置や法執行なし）（自社の？）信頼を懸念

8

7

9

内部（法的措置あり）

競合他社がこの事故で優位になること
を懸念

7

6

7

外部（法執行に通知）

法執行機関より事前にネガティブな回
答を受けた

8

5

6

この事故を報告できるかわからない

6

5

4

法執行機関より、事故が国家安全保障に関連するとされた

3

4

4

その他

8

12

11

わからない

21

28

20 10

12%
12% 3%
10%10%

内部 75%
75%

外部（民事訴訟を起こす）
出典：2014 US State of Cybercrime
Survey、2014.4（PWC, CERT, CSO
Magazine, US Secret Serviceによる）

Copyright © 2015 独立行政法人 情報処理推進機構

(2)内部不正の状況
公表されないことが多い• 組織の事業の根幹を脅かす事件が報道されている。
しかし、公開されている事件は氷山の一角
 裁判に至らないものや内部規定違反等の事件も多く存在する• 組織内部で処理され、外部に公開されることは稀（情報を公開したくない）
 会社の信用に関わる、風評被害が発生する恐れがある 関係者との調整がつかない• 他の組織との情報共有が困難 自らの経験をもとに独自の対策を実施している

Q 有益な対策を検討する事例として情報を公開する可能性はありますか？
届出を行う公的または中立的な機関が「個人や企業名等が特定できない状態での公開」をすることで関係者から合意が得られた場合

公開する
9%
わから
ない
16%

どちらとも
いえない
20%

公開を検
討する
24%

公開しない
31%

（経営者、管理者を対象としたIPAのアンケート調査より）
Copyright © 2015 独立行政法人 情報処理推進機構

11

(3)内部不正の特徴のまとめ• 不正者（内部者）– 職員、退職者、委託先等職員→権限を付与された者の内部不正を防ぐ• 動機 → 抑止対策
– 金銭や転職– 心理的なもの（恨み、あてつけ等）• 悪意の無い不正→守れるルール• 組織 → インセンティブ– 自ら発見することが少ない、公表しない

Copyright © 2015 独立行政法人 情報処理推進機構

12

2 内部不正を防ぐ：
内部不正者への対策方針– 内部不正発生に対する環境整備• 動機：犯罪心理学を援用（抑止効果）––

不正のトライアングル
状況的犯罪防止• 職場環境の整備

Copyright © 2015 独立行政法人 情報処理推進機構

13

2. 内部不正者への対策：動機を抑止
不正のトライアングル• 「動機・プレッシャー」「機会」「正当化」の３要因が揃った時に発生
動機・
プレッシャー
不正行為に至るきっかけ、原因。処遇への不満やプレッシャー（業務量、ノルマ等）など。
例.

人事に不満がある
金銭問題を抱えている

×

×

機会

正当化

不正行為の実行を可能、または容易にする環境。
IT技術や物理的な環
境及び組織のルールなど。

自分勝手な理由づけ、倫理観の欠如。都合の良い解釈や他人への責任転嫁など。

システム管理者権限
持ち出し可能な環境

××

・正当に評価がされないから・情報窃取を繰り返しても気づかれない。

※ ドナルド・R・クレッシー（米国の組織犯罪研究者）による
Copyright © 2015 独立行政法人 情報処理推進機構

14

2. 内部不正者への対策
内部不正防止対策は３要因の低減• 組織の対策は、「動機・プレッシャー」と「機会」の低減を図る。
動機・プレッシャー

機会正当化

３要因を低減職場環境の整備等、不満の解消

内部不正防止対策
技術対策
アクセス管理、ログ管理、
暗号等

不正行為の抑止（必ず見つかる、利益にならない）

Copyright © 2015 独立行政法人 情報処理推進機構

発見
モニタリング、通報制度等

組織対策体制、ルール、コンプライア
ンス等

・・・

15

2.内部不正者への対策:
状況的犯罪予防の考え
都市空間における犯罪予防の理論。監視者の設置などによって外部からのコントロールが可能な「環境」を適切に定めること
で、犯罪機会・動機を低減する犯罪予防策。直接的に犯罪を防止する対策及び間接的に犯罪を防止及び抑止する対策を含む（Cornish & Clarke,2003）
1. 犯行を難しくする（やりにくくする）
対策を強化することで犯罪行為を難しくする「機会」の低減

2. 捕まるリスクを高める（やると見つかる）
管理や監視を強化することで捕まるリスクを高める

3. 犯行の見返りを減らす（割に合わない）
標的を隠したり、排除したり、利益を得にくくすることで犯行を防ぐ

4. 犯行の誘因を減らす（その気にさせない）
犯罪を行う気持ちにさせないことで犯行を抑止する

5. 犯罪の弁明をさせない（言い訳させない）※
犯行者による自らの行為の正当化理由を排除する
Copyright © 2015 独立行政法人 情報処理推進機構

正当化の低減16

3．内部不正対策
1. トップの関与
2. これだけはやってほしい基本対策
3. 内部者（退職者、管理者）の管理
4. 委託先の管理
5. 職場環境の整備
6. 早期発見
7. 悪意のない情報漏えい
8. 事後対応
Copyright © 2015 独立行政法人 情報処理推進機構

173.1 トップの関与
内部不正対策の管理体制
 経営者による意思決定が会社全体に伝わり、実施状況が把握できる管理体制を構築する。
 企業の規模により体制は柔軟に検討する
内部不正対策の体制

小規模の場合は、経営者が兼務

意思決定を行う最高責任者
基本方針の策定、統括責任者の任命

最高責任者
（経営者）
選定・監督

対策状況報告

統括責任者（経営者又はCISO等の兼任も想定）
指示・監督体制の統括的な責任者
具体的な対策の実施、推進

対策状況報告

各事業部門
部門責任者

部門責任者

部門責任者

部門責任者

情報システ
ム部門

営業部門

開発部門

総務部門

Copyright © 2015 独立行政法人 情報処理推進機構

各部門で任命した責任者
所属部門での実施策の実行

18

3.2

これだけはやってほしい
基本対策 1/2• 重要情報の特定
 少なくとも重要情報と一般情報の２つに分けて管理する。（情報の格付け
区分)
 重要度ごとに取扱いを定め、定期的に見直す。（取扱範囲、消去方法等）
 従業員にわかるように目立つ場所に「機密情報」等を表示する。（ラベル付け）※営業秘密として不正競争防止法の法的保護を受けるためにも重要技術やノウハウ等の情報が「営業秘密」として不正競争防止法で保護されるためには、秘密管理性、有用性、
非公知性の３要件を満たすことが必要。

営業秘密管理指針
秘密管理性の要件の趣旨は、なにが営業秘
密かを社員に明らかにすることで、不足の嫌疑を回避すること。
企業が特定の情報を秘密として管理していることを社員が容易に認識できる「認識可能性」がポイント。
2015年1月

長期間の企業努力で集積した技術情報や顧客情報、自社の強みになる情報資産等

全部改訂

持出禁止

「秘」などの表示
Copyright © 2015 独立行政法人 情報処理推進機構

重要情報の管理者（部門責任者等）

19

3.2 これだけはやってほしい
基本対策 2/2①適切なアクセス権限管理
Need to Know
Least Privilege②物理的管理重要情報の物理的な保護
モバイル機器や記録媒体の管理、ＩＣカード、バイオ
メトリックス認証㊙

持ち込み禁止承認、記録

機密レベル高承認済

重要情報へのアクセスを制限
持ち出し

顧客データ
ベース等

機密レベル低操作ログ③ログの記録と定期的な監査・監視④内部不正対策の継続した見直し、改善
Copyright © 2015 独立行政法人 情報処理推進機構

20

3.3

内部者対策：退職者

対策ポイント： ①退職前の監視強化と②退職時の手続き••

経済産業省の調査※によると、営業秘密の漏えいは中途退職者が最も多い。
転職や契約期間の終了など従業員が退職するタイミングに特に注意が必要。

 危険要因
重要な情報にアクセスできる

在職中に取得した入館証やアカウントが使える

退職後の秘密保持策や競業避止対策が未整備
競合他社

情報を持ち出し退職
重要情報監視ができて
いない
退職者

退職後
退職前
Copyright © 2015 独立行政法人 情報処理推進機構※「人材を通じた技術流出に関する調査研究報告書（2013年3月）」

21

3.3 内部者対策：退職者①退職前の監視強化
退職の数週間前からPC等をシステム管理部門等の管理化に置くことが望ましい。なんらかの形で監視されていると意識させることで不正行
為を抑止する。
 退職する従業員の電子メールのやりとりや、USBメモリへのコピー、プリントアウト等による情報の持ち出しを、操作ログをとり監視する。
 重要な情報へのアクセスやUSBメモリの利用を制限する。

電子メール
アクセス制限ログ

退職予定者

Copyright © 2015 独立行政法人 情報処理推進機構

外部記憶媒体へコピー

プリントアウト22

3.3 内部者対策：退職者②退職時の手続き
従業員が退職後に重要情報を持ち出すことを防ぎ、知りえた重要情報が競合他社に渡らないようにするための措置を取る。
・ 入館証の回収、貸出機器の返却
・ 速やかな情報システムのアカウント削除 アカウント削除漏れがないよう、人事システムと連携して実施することが望ましい。
・ 退職後に重要情報が競合他社に渡らないよう秘密保持契約(誓約書を含む)を結ぶことが望ましい。さらに、非常に重要な情報を扱っていた従業員が競合相手に転職しないよう、競業避止義務契約を締結する。ただし、職業選択の自由を侵害しないよう適切な範囲に設定する必要がある。
返却
重要情報を客観的に特定できる記載が必要

入館証

秘密保
持契約
企業
Copyright © 2015 独立行政法人 情報処理推進機構

退職者

23

3.3

内部者対策：システム管理者
対策ポイント： ①適切な権限管理と②システム管理者の監視システム管理者は多くの権限を持つため、不正行為を働こうとすると重大な事故を引き起こしかねない。

 危険要因権限が一人に集中システム管理者（業務委託の場合も含む）

特権の使用が限定されていないシステム管理者が特定できない
機器管理
共有アカウント
ID：administrator

業務システムCopyright © 2015 独立行政法人 情報処理推進機構

×アカウント管理 ･･･ ログ管理

システム管理者の監視ができていない

操作履歴

24

3.3 内部者対策：システム管理者①適切な権限管理 （ルール・運用）
・特定のシステム管理者に権限が集中しないように権限を分散する。
 システム管理者が一人の場合は、操作履歴をシステム管理者以外の者が確認するといった方法でリスクを低減させる。

・付与する権限は必要最小限とする。
 重要情報へのアクセス権限を付与すべき者を必要最小限とする。また、付与する権限を必要最小限とし、権限を付与する期間も必要な期間に限って行う。
 アクセス権限は定期的に見直す。

・システム管理者が相互に監視し、不正を行うことが困難な環境を作る。
 複数人で立会い作業する。
 作業内容や作業日時等が記録された作業報告を別の管理者が確認する。
操作
履歴

チェック

作業
報告
Copyright © 2015 独立行政法人 情報処理推進機構

システム管理者

25

3.3 内部者対策：システム管理者①適切な権限管理（システム）• システム管理者ごとにIDを割り当て、不正行為の特定を可能とする 共有アカウントの廃止• 特権を用いた操作を限定する
 一時的な特権IDの払い出しや、作業の申請・承認プロセスの厳密化等、特権を必要とする作業以外では特権を用いて操作できないようにする。
申請
作業内容
作業時間
対象サーバ
・・・

ID管理システム

特権ID申請特権ID登録承認者

システム管理者

ID配信（プロビジョ
ニング）

保守作業
管理対象システム
Copyright © 2015 独立行政法人 情報処理推進機構

26

3.3 内部者対策：システム管理者②システム管理者の監視•システム管理者のアクセス履歴や操作履歴を記録し、システム管理者以外のものが定期的に監査し異常な事象の発見に努める。
 総括責任者、委託元の責任者、システム管理者の上司などがチェック
 作業申請外のアクセス、定期作業外の操作 等•抑止の観点から、業務担当者にログが記録されていることを通
知する。
重要情報

通常と異なる
事象

定期的に
チェック

アクセス履歴操作履歴

・多量のファイルへのアクセス・業務範囲外のファイルへのアクセス
・大容量のデータコピー 等

該当者へ事象を確認、または監視強化する
Copyright © 2015 独立行政法人 情報処理推進機構

27

3.4

委託先管理
重要情報の取り扱いに関する委託先管理契約への安全管理事項の盛り込みシステム運用を外部に委託する企業が増加する中、委託先での管理体制や管理実態を把握できないケースもあり、委託先社員による事件も発生している。

 危険要因契約前及び契約期間中、委託先の体制やセキュリティ対策をチェックできていない。

重要情報の安全管理に必要な事項が契約に盛り込まれていない

セキュリティ管理策
サービスレベルログの提供 等

クラウド
サービス

委託元
委託先
業務委託
重要情報

Copyright © 2015 独立行政法人 情報処理推進機構

重要情報の受け渡し、廃棄・削除の手続きが定めら
れていない
28

3.4 委託先管理①重要情報の取扱いに関する合意
委託元

委託先（受託者）

 委託前、委託先の体制や規定の点検等により、重要情報の取扱いについて確認する。
 委託契約では、必要かつ適切なセキュリティ
対策ついて、委託先と同意した内容を具体化し委託契約を締結する。
 契約期間中、安全管理が十分かを定期・不定期に確認する。
 再委託時、委託元への事前承認を必要とする。また、契約期間中の確認や監査の実施
体制を明確にする。
 事後対策の連携を契約等で明確化しておく。

 重要情報を管理する仕組みをつく
り、対策を行う。
 対外的なアピール材料• 外部のセキュリティ監査を定期的に実施し、監査結果を報告する• 情報セキュリティに関する第三者
認証を取得する（プライバシーマー
ク、ISMS等）（参考）経済産業省、JNSA：中小企業情報セキュリティ対策促進事業
http://www.jnsa.org/ikusei/rule/14_03.html

委託元

委託先
業務委託

Copyright © 2015 独立行政法人 情報処理推進機構

Pマーク
ISMS

29

3.4 委託先管理
参考. 外部委託先の監督方法
取り組み事例
・独自のチェック、認定制度による委託先選定
・取扱情報、事業者規模に応じたチェックリストを作成し立ち入り検査を実施
・委託元部署だけでなく法務部が同行チェックし、委託元部署、委託先両社に意識づけ
・委託先へチェックシートを送付し、不備項目には改善計画の提出を求め、原則6ケ月以内に改善できなければ契約を終了
・契約前、契約締結時、契約中、契約後、それぞれチェック・委託先を集めての合同勉強会開催
・社内点検時に委託先の担当者にも同行してもらい、自社の取り組み、チェックの厳しさを知ってもらう・パートナー会社の経営層向け意識喚起の機会を設定
経済産業省「個人情報の適正な保護に関する取組実践事例」報告書（平成22年3月）からの抜粋

委託先の監査体制

必要に応じて自らが確認や監査を実施する

Copyright © 2015 独立行政法人 情報処理推進機構30

3.4 委託先管理②契約への安全管理事項の盛り込み• 第三者が提供するサービスを利用する場合は、セキュリティ管理策、サービスレベル、ログの提供等を事前に確認し合意する。
 クラウドサービスを利用する目的はなにか。（どのようなデータを預けるのか） セキュリティ管理策が、重要情報を安全に管理するため十分か。
 サービスレベル及び管理上の要求事項が、事業継続において適切か。
 内部不正が発生した際に、ログが提供されるか。
SLA構成要素ログの取得
セキュリティ（不正アクセス）ログ及びバックアップ取得結果ログを、要望に応じて提供する。

情報取扱者の制限
情報取扱環境通信の暗号化レベル
ウイルス対策管理
公的認証取サービスに関する第三者評価 等（出典）経済産業省：クラウドセキュリティガイドライン活用ガイドブック→ クラウド契約時の契約書やサービスレベル合意書（SLA）を具体的に解説

Copyright © 2015 独立行政法人 情報処理推進機構

31

3.5

早期発見

内部不正の予兆を見逃さず、早期対応を図るため、通報制度を整備する• 内部不正の通報窓口を設置し、具体的な利用方法を教育する。
• 通報窓口（ホットライン等を含む）には、問題が発生した部門での隠蔽行為を防ぐため、複数設置する。
• 通報者が通報行為により不利益を受けないよう匿名性を確保する。
 匿名の私書箱や第三者機関の利用
コンプライアンス相談窓口
ホットライン
通報窓口 等

Copyright © 2015 独立行政法人 情報処理推進機構

通報

32

3.6

職場環境の整備1/2

公平な人事評価、適正な労働環境、良好なコミュニケーション
従業員に不正行為を踏みとどまらせる対策として、職場環境の整備が重要な役割を果たす。

 危険要因人事評価に納得しておらず、不満がある

業務の悩みを相談できない
孤立している

ある社員が、特定の業
務を長期間担当している。

特定の社員の業務量が過大になっている

Copyright © 2015 独立行政法人 情報処理推進機構

単独作業が多い33

3.6

職場環境の整備

2/2

公平な人事評価の整備 公平で客観的な人事評価を整備し、従業員が評価内容を理解、納得できるよう、評価結果を説明する機会を設ける。
 適切な人員配置及び配置転換をする。

上司

適正な労働環境 業務量や勤務時間を適正化する。
 特定の従業員の業務負荷が極端に高い状況を是正する。

同僚

良好なコミュニケーション
 相談しやすい環境を整備し、業務の支援や上司や同僚との良好なコミュニケーショ
ンがとれる職場環境づくりを推進する。

Copyright © 2015 独立行政法人 情報処理推進機構

34

3.7 悪意のない内部不正：
ルール不徹底に起因する不正行為①教育による周知徹底と②情報漏えい対策•

企業で発生する内部不正は、明確な悪意を持った不正行為だけではなく、本人に悪気がなかった場合も多い。
 自宅で作業するための社内情報の持ち出しや、PCの紛失や盗難、SNSや掲示板への安易な書き込みなど。
社内情報

 危険要因
私物のスマートフォンやUSBメ
モリ等の持込み、業務利用のルールが明確でない
ホテル

Facebook、Twitter、
掲示板等

サーバルーム

在宅勤務

業務サーバ

重要情報の取り扱い等の社内規定が周知されていない
無許可アプリやSNS等の使用を制限できていない

情報が第三者に流出した場合を想定した対策がで
きていない

外出先

公衆の有線LANや無線LANの利用ルールが明確でない
Copyright © 2015 独立行政法人 情報処理推進機構

35

3.7 悪意のない内部不正①教育による周知徹底
社内教育を通し、情報の無断持ち出しが不正行為であること、ルールに違反すると社内規定で罰せられることを認識させる。
教育の内容•内部不正が組織にどのような影響を及ぼすかの具体的事例•重要情報の分類や管理方法等に関する順守すべき事項
 機密情報が記された FAX、プリントアウト等の書類が長時間放置されたままにならないようなルール
 SNS等を利用した情報発信での注意事項
 内部不正を発見したときの通報の手順 等•内部不正が発覚した際の懲戒処分について•重要情報の管理方法と対策について メールのアーカイブ等の監視やモニタリング等を行なっていることを説明する•内部不正対策の理解を深めるために、関連する法令等（不正競争防止法、個人情報保護法等）について説明することが望ましい。
ガイドライン 付録Ⅲ:QA集 対策のヒントとなるQ&A7 参照

Copyright © 2015 独立行政法人 情報処理推進機構

36

3.7 悪意のない内部不正②情報漏えい対策
USBメモリ等の使用制限、
私物PCの業務利用を許可する場合の、ポリシー、ルールの周知

外部記憶媒体へのコピー防止（デバイス制御機能等）

SNSや掲示板へのアクセスを制限（コンテンツフィルタ等）

SNS、掲示板への書き込み

BYODルール
・利用する
業務範囲
・順守事項 等

外部記憶媒体へのコピー

承諾書

無許可アプリのインストール
紛失・盗難対策

重要情報

MDMサーバ等

リモートからの重要情報
消去、パスワードロック等（MDM等）

保存データの暗号化
通信路の暗号化（暗号化ソフト、VPN等）

Copyright © 2015 独立行政法人 情報処理推進機構

ファイル共有ソフトなど無許可
アプリのインストールを禁止（資産管理ソフト等）
ホテルの有線・無線LAN
公衆無線LANの制限（アクセス制限、認証）
37

3.7 悪意のない内部不正②情報漏えい対策
ノートPCやスマートデバイス等のモバイル機器および携帯可能なUSB
メモリ等の記録媒体の管理を厳格にし、利用を制限する。

チェック

 物理的に保護された場所からの持ち出しは、管理者の承認を必要とし、記録を取る。
 個人所有のモバイル機器やUSBメモリの業務利用、持ち込みを制限する。
（サーバルーム、重要情報を取り扱う業務フロア等）
 外部出力を制限可能な管理ツール等の技術的な対策を行う。 （例 デバイス制
御ソフト
会社支給のUSBメモリ

想定する脅威に対応していますか？
バージョンや設定が古いままであった
り、していませんか？

個人所有のUSBメモリ

スマートフォン、
デジタルカメラ情報漏えい対策製品
MTP/PTP※の使用を制限※PTP:Picture Transfer Protocol
MTP:Media Transfer Protocol

対策項目：（３０）

ＩＴの技術進歩や新たな脅威の出現等に応じて、継続的に対策を見直し改善する。
Copyright © 2015 独立行政法人 情報処理推進機構

38

3.8：内部不正発生時の事後対応
自社及び関係者（顧客、取引先など）の直接的・間接的被害を最小限に抑えるため、事後対策を実施する。
対応手順や報告手順を事前に取り決めておく。
業務を委託している場合は、委託先と協力して体制を整備する。

••

参考） 情報漏えい発生時の対応ポイント集（IPA）

不正行
為！

（１）発見・
報告（２）初動対応・不正行為の兆候や具体的事実を確認した場合、責任者への報告し、速やかに体制をとる。
・外部からの通報に対しては、相手の連絡先を必ず控え、不正の事実を確認する。

（５）抑制措置と復旧（６）事後対応（３）調査

証拠隠滅に注意する。
（１）発見・報告（４）通知・報
告・公表等（２）初動対応（４）通知・報告・公表等（５）抑制措置と復旧（６）事後対応・対策本部を設置する・事実関係を5W1Hで整理する
・二次被害防止のため応急処置
・証拠保全は、専門家への依頼も検討する。

・漏えいした本人、取引先などへ通知する
・犯罪の可能性がある場合は警察へ相談。必要に応じ、監督官庁に届け出る。
・Web等での告知や記者発表
を検討

・被害の拡大防止と復旧のための措置をとる（停止したア
カウントの再発行やサービスの復旧など）
・再発防止策・抜本的な再発防止策を検討・実施・被害者に対する損害補償等の救済措置
・社員の対する処分
・社内への事例告知（３）調査

事前に、第三者サービス（フォレンジック解析、インシデント対応支援等）利用時に必要となる情報、伝達
方法を決めておく。

・適切な対応を判断するため、具体的な状況を把握と影響範囲を調査
・事実関係を裏付ける情報や証拠の確保

Copyright © 2015 独立行政法人 情報処理推進機構

再発防止の観点から、事例として社内に告知する。

「いつ、誰が、何をしたのか」に関する検証可能な証拠を保全する。

39

ガイドライン
1. 営業秘密管理指針– 司法により参考とされ、一定の強制力あり– 経済産業省

2. 組織における内部不正防止ガイドライン– IPA （独）情報処理推進機構– 強制力はない

Copyright © 2015 独立行政法人 情報処理推進機構

40

1.営業秘密管理指針•「営業秘密管理指針（全部改訂）」–改訂前の指針は、営業秘密に関する不正競争防止法の解釈のみならず、営業秘密管理に関するベストプラクティス及び普及啓発的事項をも含んでいた。

産業構造審議会 知的財産分科会 営業秘密の保護・活用に関する小委員会にて検討

Copyright © 2015 独立行政法人 情報処理推進機構

ページ数は営業秘密管理指針（全部改訂案）による。

41

1.

営業秘密管理指針
指針で示す管理水準(p.2)

「営業秘密」の定義（不正競争防止法第2条第6項）「秘密として管理されている[①秘密管理性]生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報[②有用性]であって、公然と知られていないもの[③非公知性]をいう」• 本指針は、不正競争防止法によって差止め等の法的保護を受けるために必要となる最低限の水準の対策を示すものである。営業秘密の漏えい防止ないし漏えい時に推奨される(高度なものを含めた)包括的対策
は、別途策定する「営業秘密保護マニュアル」（仮称）によって対応する予定。
営業秘密管理指針（2015.1.28 全部改訂）

営業秘密管理マニュアル(2015を目標）

具体的な
管理策

営業秘密管理未然防止のための情報セキュリティ対策
例えば、PCのアクセスログの保管などの従業員牽制策、「サイバースパイ」対策、または、漏えいを迅速に検知し被害の拡大を防止するための対策などは、より高度な営業秘密の漏えい防止策として必要となる場合もありうる。

Copyright © 2015 独立行政法人 情報処理推進機構

42

1. 営業秘密管理指針と要件
必要な秘密管理措置の程度(p.6-9)
秘密管理性要件が満たされるためには、営業秘密保有企業の秘密管理意思が秘密管理措置によって従業員等に対して明確に示され、当該秘密管理意思に対する従業員等の認識可能性が確保される必要がある。
具体的に必要な秘密管理措置の内容・程度は、企業の規模、業態、従業員の職
務、情報の性質その他の事情の如何によって異なるものであり、企業における営業
秘密の管理単位における従業員がそれを一般的に、かつ容易に認識できる程度のものである必要がある。
• 秘密管理性要件が満たされるためには、営業秘密保有企業が当該情報を秘密であると単に主観的に認識しているだけでは不十分。
–

営業秘密保有企業の秘密管理意思：特定の情報を秘密として管理しようとする意思–

秘密管理措置：（後述）–

認識可能性の確保：情報にアクセスした者が秘密であると認識できる–

取引相手先に対する秘密管理意思の明示についても、基本的には、対従業員と同様に考えることが可能Copyright © 2015 独立行政法人 情報処理推進機構

43

1. 営業秘密管理指針と要件

秘密管理措置(p.6-9) – ①• 秘密管理性要件は、従来、①情報にアクセスできる者が制限されていること(アクセス制限)、②情報にアクセスした者に当該情報が営業秘密であることが認識できるようにされていること(認識可能性)の2つが判断の要素になると説明され
てきた。
認識可能性
アクセス制限• 両者は秘密管理性の有無を判断する重要なファクターであるが、それぞれ別個
独立した要件ではなく、「アクセス制限」は、「認識可能性」を担保する一つの手段であると考えられる。したがって、情報にアクセスした者が秘密であると認識できる(「認識可能性」を満たす)場合に、それ以上のアクセス制限がないことを根拠に秘密管理性が否定されることはない。
アクセス制限

認識可能性

その他手段

その他手段
• 従業員がある情報について秘密情報であると現実に認識していれば、営業秘密
保有企業による秘密管理措置が全く必要ではないということではない。
Copyright © 2015 独立行政法人 情報処理推進機構

44

1. 営業秘密管理指針と要件
秘密管理措置(p. 6-9) – ②• 秘密管理措置は、対象情報(営業秘密)の一般情報(営業秘密ではない情報)
からの合理的区分と当該対象情報について営業秘密であることを明らかにする措置で構成される。
企業等の持つ情報

一般情報

Copyright © 2015 独立行政法人 情報処理推進機構

合理的区分

対象情報
（営業秘密）

営業秘密であることを明らかにする措置

45

1. 営業秘密管理指針
秘密管理措置の具体例(p.9-)• 指針では、一例として媒体に対する典型的な秘密管理措
置が紹介されている。

• 電子媒体の場合– 一般情報からの合理的な区分を行った上で、次のよ
うな方法のいずれかによって、秘密管理性の観点から充分な秘密管理措置となり得る。
• マル秘表示の貼付– 記録媒体/電子ファイル名・フォルダ名/記録媒体を保管するケース等•営業秘密の電子ファイルを開いた場合に端末画面上にマル秘である旨が表示されるPC設定–営業秘密の閲覧に要するパスワードの設定–電子ファイルそのもの/当該電子ファイルを含むフォルダ
Copyright © 2015 独立行政法人 情報処理推進機構

46

2.組織における内部不正防止ガイドライン（2014.9/2015.3改訂）• 内部不正を防止するための環境整備に役立てて頂くためのガイドラ
イン• 防止対策だけでなく、発生してしまった際の早期発見・拡大防止に
も対応
【目次】
1章 背景
• 2014年9月、2015年3月に改訂
版数

改訂日

第2版

2014.9第3版

2015.32章 概要
3章 用語の定義と関連する法律
4章 内部不正防止のための管理の在り方
付録Ⅰ 内部不正事例集
主な改訂内容付録Ⅱ チェックシート
経営者責任の明確化、必要な人材の確保など、 付録Ⅲ Q&A集
経営者主導が不可欠な取組みを新たに追加。
付録Ⅳ 他のガイドライン等との関係
付録Ⅴ 基本方針の記述例
・経営層によるリーダーシップの強化
付録Ⅵ 基本5原則と25分類の対策例 New!
・情報システム管理運用の委託における監督強化
付録Ⅶ 対策の分類 New!
・高度化する情報通信技術への対応

本ガイドラインを使い易くすることで、より広く活用していただけるよう強化

第3版

・企業等からの要望への対応
・ISMSの規格改訂（JIS Q 27001:2014）及び営業秘密管理指針の全部改訂への対応
・本ガイドライン利用の参考となる基本原則及び対策
分類の追加※日本語版、英語版
Copyright © 2015 独立行政法人 情報処理推進機構

47

2.内部不正防止ガイドラインの位置づけ•

営業秘密管理指針（経済産業省 知的財産政策室）– 知的財産やノウハウ等の営業秘密の保護を目的とした指針– 「不正競争防止法」で定められている営業秘密の３要件
 秘密管理性
 有用性
 非公知性•

個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン（経済産業省）– 組織が管理する個人情報を保護する場合は、「個人情報保護法」で求められる安全管理措置義務関連の規定への対応が必要
 安全管理措置（法20条関連）
 従業者の監督（法21条関連）
 委託先の監督（法22条関連）

Copyright © 2015 独立行政法人 情報処理推進機構

48

内部不正防止ガイドラインの特徴①10の観点での30の対策項目
番
号

観点
（分類)

1

基本方針

2

資産管理

番
号

観点
（分類）

(1)経営者の責任の明確化(2)総括責任者の任命と組織横断的な体制構築

6

人的管理

（１９） 教育による内部不正対策の周知徹底（２０） 雇用終了の際の人事手続き（２１） 雇用終了及び契約終了による情報資産等の返却（３） 情報の格付け（４） 格付け区分の適用とラベル付け（５） 情報システムにおける利用者のアクセス管理（６） システム管理者の権限管理（７） 情報システムにおける利用者の識別と認証

7

コンプライ
アンス

（２２） 法的手続きの整備（２３） 誓約書の要請

対策項目

対策項目

(特徴)
アンケート調査から分析

3

物理的管
理

（８） 物理的な保護と入退管理策（９） 情報機器及び記録媒体の資産管理及び物理的な保護（１０） 情報機器及び記録媒体の持出管理及び監視（１１） 個人の情報機器及び記録媒体の業務利用及び持込の制限8

職場環境（２４） 公平な人事評価の整備（２５）適正な労働環境及びコミュニケーションの推進（２６）職場環境におけるマネジメント

4

技術的管
理

（１２） ネットワーク利用のための安全管理（１３） 重要情報の受渡し保護（１４）情報機器や記録媒体の持ち出しの保護（１５） 組織外部での業務における重要情報の保護（１６） 業務委託時の確認（第三者が提供するサービス利用時を含む）

9

事後対策（２７）事後対策に求められる体制の整備（２８）処罰等の検討及び再発防止

5

証拠確保

（１７） 情報システムにおけるログ・証跡の記録と保存（１８） システム管理者のログ・証跡の確認

1
0

組織の管理

（２９） 内部不正に関する通報制度の整備（３０） 内部不正防止の観点を含んだ確認の実施

Copyright © 2015 独立行政法人 情報処理推進機構

49

内部不正防止ガイドラインの特徴-2
ソリューションガイドを活用した具体策の検討①対策の指針、ポイントを理解する
リスクに対する具体的な対策を立案するためのヒントとする組織における内部不正防止ガイドライン②具体的な実施策を立案する
製品・ソリューションの利用等を検討※

JNSA 内部不正対策ソリューションガイド

製品・ソリューション
掲載企業数：16社
掲載製品数：156品（2014年8月現在）

JNSAソリューションガイド（オンライン版）
内部不正防止・抑止サービス

ガイドラインの各対策を実現するための製品やサービスをまとめたソリューション
ガイド。30の対策項目にマッピング。
※JNSA：特定非営利活動法 人日本ネットワークセキュリティ協会

Copyright © 2015 独立行政法人 情報処理推進機構

50

まとめ
• 内部者の不正に対する懸念が増大• 内部者の不正行為による被害は甚大• 権限を持ち、悪意をもった内部者の不正を防ぐのは容易ではない• 組織における内部不正対策– トップダウンによる、継続した対策見直し– 内部不正に見返りがない環境整備– 内部不正に強い組織の構築が重要• （国内では）情報共有による事例分析が不足
Copyright © 2015 独立行政法人 情報処理推進機構

51

参照情報
1.IPA::内部不正の防止には、経営層を含めた組織横断的防御を！ (特設ページ)
http://www.ipa.go.jp/security/insider/index.html
2.IPA:「組織における内部不正防止ガイドライン」
http://www.ipa.go.jp/security/fy24/reports/insider/index.html
3.IPA:情報漏えい発生時の対応ポイント集
http://www.ipa.go.jp/security/awareness/johorouei/
4.経済産業省:「人材を通じた技術流出に関する調査研究報告書(別冊) 営業秘密の管理実態に関するアンケート調査結果
http://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/H2503chousa.pdf
5.経済産業省：営業秘密管理指針
http://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/20150128hontai.pdf
6.経済産業省：2013年度版 クラウドセキュリティガイドライン活用ガイドブック
http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html

Copyright © 2015 独立行政法人 情報処理推進機構

52

参考：海外の調査および情報共有•「グローバル情報セキュリティ調査®」 2015
– PWC、CIO Magazine、CSO Magazine– 回答者：日本を含む世界154カ国の経営者や責任者•

2014 US State of Cybercrime Survey– PWC, CERT®, CSO Magazine, US Secret Service– 回答者：557エグゼクティブ（従業員5000人以上 : 28%,500～5000人 :29%,500人以下 : 43%）

– 2014 Global Report on the Cost of Cyber Crime– Ponemon Institute, LLC– 回答者：日本を含む世界７カ国257社の経営者や責任者•

CERT®/内部脅威センターによる事例収集と分析– 2000年、国防省（DOD：Department of Defense）がスポンサーとなり「内部者の脅威プログラム」が開始– カーネギーメロン大学ソフトウエア工学研究所（SEI）に設置– 政府機関等がスポンサーとなり、2015年2月現在、700の事例を収集・分析
し内部不正対策を推進

Copyright © 2015 独立行政法人 情報処理推進機構

53