第12回情報セキュリティマネージャー ISACAカンファレンス in Tokyo
Session 3 : パネルディスカッション

DX時代の内部不正対策– 組織を守り、強くする対策とは何か -パネリスト

ノートルダム清心女子大学

独立行政法人 情報処理推進機構（IPA）
セキュリティセンター
セキュリティ対策推進部 セキュリティ分析グループ

特別招聘教授 小松 文子 氏

主任研究員

NECにてネットワーク管理、セキュリティ製品・サービスの研究開発に従事後、IPA情報セキュリティ分析ラボラトリーラボラトリー長、長崎県立大学教授・副学長をを経て現職．公的機関では、経済産業省産業構造審議会 知的財産分科会不正競争防止小委員会、NISC 重要インフラ専門調査会、研究開発戦略専門調査会などで委員を務める。
博士（情報学）佐川 陽一 氏住友電気工業株式会社研究開発本部サイバーセキュリティ研究開発室に所属する傍ら、情報処理推進機構の研究員として2015年から現在まで一貫して営業秘密管理や内部不正防止に関する実態や対策の調査、情報発信の業務に従事。

参考資料：
組織における内部不正防止ガイドライン （IPA 独立行政法人 情報処理推進機構）

ノートルダム清心女子大学

組織における内部不正対策

IPA

組織における内部不正対策改訂検討会座長

小松文子（ノートルダム清心女子大学）

ノートルダム清心女子大学

自己紹介（小松文子）• NECにてネットワーク管理製品の開発，標準化、セキュリティ製品・サービスの研究開発に従事• IPA情報セキュリティ分析ラボラトリー初代ラボラトリー長• 長崎県立大学

情報セキュリティ学科学科長・教授・副学長を経て• 2023年4月よりノートルダム清心女子大学

特別招聘教授（現職）• 経済産業省産業構造審議会 知的財産分科会不正競争防止小委員会、NISC 重要インフラ専門調査会、研究開発戦略専門調査会などで委員を務める。
• 主な研究領域は，「情報セキュリティと社会・組織・人間行動」「情報セキュリティリスクマネジメント」• 博士（情報学）横浜国立大学大学院，第10回情報セキュリティ文化賞（2014年）

ノートルダム清心女子大学

組織における内部不正防止のための活動＠IPA• IPAセキュリティセンター情報セキュリティ分析ラボラトリー• 情報セキュリティに対する社会科学的な観点からの調査・分析をミッションとした組織（2009年～）• 情報セキュリティに関する行動原理を調査研究する必要性• セキュリティ対策の意思決定，対策実施行動• 内部者の不正• 内部者の不正• 顕在化しにくい（組織の評判・信頼への懸念による）• 技術的対策のみで防ぐことは困難（権限を保持する内部者による）• （国外の状況を調査後）組織における内部不正防止ガイドライン委員会発足(2012年）• 社会心理学，法律家の専門家とともに検討を開始• 組織における内部不正防止ガイドライン 初版発行（2013年3月），第5版（2022年4月）

ノートルダム清心女子大学

内部不正を誘発する要因• 環境犯罪学の観点から• 内部不正の3要素（機会，動機，正当化）• 状況的犯罪予防5原則
DXやリモートワークなどの• 犯行を難しくする（やりにくくする）
職場環境の変化により• 捕まるリスクを高める（やると見つかる）
これら要因に影響を与えない• 犯行の見返りを減らす（割に合わない）• 犯行の誘因を減らす（その気にさせない） かに留意が必要である．
• 犯罪の弁明をさせない（言い訳させない）• 組織心理学の観点から• 組織帰属意識（忠誠心，満足度，組織コミットメント）• 日本的経営（年功序列，終身雇用，属人風土）• 不適切な組織ルール

ノートルダム清心女子大学

最新版（第5版）での更新・追加内容• 経営者へのメッセ―ジの強化• 経営者の責任，ガバナンスの必要性• 社会環境や企業の事業環境の変化に対応• テレワーク導入・雇用の流動化に伴う対策の追加• モニタリングプログラムと人権侵害のバランス• 第4版以降の関連法案（個人情報保護法，不正競争防止法，産業競争力強化法）改訂等への対応• 個人データ漏えい時の報告義務• 「限定提供データ」の取り扱い など

CISMパネルディスカッション
内部不正対策に関するIPA動向ご紹介

2024年2月17日
独立行政法人情報処理推進機構
セキュリティセンター セキュリティ対策推進部 セキュリティ分析グループ
佐川 陽一

自己紹介（佐川 陽一）◼ 所属（１）独立行政法人情報処理推進機構
セキュリティセンター セキュリティ対策推進部 セキュリティ分析グループ（２）住友電気工業株式会社
研究開発本部 サイバーセキュリティ研究開発室◼ 業務遍歴➢ ネットワークシステム開発➢ ネットワークのシステムエンジニア➢ IT資産管理・セキュリティ管理システムエンジニア➢ 営業秘密管理・保護関連事業（IPA）2015年～➢ データ利活用関連事業（IPA）2017～2019年➢ サイバーセキュリティ全般の調査・分析（住友電工）2024/2/17

9

IPA 内部不正防止関連活動
年度

内部不正防止2013

組織における内部不正防止ガ
イドライン 初版

2014

組織における内部不正防止ガ
イドライン 改訂第2版

営業秘密保護システムPP作成

ベネッセ事件
営業秘密保護システムPP

2015

改訂第3版

企業のログ管理状況調査

営業秘密管理指針改正

企業の営業秘密管理実態調査

不正競争防止法改正
秘密情報の保護ハンドブック※

2016
2017

改訂第4版

営業秘密保護

データ利活用

関連事象・成果移転先

秘密情報の管理と利活用に関する データ利活用における重要情報 クラウド・モバイル・AI等のIT環境変化
リスク・対策調査
共有状況調査（米国）2018

安全なデータ利活用に向けた準備・ 課題認識調査

不正競争防止法改正（限定提供データ利活用推進）2019

企業におけるデータ利活用・保護の戦略立案調査

企業におけるデータ利活用・保護戦略立案の手引き書（2020）

2020

企業の営業秘密管理実態調査
2020

テレワーク
個人情報保護法改正

2021～ 改訂第5版公開

企業の内部不正防止体制実態調
査2022

秘密情報の保護ハンドブック改訂

2024/2/17※経済産業省 秘密情報の保護ハンドブック：
https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/full.pdf

10

「組織における内部不正防止ガイドライン」
https://www.ipa.go.jp/security/guide/insider.html⚫ 組織の情報漏えいに関する内部不正対策に特化したガイドライン。2022年4月に改訂第5版発行。
【組織における内部不正防止ガイドライン】
１．背景
２．概要
３．用語の定義と関連する法律
４．内部不正を防ぐための管理のあり方
4-1 基本方針
4-2 資産管理
4-3 物理的管理
4-4 技術・運用管理
4-5 原因究明と証拠確保
4-6 人的管理
4-7 コンプライアンス
4-8 職場管理
4-9 事後対策
4-10 組織の管理
付録I～Ⅷ（内部不正事例、チェックリスト等）
2024/2/17

状況的犯罪予防の5原則
１．やりにくくする
２．やれば捕まる
３．わりにあわない
４．動機を減らす
５．いいわけさせないをベースに整理11

「企業の内部不正防止体制に関する実態調査」から
https://www.ipa.go.jp/security/reports/economics/ts-kanri/20230406.html⚫ 内部不正対策に取り組む組織的体制→重要情報漏えい対応を全社体制で行える割合は半数
現場組織の個別対応がかなり残っている状況

IPA 2022年度実施

Q10.重要情報が漏えいした時の組織的対応

明確なルールなし：13.5％

当事者部門が個別に対応：24.7％
2024/2/17

経営層または統括責任部門が主導：52.8％（N=1,179）12

「企業の内部不正防止体制に関する実態調査」から
https://www.ipa.go.jp/security/reports/economics/ts-kanri/20230406.html⚫ 内部不正対策に取り組む経営層の姿勢

IPA 2022年度実施→経営層が内部不正リスクを優先度の高い経営課題とした率は約40%
Q30. 貴社では、内部不正リスクは重要な経営課題として捉えられていますか。

優先度の高い経営課題：39.6%
課題として認識せず：8.1%
一般的な不正リスク＋ITリスク：11.8%

一般的な不正リスクのみ：22.9%（N=1,179）13

「企業の内部不正防止体制に関する実態調査」から
https://www.ipa.go.jp/security/reports/economics/ts-kanri/20230406.html

IPA 2022年度実施⚫ テレワーク勤務時の内部不正対策について→いずれの対策も実施の回答が40%に満たず、時代変化をキャッチアップしているとはいいがたい状況
Q35. 貴社では、テレワークを行う従業員の内部不正防止対策を実施していますか。
(%)

100.0

テレワーク関連の各種対策
80.0

60.0

規則教育・徹底：37.2％

40.0

37.2

37.7

50％のライン

34.1
31.1

23.6

重要情報を制限：37.7％

20.0

ログ分析の強化：34.1％

0.0

17.4
12.0

9.4

実施していない

わからないコミュニケーションを確保する策を講じている：17.4％

1.4
テレワークを 情報漏えい テレワーク用 ID管理、権 テレワーク勤 テレワーク従 その他行う従業員 に備えて、テ の会社支給 限管理、当 務と社内勤 事者との十に対し、テレ レワークで取 PC等の操作 人認証等を 務を公平に 分なコミュニワークに関わ り扱うことが ログの取得・ 強化すること 処遇している ケーションをる社内規則 できる重要 分析等で、 で、テレワー確保できる／法制度を 情報を制限 内部不正の クによって分対策を講じ教育・徹底 している早期発見や 散した重要ている
している
事後対応の 情報のアクセ機能を強化 ス管理を強している
化している

ID・認証の強化：31.1％
公平な処遇：23.6％
n=
TOTAL

1179

37.2

37.7

34.1

31.1

23.6

17.4

1.4

12.0

9.4

14

実施率が低い各内部不正対策（同実態調査）
実施率（％）

対策（選択肢の要約）

27.7

異動時・昇進時・新プロジェクトへの参加・終了時などに秘密保持契約締結または誓約書提出を求める

22.9

営業や技術の重要人物の退職が決まった段階で、重要情報へのアクセス監視及びアクセスログ確認等を強化する

21.4

重要情報を含む電子文書は容易に判別できるようにする

21.3

重要情報は定期的に棚卸しを行い、不要なものを消去する

21.1

BYODは許可しない

19.8

ガイドライン等に従い会社支給PCのテレワーク対策を強化する

19.8

テレワークで扱える重要情報の範囲をルール化する

19.7

使用できるクラウドやクラウドで扱う重要情報をルール化する

18.4

委託先等との重要情報の受渡しを厳格に管理、暗号化する

17.6
2024/2/17
15.9

委託先等の情報漏えい対策を契約時・契約中に確認する
組織内外で内部不正事故が起こった場合、組織内で共有する

IPA 2022年度実施

15

参加者アンケート結果

参加者アンケート
第12回情報セキュリティマネージャーISACAカンファレンス in Tokyoへの参加をお申込みいただいた方々の内訳

9%

ISACA東京支部会員

6%

後援団体・他ISACA支部会員
一般

ISACA東京支部会員

85%

374

後援団体・他ISACA支部会員 40
一般

27

お立場
内部不正対策に対するあなたのお立場をお聞かせください。

32%

39%

組織全体の内部不正対策を検討・実行する立場
組織の一部門の内部不正対策を検討・実行する立場
他社に内部不正対策を提案する立場
内部不正対策の検討には直接かかわる立場ではない

12%

17%

営業秘密の三要件
あなたの組織では営業秘密の三要件を満たす保護対策に取り組んでいますか？
3%
10%
全社的に取り組んでいる
部分的に取り組んでいる

19%

必要性を感じ、取り組む検討をしている

68%

一切取り組んでいないビジネス環境の変化
あなたの組織の内部不正対策は、ビジネス環境の変化に合わせて見直しが行われていますか？

5%
8%
見直しを実施している
必要性を感じ、見直しを検討している

32%

55%

必要性を感じているが、見直し予定はない
ビジネス環境は変化していない

ビジネスを優先したリスクの高い行動の増加
ビジネス目標の達成のためにセキュリティリスクの高い行動をしてしまうケースが増えていると感じますか？

34%

数年前より増えていると思う53%

数年前より減っていると思う
特に変わりはないと思う13%

いただいたご意見やご質問①⚫

⚫
⚫

不正競争防止法の社会への浸透に伴い、内部不正対策が以前よりは各企業に浸透しつつあるように思います。かたや、法が意図している内容が今一つ、正しく理解されていないのではないかと思う場面に出くわすこともあるため、組織内における正しい理解と啓蒙活動への更なる努力の必要性についてのメッセージを積極的に伝えていただけると、バランスの取れた社会への浸透が促されるのではないかと現場で働く者としては感じています。
予算や人員がギリギリで組織が以前よりギシギシした感じになり、また利益優先になっていることから、不正が起こりやすくなっている。
ビジネスとしての利益やスピード、結果をマネジメント層が重視する余り、リスク評価時の指摘事項についても、結果、セキュリテイ面を軽視するケースを目にする事が多く、非常に悩ましく感じている。（しかも、セキュリテイ・インシデント発生時には、その責を問われる事が免責される訳でもない）企業規模としてはグローバルを含めると3万人以上在籍するタイプである為、1担当者として、そうしたマネジメント層の動きを止めることもできない。改善事例などがあれば、ご教示頂けると幸いです。どうぞ宜しくお願い致します。

いただいたご意見やご質問②
⚫

⚫

⚫

⚫
⚫

内部不正は過去から変わらず、認証、認可、監視、アラートなどの抑止をどこまで周知できているかに大きく依存するものと考える。セキュリティ対策を細かく伝えることで穴を見つけられるリスクもあるのでどうするかが気になるところではあります。
中小企業において情報セキュリティ担当者は兼任であることが一般的であると思います。自部門の業務に集中してしまう中で内部不正やその対策が十分にできているかを考えることは難しく、対策の前に経営者が方針を示してほしいと思う。以前うちの会社で起きた内部不正は内々で済ませてしまっていたようで再発防止ができているとは思えない。
今後は、国際的にも日本企業に求められてくる重要な要件の一つとなると思います。
昨今の報道を賑わせているニュースにフェイクニュースがかなり多いそうですが、正しい情報を見抜く方法があればご教授ください。
社員の行動の振る舞い検知の導入を検討しています。事業部や職種によっても行動パターンはことなりなのですが、組織ごとに振る舞い検知をしてアラートをあげるパターンを変えるなどするのは運用がまわらないのですが、やはりそうしていくしかないでしょうか。アドバイスいただけないでしょうか。

いただいたご意見やご質問③⚫
⚫
⚫
⚫

⚫
⚫
⚫
⚫

退職時のデータの持ち出しなどに注意が必要と考えている。
内部性を助長させる環境・要因などがございましたら、ご紹介いただけませんでしょうか。
内部不正の完全防御は困難でリスク許容度の設定が不可欠と感じている。また社員教育は重要なリスク低減要素であるとも考えている。
低コストで始められる内部不正の技術的対策
本人に貿易コンプライアンスを含めて内部不正の意識がなく情報漏洩その他の不正行為をしてしまう事例が増えていると感じている。
内部不正対策は、人に対する対策が重要だと思います。
営業秘密情報の不正持出し、漏えい対策以前に、身近にある営業秘密に対する理解が不足しているので、教育が重要であると考えています。
内部不正に関する事例紹介を期待します。

いただいたご意見やご質問④⚫
⚫

⚫
⚫
⚫

⚫

内部監査で不正リスクを指摘した場合、フローの改善などに確実に活かすことが重要かと思います
内部不正やその対策の初学者にとってどのように学習、経験していけばよいか指針をお教えいただけないでしょうか。（情報処理安全確保支援士、CISAなど資格を取得して知識を徐々に習得していますが、内部不正に関する知識や経験が伴っていないためご指導いただきたい）
社外とのビジネス連携の機会が増えており、業務上で知得した機密情報の取り扱い、インサイダー取引の監視に定期的に取り組んでいる。
企業文化や、人材の質などで、内部不正の種類も変わってくると思います。こういう企業、こういう人員構成だと、こういった不正が発生しやすい。など、実績の分析も知りたいです。
ガバナンス対策が最重要だと考える
ガバナンスを効かせるために、内外組織の支援を上手く活用することが最も重要だと感じています。

いただいたご意見やご質問⑤⚫
⚫
⚫
⚫

昨今のインシデント傾向からふさわしいテーマの選定をありがとうございます。
他社事例がなかなか公表されない領域であり対策案の策定が難しい。
インシデントが起きた場合の対応の留意点についても知りたい。
不正機会を削減するだけでく、不正の正当化・動機を生まないような役職員の意識改革・ガバナンスの徹底も必要。不正手段の知識は、不正兆候の発見・防止に役立つ。

さいごに◼ ガイドラインは網羅的なToBe。あなたの企業・組織にとって優先課題は？
是非、トップダウンで体制・対策の整備を。手薄な課題、優先すべき対策を見極め順次実施しましょう。

情報漏えいに関する内部不正対策でも、個人情報保護と営業秘密保護では意識に差が生じがち。
対策できたつもりでも、「重要情報の特定・格付け管理」は永く継続する課題となってしまうことも。

◼ 内部不正対策は「北風と太陽」の両立作戦の側面あり
アクセスログ管理の徹底ひとつでも、二つの側面を持ちます。
北風 悪いことをすると必ずばれる、という抑止力期待
太陽 善意の従業員の皆さんを守るために対策する、というPOSITIVEな（対策実施の）動機づけ◼ 経営層の対策も分け隔てなく…
近年、経営層の中途退職による内部不正事例も目立ちますので抜かりなく。
2024/2/17

27