2022 年 12 月 12 日
各

位
会社名

BIPROGY 株式会社

代表者名

代表取締役社長（コード番号

問合せ先

広報部長

8056
滝澤

平岡

昭良

東証プライム）素子（TEL 03-5546-4111）

第三者委員会の調査報告書受領及び役員の処分等に関するお知らせ

当社は、2022 年 7 月 1 日付「USB メモリー紛失事案に関する第三者委員会の設置について」にて公表しましたとおり、当社協力会社社員による兵庫県尼崎市における個人情報を含む USB メモリーの紛失事故を受け、同日に外部の専門家から構成される第三者委員会を設置し、調査を行って参りました。
本日、第三者委員会より、調査の結果判明した事実関係及び問題点の指摘、再発防止のための提言を目的とする調査報告書を受領いたしましたので、下記のとおりお知らせいたします。
当社は、この度の事態を招いたことを真摯に受け止め、改めて深くお詫び申し上げますとともに、第三者委員会の調査結果及び提言を踏まえ、再発防止策等を検討してまいります。また、分析・検討の結果、公表すべき事項がある場合には、適時適切に開示いたします。
当社は、株主や投資家をはじめとするステークホルダーの皆さまからの信頼回復に向け、全社を挙げて全力を尽くしてまいる所存でございますので、引き続き、ご支援を賜りたくお願い申し上げます。

記

１．調査結果について
第三者委員会の調査結果につきましては、添付資料「調査報告書（公表版）」をご覧ください。
なお、添付資料においては、個人情報保護の必要上、取引先及び社内外の個人名について一部を除き匿名としておりますことをご了承ください。

２．再発防止策について
当社は本件の発生を受けて、下記のような再発防止策を検討・実施して参りました（以下は一例でありこれらに限りません）。
(1)

組織的安全管理措置について①機密性が高い顧客情報資産へアクセスするプロジェクトへの安全管理措置
 プロジェクトを担当する組織内で組織長が週次でその運用に対する安全管理措置を点検。
 顧客機密情報（個人情報含む）の取扱いに責任を持つ役職者による指導・確認の下、安全管理措置を策定・明確化。
 新たに設置したセキュリティ専門組織がその安全管理措置の妥当性を客観的に審査・承認し網羅的に管理・モニタリングする仕組み・体制の整備。

②社内規程及びビジネスプロセスの改定
 可搬メディアの取扱いルール強化、顧客機密情報と顧客本番環境アクセスのルール強化、サー
ビスビジネスにおいて顧客本番環境にアクセスする際のルール新設等を内容とする社内規程の改定。
 その他、稟議決裁規程、情報サービス・ビジネスプロセス、アウトソーシングビジネスなどのビジネスプロセス関連規程を改定。
③教育及び指導 セキュリティリスクの理解と個人情報を含む顧客機密情報の取り扱いルール再徹底のためのセキュリティ教育（e ラーニング）を当社グループ全役職員に対して実施。
 情報セキュリティ遵守事項に係るプロジェクトチーム内への周知や協力企業向け情報セキュ
リティ教育の実施状況を確認。

(2)

物理的・技術的安全管理措置について①尼崎市様からの受託業務に関する物理的・技術的安全管理措置
 本番環境にアクセスする作業時は本番サーバルームで尼崎市様ご担当者立合いのもと実施するとともに、可搬メディアを使用する場合のルールを明確化するなど、情報セキュリティに関するルールの明確化。
②全社的な物理的・技術的安全管理措置
 利用中の可搬メディアの必要性の見直しと、継続利用する場合は社内規程通り管理されていることを管理簿などの証跡ベースで報告することを徹底。

(3)

委託先管理について①情報セキュリティ
 安全管理措置及び個人情報の取扱いに責任を持つ役職者による教育及び指導等によって、委託先監督に関する法令・当社規程の遵守を徹底。
 顧客機密情報（個人情報を含む）の取扱いを協力企業に委託する場合も、新たに設置したセキ
ュリティ専門組織にて安全管理措置を審査・承認し、その実施状況をセキュリティ専門組織がモニタリング。
 形骸化を防止するため、情報セキュリティ内部監査において上記運用状況を監査予定。
②管理プロセス見直し等
 委託先管理を図る責任者を新たに設置。また、委託先管理プロセスを見直し、当社とお客様との契約条件に従って当社から協力会社への委託がなされていることを確認できるエビデンス
管理や、運用が適切に行われていることを週次レベルでモニタリング。
 当社全役職員に関する再教育と指導の徹底、及び委託先に対する契約ルール、再委託留意事項
に関するトレーニングプログラムの提供
 顧客との契約条項に適合した開発（再委託）の場合のみ発注可能となるよう、契約・発注管理システムに契約条項で定められた条件を登録させ、発注の可否を機械的に判断できるようにする修正を加える。
 委託先との契約書内容を変更し、①契約に違反した場合の違約金条項、②当社の判断で、当社からの二次委託先以降に対する再委託を中止するように要求することを可能とする条項を追加する。
 委託先管理の実効性を確保するため、委託先管理に対する運用状況を監査予定。

当社は、上記の他にも、第三者委員会の調査結果を真摯に受け止め、再発防止策の提言に沿って具体的な再発防止策を策定し、引き続き着実に実行してまいります。

３. 社内処分及び役員報酬の自主返納について
本件調査結果の内容、本件における責任の所在、当社における職位等を考慮し、関係者の処分を決定しました。その他、本件調査結果の内容を踏まえて役員自らが本件の責任を重く受け止め、下記のとおり役員報酬の一部を自主返納することとしました。
記
役員報酬の自主返納
代表取締役社長
ビジネスサービス部門長

常務執行役員CISO 個人情報保護責任者 業務執行役員

平岡 昭良

月額役員報酬の 20％（3 ヶ月）

佐々木 貴司

月額役員報酬の 10％（1 ヶ月）

宮下 尚

月額役員報酬の 10％（1 ヶ月）

４. 本件が業績に与える影響について
本件に関連する費用は現時点で見積もることができる項目について、2023 年 3 月期の当社グループ
連結業績予想に織り込んでおります。

以上BIPROGY 株式会社 御中調 査 報 告 書（公表版）

2022 年 12 月 12 日
第三者委員会

1目

次

第 1 本調査の概要等 .......................................................... 6
1

第三者委員会の設置経緯 ................................................. 62

本調査の目的及びスコープ ............................................... 63

当委員会の構成 ......................................................... 74

本調査の期間 ........................................................... 75

本調査の方法 ........................................................... 76(1)

関係資料の精査 ...................................................... 7(2)

フォレンジック・データレビュー ...................................... 7(3)

BIPROGY からの説明の聴取 ............................................. 8(4)

ヒアリング .......................................................... 8(5)

ホットライン ........................................................ 8(6)

アンケート .......................................................... 8(7)

協力会社への再委託をめぐる類似案件の調査............................. 9

本調査の性質及び留保事項 ............................................... 9

第 2 事実関係 ............................................................... 10
1

2

BIPROGY 及び協力会社の概要等 ........................................... 10(1)

BIPROGY グループの組織及び事業概要 .................................. 10ア

事業概要 ........................................................ 10

イ

BIPROGY の組織体制等 ............................................. 10(2)

協力会社であるアイフロント及び X 社の概要等.......................... 14ア

協力会社が関与することとなった事情 ............................... 14

イ

アイフロント及び X 社の概要 ....................................... 15

ウ

尼崎市関連業務における再委託、再々委託の状況 ..................... 15

令和 4 年度の臨時特別給付金の給付への対応業務の受注経緯 ................. 16(1)

尼崎市との取引状況 ................................................. 16(2)

BIPROGY が令和 4 年度の臨時特別給付金の給付への対応業務を受注した経緯等................................................................... 16ア

令和 2 年度の全世帯に対する特別定額給付金に関する受託業務の概要.... 17イ

令和 3 年度の住民税非課税世帯を対象にした臨時特別給付金に関する受託業
務 .............................................................. 19

ウ

令和 4 年度の住民税非課税世帯等に対する臨時特別給付金に関する受託業務................................................................ 20(3)

本件 USB メモリ紛失事故発生の経緯及び状況について .................... 24

ア

作業当日までの経緯............................................... 24
2

イ

作業当日の状況等 ................................................ 25

ウ

紛失状況等 ...................................................... 25エ

紛失後の状況等 .................................................. 26

第 3 本調査において判明した問題点 ........................................... 27
1

概要 .................................................................. 27

2

問題点Ⅰ～情報セキュリティの保全及び個人情報の保護に関する各種規範の不遵守～ .................................................................... 27(1)

BIPROGY における情報セキュリティの保全及び個人情報の保護に関する規範 . 27

(2)

BIPROGY 役職員に課された各種規範とその不遵守 ........................ 29

ア

BIPROGY 役職員に課された各種社内規程における規範 .................. 29イ

個人情報保護マネジメント・システム及び情報セキュリティマネジメント・シ
ステムの下での役割 .............................................. 32

3

ウ

ISBP 及び個人情報台帳管理システム ................................ 32エ

尼崎市との契約上の義務 ........................................... 33

オ

遵守の状況 ...................................................... 34(3)

BIPROGY に課された法規範等 .......................................... 36

ア

BIPROGY に課された個人情報保護法上の義務 ......................... 36

イ

尼崎市との契約上の義務 ........................................... 40

ウ

遵守の状況 ...................................................... 41

問題点Ⅱ～無承認での再委託など契約違反の常態化～ ....................... 46(1)

尼崎市との契約において必要とされる再委託の承認を取得しなかったこと .. 46

ア

尼崎市における再委託に関する規制 ................................. 46

イ

再委託に関する尼崎市の承認を取得しなかったこと ................... 47

ウ

尼崎市を顧客とする案件について再委託等の承認申請が行われなかった背景・原因等 ...................................................... 48(2)

尼崎市との契約において提出が必要とされる書面の未提出 ................ 50(3)

無承認での再委託の問題性が担当営業等において意識されたが、これを改めることができなかったこと ............................................... 50

第 4 問題が生じた原因 ....................................................... 52
1

BIPROGY 役職員のコンプライアンス意識の欠如 ............................. 52(1)R4 業務においてうかがわれる BIPROGY 役職員のコンプライアンス意識 ..... 52(2)

アンケート調査からうかがわれる BIPROGY 役職員のコンプライアンス意識 .. 53

ア

アンケート調査の結果（概要） ..................................... 53

イ

アンケート結果に対する評価 ....................................... 55(3)

再委託申請に関する調査結果からうかがわれる BIPROGY 役職員のコンプライア
ンス意識 ........................................................... 55
3

ア

社内全数調査の結果............................................... 56

イ

再委託先等の承認申請が実施されていなかった理由 ................... 56

ウ

再委託先等の承認申請が実施されていた理由 ......................... 57

エ

再委託案件調査の結果の分析 ....................................... 58(4)

バックデート問題等からうかがわれる BIPROGY 役職員のコンプライアンス意識................................................................... 59

2

制度の運用におけるリスク管理意識の欠如 ................................. 60

3

業務執行におけるモニタリング機能の不全 ................................. 62

第 5 再発防止策の提言 ....................................................... 63
1

BIPROGY 役職員のコンプライアンス意識の醸成 ............................. 63(1)

徹底した意識改革 ................................................... 64(2)

充実した研修の実施 ................................................. 64(3)

多様な視点からの問題意識の共有 ..................................... 65

2

BIPROGY 役職員のリスク管理意識の強化 ................................... 65

3

リスクに応じた対応がとれる業務執行の仕組み作りとその適切な運用の確保.... 66(1)

対策の方向性 ....................................................... 66(2)

BIPROGY の実施している 3 つの対策について ............................ 67

ア

契約条項の遵守に関する「発注前点検」 ............................. 67

イ

個人情報の取扱いに関する「特例運用」 ............................. 67

ウ

委託先の選定・管理に関する「週次モニタリング」 ................... 67(3)

点検・監査について ................................................. 68(4)

規程類の整備について ............................................... 68

4

会社の組織風土の改善 .................................................. 69

5

改革の実効性と継続性の確保............................................. 70

6

おわりに .............................................................. 71

別紙 1

委員の略歴 ......................................................... 72

別紙 2

アンケート質問項目 ................................................. 73

別紙 3

アンケート調査結果 ................................................. 83

第 1 アンケート回答状況（全体） ............................................. 83
1

全体の回答状況 ........................................................ 83

2

属性別の回答状況 ...................................................... 83(1)

入社時期別 ......................................................... 83(2)

所属部署別 ......................................................... 83(3)

役職別 ............................................................. 84

第 2 アンケート回答結果 ..................................................... 84
1

USB の使用有無 ......................................................... 844

2

USB の使用を開始する際のルール ......................................... 86

3

USB を外部に持ち出す際のルール ......................................... 89

4

USB の利用後のルール ................................................... 92

5

デバイスの持ち出し有無 ................................................ 95

6

モバイル PC 等を持ち出す際のルール ...................................... 965

第1

本調査の概要等

1

第三者委員会の設置経緯
2022年6月21日、BIPROGY株式会社（以下「BIPROGY」という。）1が尼崎市から受託した
住民税非課税世帯等に対する臨時特別給付金の給付への対応業務に関し、BIPROGYの協力
会社2の従業員が、同市住民の個人情報データを記録したUSBメモリを紛失する事故（以下）が発生した。
「本件USBメモリ紛失事故」という。
同年7月1日、BIPROGYは、本件USBメモリ紛失事故の重大性に鑑みて、BIPROGYと利害関係を有しない外部の専門家である委員3名で構成される第三者委員会（以下「当委員会」という。
）を設置し、尼崎市から受託した住民税非課税世帯等に対する臨時特別給付金の給付への対応業務及び同業務に類似する取引に関し、客観性を確保した実態検証と原因分析に加え、改善策の提言を委嘱した3。
2

本調査の目的及びスコープ
当委員会は、上記1のBIPROGYからの委嘱を受けて、以下の目的及びスコープで調査を実）。
施した（以下「本調査」という。
① 本件 USB メモリ紛失事故発生に至る経緯及びその状況の実態検証② 本件 USB メモリ紛失事故において、関係者の情報セキュリティの保全及び個人情報の保護に関する法令・内部規程等違反の有無の実態検証と原因分析③ 令和 4 年度の臨時特別給付金の給付への対応業務に関する BIPROGY の協力会社
に対する再委託実施上の問題の実態検証と原因分析④ BIPROGY が官公庁から受託した業務4に関する再委託実施上の問題の実態検証と原因分析⑤ 再発防止策の提言

1

BIPROGY 株式会社は 2022 年 4 月 1 日付けで日本ユニシス株式会社から商号変更を行っているが、本報告書においては、商号変更前の事実関係についても、「BIPROGY」と表記することとする。
2
BIPROGY が受託した業務の全部又は一部について、BIPROGY が再委託・再々委託をした会社をいう。
3
なお、BIPROGY は、同日付けの「USB メモリー紛失事案に関する第三者委員会の設置について」と題するプレスリリースにおいて、当委員会の設置について公表した。
4
地方公共団体など官公庁からの業務委託契約においては、契約内容に類似性が認められることや住民情報等の個人情報を多く取り扱う等の共通の特徴があることから、当委員会は、BIPROGY から委嘱された「本件類似の取引」に関する調査スコープについて、BIPROGY が官公庁から受託した業務とすることとした。

6

3

当委員会の構成
当委員会の構成は、以下のとおりである。なお、各委員の略歴は別紙1のとおりである。
委員3名はいずれもBIPROGYとは利害関係を有していない。
委員長 井上委宏（弁護士・公認不正検査士、元福岡高等検察庁検事長）

員 名取 俊也（弁護士、元最高検察庁検事）

委 員 中山崇（公認会計士・公認情報システム監査人（CISA））

また、本調査に当たって、当委員会は、下記の長島・大野・常松法律事務所の弁護士を調査補助者として任命した。
福原あゆみ 藤崎恵美 勝俣安登武 矢田悠真 稲垣孟志 半谷駿介
松本晃 中西夏基 森脇達希 山元恒輝 吉野貴之
4

本調査の期間
本調査の期間は、2022年7月1日から2022年12月9日までである。

5

本調査の方法(1)

関係資料の精査
当委員会は、本調査に当たり、BIPROGY から、組織図、関係する諸規程、令和 4 年度の臨時特別給付金の給付への対応業務に関する資料、官公庁から受託した業務に関する資料、内部監査に関する資料、インシデント対応に関する資料、その他当委員会が本調査の目的を達成するために必要と判断した資料の提供を受けたほか、独自に関係資料を幅広く収集し、その内容を精査した。
(2)

フォレンジック・データレビュー
当委員会は、本調査に当たり、BIPROGY 及び協力会社の役職員合計 15 名が使用していたパソコン及び携帯電話に保存されている電子メール並びに特定の電子ファイル・
フォルダ等の電子データを保全した。
当委員会は、保全した電子データについて、データベース化処理を施した上で、本件USB メモリ紛失事故に関連するキーワード等を用いて閲覧対象に絞り込みをかけ、合計
7

2 万 2,358 件の電子データを特定し、精査の対象とした。
(3)

BIPROGY からの説明の聴取
当委員会は、本調査に当たり、BIPROGY から、下記の事項等について説明を受けた。
・ 会社の沿革及び現況
・ 尼崎市から受託した案件及びその他の官公庁から受託した案件等の概要
・ 本件 USB メモリ紛失事故を受けて実施した取引の総点検調査5の実施状況
・ 内部監査の実施状況
・ 社内で検討・実施している再発防止策

(4)

ヒアリング
当委員会は、本調査に当たり、BIPROGY 及び協力会社の役職員（合計 31 名）に対し、

延べ 45 回のヒアリングを実施した。
(5)

ホットライン
当委員会は、本調査に関し広く情報を得るため、2022 年 8 月 31 日から同年 12 月 9日までの間、BIPROGY の役職員（出向者等を含む。
）を対象に、直近 5 年間に BIPROGY
が官公庁から受託した業務に関し、①法令、契約、内規等により要求される再委託に関する手続に違反する事項及び②法令、契約、内規等により要求される情報セキュリティの保全又は個人情報の保護のルールに違反する事項を申告対象事項（ただし、既に社内で報告して調査が行われたことが確認された事項を除く。）として、電子メールで申告を受け付けるホットライン窓口を当委員会の事務局に設置した6。
(6)

アンケート
当委員会は、本件 USB メモリ紛失事故に関する原因分析等に活用するため、2022 年

9 月 30 日から同年 10 月 11 日までの間、BIPROGY の役職員のうち、主に官公庁を顧客として業務に従事する部門に所属する役職員合計 524 名を対象として、USB メモリ等の可搬メディアの取扱いの実情、取扱いに関するルールの認識等、対象者の情報セキュリ

5

BIPROGY は、本件 USB メモリ紛失事故を受け、本調査とは別に、社内調査として、2022 年 7 月時点で有効な全ての顧客との契約に関する点検を行い、契約上の再委託の取決めに則った手続が行われていたか否かについて調査を実施した（詳細については、第 4 の 1（3）参照。
）。
6
上記期間中における本ホットラインに対する申告はなされなかった。

8

ティ意識等に関するアンケート調査を実施した。本アンケートの質問項目は別紙 2 のとおりであり、その結果の概要は別紙 3 のとおりである。
(7)

協力会社への再委託をめぐる類似案件の調査
当委員会は、BIPROGY が官公庁から受託した業務の協力会社への再委託の実態を明らかにするため、契約上要求されている委託元の承認を得ずに再委託を行った案件等について、その有無及び内容、原因等について、BIPROGY による総点検調査の実施状況を参照しつつ、資料精査、ヒアリング等により、調査を実施した。
6

本調査の性質及び留保事項
当委員会は、上記2の本調査の目的を達成するために必要と認めた調査を実施した。しかしながら、本調査は、あくまでも任意の調査である上、新型コロナウイルス感染症流行の影響により対面でのヒアリングの実施に慎重を期したこと等、様々な制約の中で実施せざるを得なかった。
また、本調査では、BIPROGYから提供を受けた資料や役職員のヒアリングにより得られた供述等について、明らかに不審な点や矛盾点が認められた場合にはその都度慎重な確認を行ったものの、原則として、その内容の真実性が認められ、また、当該関係資料以外の重要な資料であって当委員会の要請にかかわらずBIPROGYから開示されていない資料が存在しないことを前提としている。
さらに、当委員会は、本調査は、あくまでも本件USBメモリ紛失事故に関するBIPROGYの実態等の調査を目的とするものであることに加え、尼崎市においても調査委員会による調査が実施されていること等も踏まえ、尼崎市が保有する資料の検証や尼崎市の関係者からのヒアリング等は実施せず、また、尼崎市が設置した調査委員会との情報共有を差し控えることとした。
なお、当委員会の事実認定は、このような限界や前提の下で実施された本調査の結果であって、当委員会が収集したもの以外の関係資料等が存在し、又は、ヒアリングで得られた供述等に事実と異なる内容が含まれることが判明した場合には、本調査の事実認定が変更される可能性がある。

9

第2

事実関係

1

BIPROGY及び協力会社の概要等(1)

BIPROGY グループの組織及び事業概要

ア

事業概要
BIPROGY は、1958 年に設立され7、主な事業として、システム構築や ICT8サービスの提供を行っており、ICT ソリューションのベンダーとして、ソフトウェアの開発・販
売及び各種システムサービスを中心に、クラウドやアウトソーシング等のサービスビ
ジネス、コンピュータシステムやネットワークシステムの販売・賃貸等幅広い事業を展開している。資本金は約 54 億 8,300 万円であり、グループ全体の売上は年間で約3,167 億円に上り、国内外に 26 のグループ会社を有する。従業員数は、連結 8,068 名、
単体 4,451 名である9。
BIPROGY は、その事業において顧客又は第三者の個人情報を取り扱っており、個人情報データベース等をその事業の用に供していることから、個人情報の保護に関する）上の個人情報取扱事業者10に該当し、その業法律（以下「個人情報保護法」という。
務は同法の規制に服し、同法に規定される義務が課される。

イ

BIPROGYの組織体制等(ア) BIPROGYの組織体制の概要
BIPROGY では、2022 年 7 月 1 日時点において、営業部門であるビジネスイノベーション部門、顧客向けシステム開発・保守を行うシステム部門であるビジネスサービス部門、品質マネジメント部等の管理機能を有するグループデザイン部門、監査機能を有するグループ内部監査部等の部門が置かれている。BIPROGY の組織体制の概要は図表 1 のとおりである。
なお、令和 4 年度の臨時特別給付金の給付への対応業務に営業部門として関与

7

BIPROGY の前身となる日本レミントン・ユニバックの設立年である。
情報通信技術（Information and Communication Technology）を指す。
9
資本金、グループ全体の売上、グループ会社数及び従業員数については、いずれも 2022 年 3 月 31 日時
点の数値である。
10「個人情報データベース等を事業の用に供している者」をいい（個人情報保護法第 16 条第 2 項）、
「個人
情報データベース等」とは、「個人情報を含む情報の集合物」であって、「特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの」及び「特定の個人情報を容易に検索することができるように体系的に構成したもの」をいう（個人情報保護法第 16 条第 1 項）。
8

10

したのはビジネスイノベーション部門の社会公共サービス第一事業部ビジネス三部第一営業所 2G であり、システム部門として関与したのはビジネスサービス部門の社会公共サービス第三本部パブリックサービス部第三室である。図表 2 のとおり、いずれの部門も関西支社に所属しているものの、その上位組織はいずれも本社に置かれている。
図表 1

BIPROGY の組織体制の概要

11

図表 2

各部門と関西支社との関係11(イ) 情報セキュリティマネジメント・システム及び個人情報保護マネジメント・シス
テムの体制
BIPROGY グループでは、情報セキュリティの保全の観点から情報セキュリティマ
ネジメント・システムを、個人情報の保護の観点から個人情報保護マネジメント・システムをそれぞれ導入し、これらの推進のための体制が構築されている。
まず、情報セキュリティマネジメント・システムの実施を統制するための管理上の枠組みとして、グループ最高経営責任者（代表取締役社長）の下、グループ最高情報セキュリティ責任者（Chief Information Security Officer。以下「CISO」という。
）、グループ総合セキュリティ委員会（以下「総合セキュリティ委員会」という。
）、グループ総合セキュリティ運営会議、サイバーセキュリティ戦略推進プロジ、情報セキュリティ対ェクト、情報セキュリティ事故対応技術支援チーム（CSIRT）

11

BIPROGY においては、部門毎に一段組織、二段組織、三段組織と区別されており、一般的に一段組織が上位組織であり、二段、三段と進むにつれて下位組織として位置付けられている。一段組織は、図表 2 のとおり、社会公共サービス第一事業部等の部レベルを指し、一段組織長は、当該部門の長を指す。二段組織
長、三段組織長も同様である。

12

策責任者及び情報セキュリティ対策担当者等の体制が整備されている12。
CISO の役割は、BIPROGY 及びそのグループ会社の情報セキュリティ目的を定め、
サイバーセキュリティ経営の視点を加味した情報セキュリティに関する業務執行の統括・統制をすること、BIPROGY グループの情報セキュリティ関連戦略の策定・実行の執行責任を担当すること、BIPROGY グループの情報セキュリティ保持のための啓蒙活動の執行責任を担当することとされている。
また、CISO の業務執行及び総合セキュリティ委員会の円滑な運営のため、CISO
が CISO オフィスを設置することとされ、CISO オフィスにおいて、「グループにおける情報セキュリティ・個人情報保護推進活動の推進・評価・改善に関する起案」、「グループ情報セキュリティ目的・目標の実施状況の評価、報告」、「情報セキュリ
ティポリシーに準拠し、情報資産を適正に管理・運用しているかどうかの管理、監督、モニタリング」、「グループにおける情報セキュリティに関連する社内教育計画の策定、実施」等を行うものとされている。
さらに、一段組織長、グループ各社社長等が就くとされている情報セキュリティ
対策責任者は、各社における各組織の情報セキュリティ目標達成に向けた取組みに対する責任と権限を有し、各組織における担当業務等の個別事情に応じた情報
セキュリティ対策の実施・推進を行うこととされている。また、情報セキュリティ
対策責任者に任命される情報セキュリティ対策担当者は、各組織・各社の情報セキュリティ対策責任者を補佐するとともに各組織の情報セキュリティ目標達成に向け情報セキュリティの整備・維持及び管理を行うこととされている。
個人情報保護マネジメント・システムの関係では、個人情報の保護に関する組織上の責任者として、個人情報保護責任者が設置され、CISO が個人情報保護責任者も兼務している。個人情報保護責任者の下に、個人情報管理者と個人情報担当者が置かれているが、個人情報管理者と情報セキュリティ対策責任者、個人情報担当者と情報セキュリティ対策担当者は同一の者が指定されている。個人情報保護責任者には、個人情報保護に関する業務執行の統括・統制する役割が、個人情報管理者には、組織内で取扱う個人情報の特定とリスク対策を行う役割が、個人情報担当者には、個人情報管理者の業務を補佐し､自己の担当する組織内全般にかかわる個人
情報のとりまとめ､管理及び個人情報保護マネジメント・システムの実務を推進し､実行する役割が、それぞれ与えられている。
情報セキュリティマネジメント・システム及び個人情報保護マネジメント・シス

12
BIPROGY におけるリスクマネジメント体制としては、リスク管理統括責任者、リスク管理責任者、リスク管理執行者が指定され、これらからリスク発生時の対応支援・指示を求められ、報告を上げる組織として、グループリスク管理委員会が設けられている。グループリスク管理委員会はリスク管理全般を扱う委員会であり、その所管範囲にセキュリティ関連リスクも含まれるが、情報セキュリティについては、総合セキ
ュリティ委員会が主管している。総合セキュリティ委員会は、BIPROGY における情報セキュリティの対応策の方向性を決める役割を担っている。

13

テムの体制の概要は図表 3 のとおりである。
図表 3

情報セキュリティマネジメント・システム及び個人情報保護マネジメント・シス
テムの体制の概要(2)

協力会社であるアイフロント及び X 社の概要等

ア

協力会社が関与することとなった事情
我が国の情報サービス・ソフトウェア市場の特徴には、大規模な設備投資やインフラ整備を必要としない場合が多いという点がある。そのため、比較的中規模・小規模の情報サービス・ソフトウェア企業が多く設立されてきた。
もっとも、大規模顧客は大手の情報サービス・ソフトウェア企業に発注する傾向にあったことから、大手企業は、協力会社として中規模企業に業務を委託し、さらに、中規模企業は小規模企業に再委託するといった、情報サービス・ソフトウェア産業の14

特徴的な産業構造が形成された13。
BIPROGY においても、自社のサービス・エンジニアリングのみでは人的リソースの点から受託業務への対応が困難であり、また、仮にこれに対応しようとすれば多額のコストが必要となることから、受託業務を中規模企業等に委託するという運用が行われていた。
イアイフロント及びX社の概要
BIPROGY は、2020 年 4 月頃から、尼崎市による特別定額給付金の給付への対応業務について、株式会社アイフロント（以下「アイフロント」という。）に対してそのシス
テム改修等の業務を委託し（尼崎市との関係では再委託に該当することから、以下では「再委託」とする。
）、さらに、アイフロントは X 社に対して当該業務を委託（尼崎市との関係では再々委託に該当することから、以下では「再々委託」とする。）していた。
アイフロントは、1969 年に設立された、株式会社全商コンピュータサービス（以下）を前身とするソフトウェア開発会社である。資本金は「全商コンピュータ」という。
1 億 3,000 万円であり、2022 年 4 月時点での従業員数は約 250 名である。また、X 社
は、2000 年に設立された、ソフトウェアの企画・開発会社である。資本金は 300 万円
であり、2022 年 7 月時点の従業員数は 10 名以下である。

ウ

尼崎市関連業務における再委託、再々委託の状況
BIPROGY は、1970 年代頃から尼崎市との取引を開始しており、遅くとも 2000 年頃には、尼崎市を顧客とする業務について、業務内容に応じて、その子会社や協力会社に再委託していた。かかる子会社の 1 つとして、K 社があったが、X 社の代表者は、K
社の出身であり、長年、尼崎市の案件を担当していたことから、X 社は 2000 年代初頭
以降、K 社から尼崎市関連業務の再々委託を受けるようになった。
その後、K 社に代わり、全商コンピュータが BIPROGY から再委託を受け、X 社に再々委託するという形をとることとなった。かかる契約形態は、全商コンピュータが商号変更したアイフロントに引き継がれている。
アイフロントは形式的には BIPROGY から再委託を受けているものの、人員を 1 名出
すことに対して 1 か月あたり 1 万円を自社の収入とするのみで、その余の再委託費をそのまま X 社への再々委託費として支払うという状況にあり、再委託を受けた業務について関与することはなかった。

13

査

みずほ情報総合研究所株式会社「情報サービス・ソフトウェア産業における下請取引等に関する実態調
調査報告書」5 頁

15

なお、X 社への再々委託が開始された 2000 年代初頭には、尼崎市は、受注企業に対し、委託した業務の再委託を全面的に禁止しており、尼崎市と BIPROGY との間の業務
委託契約書においても再委託の禁止が明記されていた。
その後、再委託の禁止が一部緩和されることとなり、それ以降に締結された業務委
託契約書においては、「受託者は、委託業務の一部を第三者に委任し、又は請け負わせようとするときは、あらかじめ委託者の承認を得なければならない。
」旨の規定が設けられるようになった。
このように、再委託の禁止が一部緩和されたものの、BIPROGY は、尼崎市の承認を得ずに、システムの運用・保守業務について第三者に再委託するという運用を続けていた。
2

令和4年度の臨時特別給付金の給付への対応業務の受注経緯(1)

尼崎市との取引状況
BIPROGY は、遅くとも 1970 年代頃までには、大規模な基幹システムを構築することができること等を理由に尼崎市からシステム構築業務等を受注するようになっており、尼崎市の業務に用いるシステムをホストコンピュータ上に構築し、システム導入後は、当該システムの保守・運用業務を担当したり、法改正等により必要となる当該システムの変更・更新業務を担当したりするといったメンテナンス業務を中心に、住民情報、税務等の基幹業務のシステムを一手に受注していた。2000 年頃からのいわゆるオープン化の動きの中で、各種業務システムが他社のパッケージ商品に移行し、徐々に受注を減らし、2020 年度にはホストコンピュータを撤去するに至ったが、現在でもネットワー
クシステム、端末、情報基盤等を提供し、市の行政事務の一定分野のシステムの開発、運用等の業務を受注している。
このように、尼崎市は BIPROGY にとって官公庁の受注先の中でも古くから継続して受注のある主要な取引先の 1 つである。
(2)

BIPROGY が令和 4 年度の臨時特別給付金の給付への対応業務を受注した経緯等
令和 4 年度の臨時特別給付金の給付への対応業務は、2020 年 4 月 15 日頃から尼崎市が実施した特別定額給付金の給付への対応業務を BIPROGY が受注したことを発端とし
ている。

16

ア

令和2年度の全世帯に対する特別定額給付金に関する受託業務の概要
2020 年 1 月以降、国内での新型コロナウイルス感染症が拡大する中で、同年 4 月 20日、「新型コロナウイルス感染症緊急経済対策」が閣議決定され、簡素な仕組みで迅速かつ的確に家計への支援を行うため、特別定額給付金事業が実施されることとなった。
同事業は、基準日（2020 年 4 月 27 日）において住民基本台帳に記録されている者を給付対象者として、1 名につき 10 万円を世帯主に交付するというものであった。
この令和 2 年度の特別定額給付金の給付においては、迅速性が求められていたことから、尼崎市と BIPROGY との間で、コールセンター業務等のシステム改修以外の業務についても BIPROGY がまとめて受注し、その後、システム改修以外の業務については、
BIPROGY で各業務を行うに当たり適切と考える企業に再委託し、BIPROGY が委託先を管理するという方針で合意した（以下、令和 2 年度の特別定額給付金に関する業務を）。
「R2 業務」という。
その結果、BIPROGY は、コールセンター等業務を F 社、印刷・発送業務を D 社、翻訳業務を N 社にそれぞれ再委託することとなった。これらの再委託については、尼崎市から求められたこともあって、遅くとも、R2 業務が開始される 2020 年 5 月 10 日までには、営業部門である社会公共サービス第一事業部ビジネス三部第一営業所 2G の）において、尼崎市に対して再委託承ビジネス・マネージャー14（以下「BM」という。
認申請書を提出して、尼崎市から承認を受けていた15,16。
他方、BIPROGY は、尼崎市と再委託について合意した業務以外のシステム関係業務についても協力会社に再委託した。具体的には、R2 業務のうち、当該給付金を給付するための開発中のシステムにデータを入力して試行し、不具合があれば改修をするといったシステム改修等業務をアイフロントに再委託し、さらに、アイフロントは X 社に当該業務を再々委託した。かかるシステム関係業務の再委託等については、システ
ム部門である社会公共サービス第三本部パブリックサービス部第二室が管理していたが、システム部門から再委託の承認申請はされておらず、営業部門の BM にはアイ
フロントに再委託することの情報共有すらされていなかった。
そして、BIPROGY は、当該システムが適切に作動するのか検証した上、同システム
を尼崎市に納品していた。具体的には、尼崎市市政情報センター（以下「市政情報セ

14

ビジネス・マネージャーとは、案件ごとに選任される営業の責任者のことを指す。
D 社、F 社、及び N 社に対する再委託について、BIPROGY はいずれも 2020 年 5 月 8 日付けで再委託承認
申請書を尼崎市に提出しており、同日、尼崎市長から再委託承認書を受領している。なお、2020 年 4 月 27
日付け R2 業務の担当 BM から尼崎市担当者宛の「【連絡】尼崎市特別定額給付金（仮称）について」と題す
る電子メールでは、R2 業務の担当 BM から当該担当者に対して、「今回、包括的な契約を予定しております
ので、業務における再委託・再々委託のご了承をいただけることへのご確認をお願いいたします。
」との記載があり、尼崎市に対して、R2 業務において第三者への再委託・再々委託を予定していることを伝達していたことが認められる。
16
再委託先である D 社から、その子会社 2 社への再々委託についても、BIPROGY や尼崎市への承認申請はなされていた。
15

17

ンター」という。
）3 階にある BIPROGY の執務室内に設置したノート型パソコン内に同システムを保存し、また、尼崎市から貸与されていた USB メモリを、同じく市政情報センター3 階にあるサーバルーム内に設置された給付金サーバに挿し、給付対象者に関するデータを保存し、さらに、同データもノート型パソコン内に保存した上、同パソコンを操作することにより、システムが適切に作動するのか検証していた。もっとも、BIPROGY は、このような方法で検証を行うことにつき、事前に尼崎市から許可を得ていなかった。また、上記ノート型パソコン内の給付対象者に関するデータについて、検証後に削除することは徹底されていなかった。
なお、BIPROGY の執務室内には、上記ノート型パソコンのほか、市政情報センターに常駐していた BIPROGY や X 社の社員（以下「市政情報センター常駐者」ということがある。
）がシステム運用業務に使用していたデスクトップ型パソコン17も設置されていたが、このデスクトップ型パソコンを使用した検証は行っていなかった。
また、給付対象者の情報は尼崎市市政情報センターに設置されたサーバコンピュー
タで管理されていたところ、実際に給付対象者に送金処理を行うシステムは市政情報センターから徒歩 5 分ほど離れた尼崎市役所本庁舎（以下「本庁舎」という。）において管理されていたことから、給付対象者の口座に送金処理をする際には給付対象者に関するデータを市政情報センターから本庁舎のシステムに移行する作業が必要となった。そこで、BIPROGY は、尼崎市担当者と協議の上で、データの移行作業用に USB メ
モリ 3 本を購入し、テプラで管理番号をそれぞれ付した上、市政情報センター3 階のBIPROGY の執務室に保管し、尼崎市担当者から求められた際には、データを記録した
USB メモリを渡し、尼崎市担当者が USB メモリを運搬してデータの移行作業を行っていた18。
USB メモリにはパスワードを設定していたものの、保管していた同執務室内の引き出しの施錠はしておらず、可搬メディア月次棚卸台帳への記載もしていなかった。また、USB メモリを受け渡す際に尼崎市担当者から預かり証を受領したり、BIPROGY 側で管理簿を付けたりするなどして所在を明確にする管理もしていなかった。
さらに、USB メモリを使用した後のデータについては、削除することもあったが、使用者によっては削除されないままの場合もあった。

17

なお、システム運用業務では、同パソコンに市民の個人情報を含むデータを保存した上で作業することがあり、作業後に削除することは徹底されていなかった。
18
なお、もう 1 つの作業として、尼崎市役所において尼崎市民から受領した給付申請書をまとめて F 社に
セキュリティ便等を用いて送付し、F 社の東京の事業所で口座情報や世帯情報をデータ化し、USB メモリに格納した上で、再度セキュリティ便で市政情報センターに申請書及び当該 USB メモリに格納されたデータを返送し、市政情報センターにおいて給付金システムに反映するという作業も行われていた。

18

イ

令和3年度の住民税非課税世帯を対象にした臨時特別給付金に関する受託業務
2021 年 11 月 19 日付けの「コロナ克服・新時代開拓のための経済対策」の閣議決定において、新型コロナウイルス感染症の影響が長期化する中で、様々な困難に直面した住民に対し、速やかに生活・暮らしの支援を行う観点から、基準日（2021 年 12 月
10 日）における住民税非課税世帯に対して、1 世帯あたり 10 万円の支給をすることが決定された。
このような経緯の中で、尼崎市から BIPROGY に対し、R2 業務において構築したシステムの再構築・改修19、コールセンター業務等関連する業務の包括受注の打診がなされ、BIPROGY は令和 3 年度の臨時特別給付金の業務としてこれを受注した（以下、令）。BIPROGY は、R3 業務
和 3 年度の臨時特別給付金に関する業務を「R3 業務」という。
についても、R2 業務と同様に、F 社、D 社、N 社にコールセンター等業務や印刷発送業
務を再委託したほか、追加の再委託先を 2 社選定した。
BIPROGY は、システム構築業務を I 社に、システム改修等業務をアイフロントに再委託し、アイフロントは X 社に対して当該業務を再々委託した。そして、BIPROGY は、
I 社が構築したシステムを受領した後、事前に尼崎市から許可を得ることなく、R2 業
務と同様の方法で、BIPROGY の執務室内に設置したノート型パソコン内に同システム
及び給付対象者に関するデータを保存した上、同パソコンを操作することにより、システムが適切に作動するのか検証していた20。また、当該ノート型パソコン内の給付対象者に関するデータについて、検証後に削除することは徹底されていなかった。
ただし、これらの再委託については、R2 業務と異なり、システム関係業務の再委託
等のみならず、F 社等の 5 社へのコールセンター等業務等の再委託についても、尼崎市への承認申請はされなかった。
なお、R2 業務を担当していた BM が多忙であったため、2021 年 12 月 15 日以降21、
社会公共サービス第一事業部ビジネス三部第一営業所 2G の別の担当者が BM として R3
業務の契約締結等を担当することになったところ、当該 R3 業務の BM は R3 業務で初めて尼崎市を担当することになった者であった。この担当変更に際して、担当者間での打ち合わせ等が実施され、F 社、D 社及び N 社へ再委託がなされている点について
は、新規担当者への引き継ぎがなされていたことが認められる。

19

令和 2 年度の特別給付金は給付対象者に制限がなかったものの、令和 3 年度の臨時特別給付金の給付対
象者は住民税非課税世帯との制限が設けられていたことから、システムの再構築・改修が必要となった。
20
なお、R3 業務では、F 社からコールセンターで実際に働く者に研修を受けさせるため、本番環境と同じ環境の研修用端末を用意して欲しい旨依頼があったことから、I 社が構築したシステム及び給付対象者に関するデータを一部修正したもの（住民の氏名の一部を「尼」に修正していた。
）を保存したスタンドアロ
ンのノート型パソコンを「研修用端末」として、運送業者を手配して江坂コールセンターに運び込んでいた。
21
R3 業務についての尼崎市との協議は、2021 年 10 月、11 月頃に始まっていた。

19）についても、R2 業務
一方で、プロジェクト・マネージャー22（以下「PM」という。
と R3 業務以降で、担当者が第二室所属の R2 業務の担当 PM から第三室所属の B 氏に変更されている。ただし、両者はいずれも尼崎市案件への関与経験があったため、詳細な引き継ぎはなされていなかった23。
また、コールセンター等業務の実施場所について、R2 業務の際は市政情報センター
において実施していたが、R3 業務を行うに当たって、新たに、市政情報センターから離れた場所に所在する江坂コールセンターを利用することとなった。
この点、BIPROGY と尼崎市担当者の間では、給付金に関する情報が常に最新の状態にアップデートされる必要があるコールセンター等の業務を行う場所としては、尼崎
市民の諸情報が登録されたシステムとネットワークが遮断されている江坂コールセ
ンターは不適切ではないかという議論もされたことがあったが、代替施設が見つからなかったため、情報をアップデートする必要性等の運用状況を見て再検討するという前提で、江坂コールセンターを利用することとなった。ちなみに、R3 業務の際には、給付対象者に関する情報を入れたサーバ自体を江坂コールセンターに搬入したことから、その際に可搬メディアを用いてデータを移行する必要はなかった。
なお、R3 業務についても、給付対象者の口座に送金処理をするために給付対象者に関するデータの移行をする際には、R2 業務と同様に、市政情報センター3 階の BIPROGYの執務室で保管されていた 3 本の USB メモリを尼崎市担当者に受け渡し、尼崎市担当
者がこれを運搬してデータを移行する作業を行った。
ウ

令和4年度の住民税非課税世帯等に対する臨時特別給付金に関する受託業務(ア) 業務の概要
令和 4 年度の臨時特別給付金の給付においては、新たな基準日（2022 年 6 月 1日）において住民税非課税となった世帯に対しても、1 世帯あたり 10 万円の特別給付金が給付されることとなった。
BIPROGY は、2022 年 4 月上旬頃、尼崎市から、令和 4 年度の臨時特別給付金の22

プロジェクト・マネージャーとは、案件ごとに選任されるシステムエンジニアの責任者のことを指す。
一般的に、BM が契約関連のトラブルが生じた際にその対応をする責任を負うのに対して、プロジェクトにおいてシステム関連の障害やトラブルが生じた際に対応する責任を負うのが PM であるという点で両者に差異がある。
23
なお、同案件のプロジェクトメンバーとなっていた C 氏は、社会公共サービス第三本部パブリックサー
ビス部の部長であるが、R2 業務の担当 PM の所属する同部第二室の室長を兼務していた。一方で、第三室室
長は、同部第三室所属の B 氏が担当となったことで、同案件に関与することになった。もっとも、第三室室長としては、プロジェクトを担当している部署は同部第二室であることから、同案件の管理者は C 氏であると考えており、B 氏に関しても、R3 業務は C 氏の部署から尼崎市の案件の担当者を捻出できなかった
ため、一時的な増援要員として同案件を担当させているという意識を持っていたことから、B 氏に詳細に案件管理等について指導してはいなかった。

20

業務の包括受託を打診され、これを受注することとなった（以下、令和 4 年度の臨。
時特別給付金に関する業務を「R4 業務」という。）
なお、R4 業務については、2022 年 5 月 18 日に尼崎市担当者から、契約締結までに時間を要するため、契約履行に向けての作業の準備を開始するよう指示を受け、同月 27 日に BIPROGY 社内にて決裁を経た上で、作業が進められていた。なお、作業の進行を優先させたことから、当該契約に係る契約書は、本件 USB メモリ紛失
事故後の 2022 年 6 月 27 日付けで締結された。
R4 業務には、R3 業務までと同様に、システム改修等業務のほか、コールセンタ
ー業務等、様々な業務が含まれていたが、R4 業務は、R3 業務の際に構築したシス
テムを増築することで基本的には対応可能な業務であり、システム改修等業務に関しては、当該システムへの給付対象者情報のアップデート作業等が主な業務であった。
R4 業務の体制及び再委託先等の状況は図表 4 のとおりであり、R3 業務と同様に、
コールセンター等業務を F 社及び N 社に再委託し、システム構築業務を I 社に、そして、システム改修等業務をアイフロントに再委託したが、いずれの再委託についても尼崎市への承認申請はしていなかった。
なお、I 社が構築したシステムを受領した後、事前に尼崎市から許可を得ることなく、R2 業務及び R3 業務と同様の方法で、BIPROGY の執務室内に設置したノート型パソコン内に同システム及び給付対象者に関するデータを保存した上、同パソ
コンを操作することにより、システムが適切に作動するのか検証しており、上記ノート型パソコン内の給付対象者に関するデータについて、検証後に削除することは徹底されていなかった。
コールセンター等業務の実施場所については、R3 業務の運用状況から、情報を常時アップデートする必要がないことが判明したことから、R4 業務においても、
引き続き江坂コールセンターを使用することとなった。

21

図表 4

R4 業務の体制及び再委託先等の状況
区分

役割
システム構築、データ
更新、
メンテナンス等

臨時特別給付金 システム構築、データ対応業務に必要 更新、

部門
システム

I社

再々委託先
-

X社

営業部門

再委託先1社-

営業部門

再委託先1社

営業部門

N社

-

営業部門

F社

-

タ加工・プリント・封 営業部門

D社

ランディングページ、
動画作成
ネットワーク配線工事

コールセンター コ ー ル セ ン タ ー 業 務
等業務

システム

再委託先

アイフロントなシステム改修 メンテナンス等
等

委託部門の多言語対応

部門

再々委託先1社

コールセンター等業務バックヤ コ ー ル セ ン タ ー 書 類
ード体制

審査・入力窓口業務

窓口業務
申請書類等印刷・デー
印刷発送業務

再々委託先2社

入・発送申請書等の郵送

営業部門

再委託先1社-(イ) BIPROGYにおけるR4業務の体制等
R4 業務における BIPROGY、アイフロント及び X 社の業務体制は図表 5 のとおりである。
なお、上記体制図記載の各業務のうち、システム関連業務については、BIPROGYの B 氏を PM とし、X 社の A 氏ら市政情報センター常駐者が行っていた。

22

図表 5

BIPROGY（協力会社の要員を含む。）における R4 業務の体制図24(ウ) R4業務において取り扱うこととなったデータの概要
R4 業務においては、給付対象者情報のアップデート作業が中心となったものであるが、BIPROGY は、同業務において、以下の個人情報等を取り扱っていた25。


尼崎市の全市民の住民基本台帳の情報（46 万 517 名の統一コード、氏名、郵
便番号、住所、生年月日、性別、住民となった年月日等が含まれる。
）



全市民の税情報（36 万 573 件の統一コード、
住民税の均等割額が含まれる。
）



非課税世帯等臨時給付特別給付金の対象世帯情報（令和 3 年度分 7 万 4,767
世帯分、令和 4 年度分 7,949 世帯分の世帯主の統一コード、申請書番号、申請受付日、申請書不達理由、振込済処理日時等が含まれる。
）



生活保護受給世帯と児童手当受給世帯の口座情報（生活保護 1 万 6,765 件、

24

営業 GM とは営業 2G のグループ・マネージャーであり、管理職として、関西・中国・九州の顧客を担当するグループを監督する立場の者であった。
25
いずれも、下記(3)イに記載されている USB メモリに格納されていたデータである。

23

児童手当 6 万 9,261 件の統一コード、金融機関コード、支店コード、口座区分、口座番号、口座名義が含まれる。）
また、当該データには、臨時特別給付金の支給対象の該当性審査のための障害の有無等の要配慮個人情報26も含まれていた。
(3)

本件 USB メモリ紛失事故発生の経緯及び状況についてア

作業当日までの経緯
上記(2)イのとおり、江坂コールセンターのシステム環境は尼崎市民の諸情報が登録されたシステムと遮断されていたことから、同コールセンターにおいて新たに令和4 年度の臨時特別給付の対象となった尼崎市民の情報を登録し、更新する際には、市政情報センターにおいて更新された最新の尼崎市民に関する情報を USB メモリ等の可搬メディアを用いて江坂コールセンターまで運搬する必要があった。
市政情報センター常駐者らは、それまでにも、データのやり取り等を行うために USB
メモリを使用することがあったが、いずれも市政情報センター内での移動にとどまり、本庁舎に USB メモリを運搬する場合には尼崎市担当者が行っていた。
尼崎市担当者と市政情報センター常駐者との間では、毎週、定例会議を行っており
27、本件 USB メモリ紛失事故の直近である 2022 年 6 月 16 日に行われた定例会議においては、申請状況や送金スケジュールのほか、給付金システムの操作画面の共有がな
され、江坂コールセンターでデータの更新作業を行う手順が確認されたが、セキュリ
ティ便の利用を含め、データの具体的な運搬方法等については議論がなされなかった。
このときの定例会議の議事録は作成されていないことから詳細は不明であるが、USB
メモリの運搬を誰が担当するかについても明確な決定はなく、A 氏が市政情報センターに常駐していたことから、暗黙のうちに、A 氏が USB メモリにデータを格納して運搬するということとなったものと認められる。
なお、同定例会議において、B 氏は、尼崎市担当者に対し、江坂コールセンターにおいて令和 4 年度の臨時特別給付に関する尼崎市民の情報を更新する作業を行うこと
自体は報告したものの、どのような手段で情報を更新するのかについては言及せず、尼崎市担当者からもその点に関して指示等がされることはなかった。また、B 氏は、

26「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」をいう（個人情報保護法第 2 条第 3 項）。
27
定例会議では、現在の作業状況を尼崎市に報告したり、確認すべき点を議論したりしていた。市政情報センター常駐者と PM との間では、明確な報告体制は整備されておらず、具体的な作業については、市政情報センター常駐者との間で話し合うことによって進められていた。

24

上司である第三室室長に対し、同月 21 日に江坂コールセンターで作業を行うことは報告したものの、USB メモリを使用してデータを運搬することについては報告しなかった。
イ

作業当日の状況等
作業当日である 2022 年 6 月 21 日 17 時頃、A 氏は、市政情報センターにおいて、市
政情報センター3 階にあるサーバルーム内に設置された給付金サーバに尼崎市から貸与されている USB メモリを挿し、尼崎市全市民の住民基本台帳の情報や住民税の情報等、上記(2)ウ（ウ）記載の全ての住民関係のデータを同 USB メモリに保存し、さらに、同 USB メモリを BIPROGY 執務室内に設置された A 氏が使用するデスクトップ型パ
ソコンに挿し、同データを同パソコンに保存した。そして、同データ、I 社が作成したシステムデータ及び仕様書のデータ等の更新作業に必要なデータを BIPROGY 所有の
USB メモリ 2 本（予備用のものを含む。
）に保存した上で、私用の鞄の内ポケットに収納し、電車で、江坂コールセンターに向かった28。この USB メモリにはパスワードが設定され、記録されたデータについては暗号化処理が施されていた。
そして、A 氏は、同日 18 時頃、江坂コールセンターにおいて、B 氏、営業 GM 及び I社の従業員 1 名と合流し、USB メモリ内の当該データを用いてサーバを更新した後、B 氏、営業 GM 及び I 社の従業員 1 名とともに同サーバに接続されているパソコン端末の動作確認を行うなどして当該データの移行及びコールセンター等業務で用いるデータベースの更新作業を行い、同日 19 時 30 分頃、予定されていた更新作業を終えた。
その後、B 氏及び営業 GM が、A 氏及び I 社の従業員に対し、江坂駅付近の居酒屋に行くことを提案し、両名がそれに応じたことから、江坂コールセンターから同居酒屋に向かうこととなった。その際、A 氏は、USB メモリ 2 本のデータを削除しないまま
鞄の内ポケット内に収納した。

ウ

紛失状況等
同日 22 時 30 分頃までの間、同居酒屋において、上記 4 名は飲酒を伴う飲食を行った。
そして、同日 22 時 30 分頃、当該飲食が終了し、解散した後、酩酊状態にあった A
氏は、USB メモリ 2 本を収納した鞄を所持したまま、大阪府吹田市内に所在する、自身とは全く関係のないマンションの建物内に入り込み、同建物内で眠り込んだ。A 氏は、同月 22 日 3 時頃に目を覚まし、鞄を当該マンション内に置き忘れた状態で、徒28

なお、A 氏は、上記作業を終えた後、デスクトップ型パソコンに保存した住民関係のデータを削除することなく、江坂コールセンターに向かっていた。

25

歩で帰宅した。
エ

紛失後の状況等
A 氏は、遅くとも同日 9 時頃までには鞄を紛失したことに気付いたが、BIPROGY の市政情報センターの常駐社員に電話で欠勤する旨を伝え、自力で発見できる可能性を考慮し、USB メモリを入れた鞄を紛失したことは報告しなかった。その後、A 氏は、江坂駅近辺に所在する交番に鞄の紛失届を提出した上で、自ら鞄の捜索を行ったが発見することができなかったことから、同日 14 時頃、同常駐社員に対して USB メモリを入れた鞄を紛失した旨報告した。かかる報告を受け、同常駐社員は、BIPROGY 社内に状況を報告の上、A 氏に対し鞄の中の確認、B 氏を含む作業担当者への事実確認を行った。その上で、BIPROGY は、同日 16 時頃までに、尼崎市に対し本件 USB メモリ紛失
事故の報告を行った。
同月 24 日、A 氏は、吹田警察署の警察官 2 名とともに鞄の捜索を行ったところ、上記マンションの建物内において、これを発見した。
発見時、USB メモリは鞄のファスナーが付されているポケットの中に、ファスナーが閉じられて周囲から見えない状態で収納されていた。なお、鞄には、A 氏の財布や市政情報センターの入館証等が入っていたが、紛失以前と比較して無くなっているものはなかった。
また、BIPROGY は、本件 USB メモリ紛失事故の発生後から、ダークウェブ29の監視等の方法により、当該データが漏えいしたと解すべき事情が存在しないかの検証を行ったが、本報告書の作成時点において、かかる事情は認められていない。

29
ダークウェブとは、ダークネット（インターネットを使用するが、アクセスするために特定のソフトウ
ェア、設定、認証が必要なオーバーレイ・ネットワーク）に存在する World Wide Web コンテンツをいう。
日本語では「闇サイト」等と訳され個人情報やソフトウェアの脆弱性に関する情報が取引されるサイトを指す用語として使われることがある。なお、本報告書作成日時点で BIPROGY は本件 USB メモリ紛失事故に関連し、紛失データを公表する等の脅迫や、紛失データの交換を目的とした金銭的要求を受けていない。

26

第3

本調査において判明した問題点

1

概要
本件USBメモリ紛失事故は、BIPROGYの協力会社であるX社の従業員であるA氏が、USBメ
モリを携帯したまま泥酔したことが直接の原因であり、A氏の軽率な行動は強く非難されるべきである。しかしながら、そのような事態を招くに至った背景には、より深刻かつ構造的な問題が存在しているのであり、本件USBメモリ紛失事故の発生原因を一個人の過失に帰結させることは適当ではない。
すなわち、本調査を通じて明らかとなった問題は、BIPROGY関係者（BIPROGY及び協力会
社の役職員）において、個人情報の保護を含めた情報セキュリティの保全に関する各種規範の不遵守が横行していたこと、BIPROGYがICT業界の中核を担う企業として求められる情報セキュリティの保全及び個人情報の保護に関する各種規範を十分に遵守していない
こと（委託先の選定・管理上の問題を含む。）、無承認での再委託等の契約違反が常態化していたこと等が指摘される。
上記第2の2(2)ウ（ウ）のとおり、R4業務においてBIPROGYが取り扱っていた個人情報は尼崎市全市民の情報を含む多量のものであり、かつ、その内容としても要配慮個人情報をも含む秘匿性、機密性の高いものであって、いったん漏えい事故等が発生した場合に、市民の権利・利益が侵害される程度、範囲は重大かつ広範なものとなる。さらに、R4業務は、新型コロナウイルス感染症の流行により生活が困窮している世帯に臨時特別給付金を支給するという、地方公共団体である尼崎市から受託した大規模かつ重要性、公共性の高い業務であり、そのような業務において個人情報の漏えい事故、あるいは漏えいに至らないまでもそのおそれが生じるような事態が生じた場合には、国民・住民の行政に対する信頼が揺らぐこととなり、ひいては将来の行政機関等の事務及び事業の適切かつ円滑な運営を阻害することにもつながりかねないものであった。

2

問題点Ⅰ～情報セキュリティの保全及び個人情報の保護に関する各種規範の不遵守～(1)

BIPROGY における情報セキュリティの保全及び個人情報の保護に関する規範
BIPROGY では、情報セキュリティの保全及び個人情報の保護を目的として各種の社内規程が整備されている。具体的には、図表 6 のとおり、多層かつ細分化された関連規程の体系が存在する。

27

図表 6

情報セキュリティの保全及び個人情報の保護に関する社内規程の体系図

そのうち、本件 USB メモリ紛失事故に関連する主要なものとしては、図表 7 に掲げたものがあるところ、上記目的との関係では、相応に網羅的に規程が整備されているものと認められる。
図表 7

主要な情報セキュリティの保全及び個人情報の保護に関する社内規程並びにその
概要
名称

概要

情報セキュリティ基本

情報セキュリティの保全に取り組む姿勢及び基本的な考え方を方針

まとめた方針情報セキュリティポリ「情報セキュリティ基本方針」に基づき、サイバーセキュリティ

シー

経営の視点を加味したグループの情報セキュリティポリシーを規定し、グループの情報セキュリティ目的（リスク管理方針の実現に向けて、情報セキュリティ分野で達成すべき最終ゴール）を果たし、グループの情報セキュリティマネジメント・システム
や、グループ情報セキュリティ目標（情報セキュリティ目的を実現するために一定の時間内に達成すべき指標やマイルストーン）の達成に向けた取組み、及び取り扱う様々な資産の管理・運用に対する方針、体制を規定することを目的とするポリシー

情報セキュリティ対策「情報セキュリティ基本方針」及び「グループ情報セキュリティ

基準（スタンダード）

ポリシー」に基づき、BIPROGY グループが保有する資産の保護・
28

名称

概要

管理をするための情報セキュリティ対策基準として定める基準
情報セキュリティプロ

BIPROGY グループ各社が可搬メディアを業務で利用する上でセシージャ(可搬メディ

キュリティ上遵守すべき事項を規定する規程

ア規程)
顧客機密情報保護の基

顧客からの委託業務の実施にあたり、BIPROGY グループ各社が利本方針用する顧客機密情報を保護するための基本方針を定める方針

システム開発サービス

顧客機密情報保護の基本方針に則って、顧客機密情報保護を確等で利用する顧客機密

実に実施するため、具体的な顧客機密情報の取扱要領を規定す

情報の取扱要領

る要領

委託業務の実施におけ

BIPROGY グループ各社が委託した業務につき、協力会社が遵守する情報セキュリティガ

べき情報セキュリティに関する事項を取りまとめたガイドライ

イドライン

ン

個人情報保護基本方針

個人情報保護に取り組む姿勢及び基本的な考え方をまとめた方針

個人情報取扱基本規程「個人情報保護基本方針」に基づき、個人情報保護マネジメン
ト・システムの適切な運用を目的とするものであり、全ての個人情報を対象として遵守すべき事項を規定し、個人情報保護マネ
ジメント・システムの運用にあたり、制定される各種規程、規則等の根幹をなす規程

個人情報取扱いガイド

個人情報保護法を遵守するとともに、「個人情報保護基本方針」
及び「個人情報取扱基本規程」等社内規程にも準拠し、個人情報保護マネジメント・システムの全社運用に当たり、個人情報の取扱いや安全管理等について、要領・手順を中心にまとめたガイド
ライン

個人情報の委託先管理

個人情報取扱基本規程第 30 条に基づき、個人情報の委託処理に手順おける委託先の選定・契約・監督等に関する手続を定める規程(2)

BIPROGY 役職員に課された各種規範とその不遵守

ア

BIPROGY役職員に課された各種社内規程における規範
上記社内規程のうち、R4 業務を遂行する上で、情報の移送、USB メモリの使用及びシステム開発に関し、BIPROGY 役職員が遵守すべき具体的な行為規範として特に重要なものは、図表 8 のとおりである。

29

図表 8

各種セキュリティ規程における情報の移送、USB メモリの使用及びシステム開発
に関する遵守事項
遵守事項

主な内容

情 報 資 産を 持 ち出 す・ BIPROGY グループ管理下にある情報資産30を許可無く持ち出際の遵守事項してはならず、当該情報資産を保持している間は、飲酒や遊戯・遊興施設への立ち寄りに限らず著しく注意力・責任感を欠いた行為を行ってはならない（情報セキュリティポリシー）。情報を格納した媒体の輸送には、信頼できる事業者（郵便、宅配業者）と方法（配達記録郵便、セキュリティ便等）
を利用し、また配送中の物理的損傷や漏えい・改ざん・不正使用等から保護するために必要な管理策を実施する（情報セキュリティ対策基準（スタンダード）、情報セキュリティプ
ロシージャ（可搬メディア規程)）。
・ 顧客機密情報（紙媒体及び電子媒体）の輸送は、原則として施錠可能なケースに入れて、施錠して行う。重要な情報を移送・受け渡しする場合は、移送に関する受け渡し等の記録（移送・受け渡しの内容：授受者/授受日媒体名/情報名等、配送/配達記録表等）を残し、移送後も一定期間保管する（情報セキュリティプロシージャ（可搬メディア規程）、システム
開発サービス等で利用する顧客機密情報の取扱要領）。
・ 外出時のルールとして、①BIPROGY や顧客の施設以外では、
特に所持品の盗難・紛失に注意が必要であり、②退社後に飲酒することを把握している際には、情報の持ち出しを控え、③情報資産を所持して飲食店に入る場合は、店舗や乗り物等
で紛失しないために細心の注意を払う（委託業務の実施における情報セキュリティガイドライン）。

USB メモリを利用する
際の遵守事項・ メディアを利用する際には、利用申請を行って利用許可を得る。客先との間で USB メモリを使用する際には、客先のセキュリティポリシーに抵触していないことを確認した上で、客先の同意も得る（可能であれば書面による同意を得る。）（情報セキュリティプロシージャ（可搬メディア規程)）。
・ USB メモリに保存される個人情報等の重要データは、
暗号化、

30

BIPROGY が保有・管理する資産のうち、情報そのもの及び情報が保存又は記録されているソフトウェア、
ハードウェア又は装置のことを指す。なお、「管理する」とは、BIPROGY の事業活動において、契約等に基づき管理責任を負い適切に取り扱っている状態のことを指す。保有形態としては、BIPROGY 内で生成、外部から購入、又はリース・レンタル、顧客又は第三者からの預託等が挙げられる。R4 業務に関し尼崎市から受託したデータについても情報資産に該当する。

30

遵守事項

主な内容
あるいはパスワードで保護する（情報セキュリティプロシー
ジャ（可搬メディア規程)）。
・ 業務において USB メモリを利用する場合、利用者は、USB メ
モリにストラップの装着と許可シール31を貼付し、それ以外の機器との区別を行う（情報セキュリティプロシージャ（可搬メディア規程)）。
・ USB メモリの利用部署の管理者は、利用許可・利用状況を管理するとともに定期的な棚卸しを行い、許可メディアに関しては棚卸の証跡（管理台帳等）をセキュリティ推進担当部門に報告する（情報セキュリティプロシージャ（可搬メディア。
規程)）
・ USB メモリ（可搬メディア）に含まれたデータを利用した後は、当該データを顧客に返却するか、又は消去し、その旨を顧客に文書にて報告する（システム開発サービス等で利用する顧客機密情報の取扱要領）。
・ USB メモリについては原則利用禁止であり、協力会社において利用せざるを得ない場合には、協力会社社員は、委託元である BIPROGY に相談する（委託業務の実施における情報セキュリティガイドライン）。

USB メモリを保管する
際の遵守事項・ USB メモリを保管する際には、キャビネット、金庫、机の引き出し等に収納し、施錠する等、安全かつ適切な方法で管理する（情報セキュリティプロシージャ（可搬メディア規程)）。
・ 帰宅時のルールとして、BIPROGY から貸与されたノートパソ
コンがある場合には、引き出し、キャビネット、ロッカー等の決められた場所に施錠保管する（委託業務の実施における情報セキュリティガイドライン）。

シ ス テ ムを 開 発す る
際の遵守事項・ 顧客本番環境にはアクセスしてはならず、業務上やむを得ない場合には、事前に顧客から文書による同意を得ることを条件として、顧客本番環境にアクセスできるものとする。なお、
顧客本番環境へアクセスすることは極力避けるものとする。
また、アクセス権限を持つ者の履歴を残すものとする（顧客機密情報保護の基本方針）。
・ 取扱いに慎重を要するデータを開発環境・試験環境へ複製す

31

BIPROGY のセキュリティ推進担当部門から配布される、利用が許可された USB メモリであることを識別するストラップとシールを指す。

31

遵守事項

主な内容
る場合には、業務システム主管部署の許可を得て行う（情報セキュリティプロシージャ）。
・ パソコンを返却又は廃棄する場合、そのパソコンの利用者は情報の漏えいを防ぐため、会社が定める方法により機器に格納しているファイル類を確実に消去する（情報セキュリティ
プロシージャ（クライアント PC 規程、モバイル PC 規程））。

イ

個人情報保護マネジメント・システム及び情報セキュリティマネジメント・シス
テムの下での役割
第 2 の 1(1)イ(イ)で述べたように、BIPROGY においては、情報セキュリティの保全の観点から、情報セキュリティマネジメント・システムを、また、個人情報の保護の観点から、個人情報保護マネジメント・システムをそれぞれ導入し、これらの推進のための体制が構築されている。
そして、かかるシステムにおいては、図表 3 に記載のとおり、グループ最高経営責任者（代表取締役社長）を最高責任者とし、CISO 兼個人情報保護責任者には、会社レベルの情報セキュリティ保全及び個人情報保護に関する業務執行の統括・統制する役
割等が、情報セキュリティ対策責任者兼個人情報管理者には、各組織における担当業
務等の個別事情に応じた対策の実施・推進を行う役割が、情報セキュリティ対策担当者兼個人情報担当者には、各組織における取りまとめ・管理・実務の推進等を行う役
割が、それぞれ与えられている。

ウ

ISBP及び個人情報台帳管理システム
BIPROGY におけるシステムサービスについては、情報サービス・ビジネスプロセスの基本方針と制定規程に基づき策定されている、業務の標準的な手順、基準等を定めたシステム開発のためのビジネスプロセス標準（Information Service Business
Process。以下「ISBP」という。）を遵守して業務を実施していくこととされている。
各プロジェクトにおいては、ISBP に基づき、必要に応じて32、セキュリティに対するリスクの洗い出し、各リスクに対する対策の検討（運用ルール、インフラ基盤での対応等）、対策を反映した情報セキュリティ管理計画書の作成を行うこととされている。
情報セキュリティ管理計画書は、プロジェクトの担当 PM が作成することとされてお32

情報セキュリティ管理計画書は、情報を取り扱うのであれば原則として全てのプロジェクトにおいて必要であることを前提に、一部の案件では情報の取扱いがなく、情報セキュリティ管理計画書を作成しない運用がされるものもあることから、「必要に応じて」と定められた。

32

り、二段・三段組織長が、情報セキュリティ管理計画書を含めたプロジェクト実行開始準備状況に対し、プロジェクトコントロールレビュー33を実施する。
また、BIPROGY が保有する個人情報については、個人情報台帳管理システムに登録し、管理することとされている。二段・三段組織長及び業務責任者である担当 PM は、
個人情報台帳管理システムに登録すべき個人情報について、個人情報台帳管理システ
ムから取得申請を行った上で、個人情報管理者の承認を得て個人情報台帳管理システ
ムに登録することとされ、同システムに登録し、管理している個人情報については、
個人情報保護推進委員会事務局が、一次のリスク分析を行い、各部門に対してリスクと管理策等を例示することとされている。
エ

尼崎市との契約上の義務
尼崎市と BIPROGY の間では、契約上、USB メモリの管理・使用に関するセキュリテ
ィルールも定められており、BIPROGY の従業員が業務を遂行する上で遵守すべき重要なルールとして図表 9 に記載の遵守事項が存在する。また、契約上、再委託を行う場
合、再委託先に、本契約における一切の義務を遵守させる必要がある旨が定められて
おり、BIPROGY は、下記の遵守事項を協力会社にも遵守させる義務を負っていた34。

図表 9

尼崎市との契約における USB メモリ等の運搬時・受け取り時の遵守事項
留意事項

主な内容

USB メモリ等の運搬時

・ 運搬責任者は、入力前の入力帳票が送付された年月日、USBの遵守事項

メモリと入力済みの入力帳票を運搬する当日の年月日、デー
タ件数を記載した整理表を添付し、整理表には、入力責任者、運搬責任者が押印又はサインを行う。
・ USB メモリと入力済みの入力帳票は、入力責任者が鍵付きの金属ケースに収納し施錠する。
・ 運搬責任者は施錠された金属ケースを運搬車両で委託者（尼崎市）が指定する場所まで運搬する。

33

立ち上げフェーズで作成した成果物と管理の計画を確認し、プロジェクトの実行開始を承認するレビューをいう。
34
本件 USB メモリ紛失事故時には、R4 業務についての契約書自体は作成されていなかったが、R4 業務にかかる契約は、R3 業務にかかる契約の変更契約であり、その契約内容については、R3 業務についての契約書と同様のものを作成することが想定されていた。これらの定めは、R2 業務にかかる業務委託契約書の文言と同様のものであり、R2 業務にかかる契約の締結当初は、データ移管作業のようなデータ運搬一般に適用することを想定して設けられた規定ではなかったが、これらの契約は、同一の雛形を使用しているものであることや、従前セキュリティ便を利用したデータの運搬が求められていたことを踏まえれば、同様にデータを外部に持ち出して運搬することになる R4 業務におけるデータ移管作業においても、類似した状況にある以上、この規定の内容が適用されるべきであることが当事者の合理的意思であったと考えられる。

33

留意事項

主な内容
・ 運搬責任者は運搬中に盗難、紛失がないように責任をもって管理する。
・ 運搬車両はセキュリティに配慮された車両である必要がある。

USB メモリ等の受け取りの際の遵守事項

・ 送付責任者は、運搬責任者から金属ケースを受け取り、開錠し、整理表に押印又はサインをする。
・ 送付責任者は、USB メモリに格納されたファイルのデータ件数、入力済みの入力帳票の件数、整理表に記載された件数が合致することを確認し、合致しない場合には送付責任者と入力責任者で確認を取り、合致しない理由等を把握し、報告す
る。

オ

遵守の状況

(ア) 本件USBメモリの取扱いに関する遵守の状況
本件 USB メモリ紛失事故で紛失した USB メモリは、R2 業務のために購入されたものであったが、可搬メディア月次棚卸台帳への登録はされておらず、また、市政
情報センターにおいても管理簿や預かり証は作成されていなかったため、事後的に書面等の客観的な証拠から USB メモリの使用者を検証、確認することはできない状態であった。また、USB メモリの保管場所自体は定められていたものの、業務終了後に、USB メモリが全て所定の保管場所に存在するのか確認するルール等も定められておらず、実際に、USB メモリが保管場所にない場合であっても、気が付いた者が他の市政情報センター常駐者等に対して口頭で確認を行う程度であった。
さらに、USB メモリ内のデータの削除は BIPROGY の従業員や協力会社の作業担当者に周知徹底されておらず、実際に USB メモリ内のデータが削除されないままになっている場合もあり、業務終了後のデータの消去の記録も特にされていなかった。
そして、R4 業務の遂行に当たっては、ISBP に基づく、プロジェクトにおけるセキュリティに対するリスクの洗い出し、各リスクに対する対策の検討（運用ルール、
インフラ基盤での対応等）、対策を反映して作成すべき情報セキュリティ管理計画
書の作成はいずれも行われていなかった。また、個人情報保護推進委員会事務局が、一次のリスク分析を行い、各部門に対してリスクと管理策等を例示する前提とな
る、USB メモリに含まれる個人情報の個人情報台帳管理システムへの記録もされておらず、さらに、二段組織長によるプロジェクトコントロールレビューも実施され
34

ていなかった。
このように、R4 業務の全般においても、USB メモリの使用に付随して遵守すべき行為規範のほとんどについて遵守されておらず、また、これが常態化していた。
かかる日常的な規範不遵守の中で、特に、本件 USB メモリ紛失事故の直接的な原因となった USB メモリの運搬に関しては、これに当たった BIPROGY 従業員及び A
氏は、USB メモリにパスワードを設定し、格納したデータを暗号化する処理こそは行ったものの、本来慎重に検討すべきセキュリティ便の利用を含むデータの運搬に関する具体的な手段を検討したり、これを十分に BIPROGY 社内で共有してリスク分析をしたりすることなく、A 氏が 1 名で私用の鞄に入れて運搬しており、規範に準拠した行動はとられていなかった。
特に、R4 業務において、担当 PM として業務責任者の立場にあった B 氏が、多量かつ秘匿性、機密性の高い情報を含む個人情報を、市政情報センターから江坂コー
ルセンターまで USB メモリを使用して運搬する必要があることを認識しながら、個人情報を取り扱うに当たり、ISBP に基づく情報セキュリティ管理計画書の作成等を通じたリスク認識、リスク分析、対策手順の確立、維持といった手順を何ら踏むことなく、協力会社従業員である A 氏に USB メモリの運搬を任せきりにした上、データの移行作業が終了した後も、USB メモリ内のデータの削除を指示せず、それを携帯させたまま、ともに飲酒先に出向いて、A 氏が泥酔するまでの飲酒を許容していた責任は、自らその USB メモリの運搬を担当し、泥酔して紛失した場合と同視できるのであって、およそ、情報セキュリティの保全及び個人情報の保護に係る重要な規範を遵守しておらず、その逸脱の程度も甚だしいものと評価せざるを得ない。
また、B 氏の上司である C 氏等が、R4 業務において取り扱う情報の重要性やその漏えい、滅失又は毀損が発生した場合のリスク等について全く注意を払わず、業務の担当者に任せきりにしていた点についても、その職責を十分に果たしていな
いものとして指摘せざるを得ない。この点、PM から上司に対して、当該受託業務の内容や作業予定等を適時・適切に報告していなかった面はあるものの、少なくともプロジェクトの名称だけ見ても尼崎市民の秘匿性、機密性の高い個人情報を多量に取り扱うことが容易に予測可能であり、また、C 氏自身、R4 業務に関連する会
議等にも出席していたことから、情報セキュリティにおける重要な役割を負っていた現場組織の長として、より積極的に報告を求める等すべきであったのであり、部下に任せきりで受け身の姿勢でいたこと自体が大きな問題であったと考えられる。

35

(イ) システム開発における遵守の状況
上記第 2 の 2(2)のとおり、BIPROGY は、R2 業務以降、BIPROGY の執務室内に設置したノート型パソコン内に開発中の給付金のシステムを保存し、また、サーバルーム内に設置された給付金サーバに USB メモリを挿し、給付対象者に関するデー
タを保存し、さらに、同データもノート型パソコン内に保存した上、同パソコンを操作することにより、開発中の給付金システムが適切に作動するのかを検証していた。
この点について、実際に作動確認等を行っていた A 氏は、2022 年 1 月 26 日、B氏に対して、開発パソコンで実データを用いることが個人情報保護の観点から問題があると考え、実データを用いることの適否について質問したところ、B 氏は、実データで問題無い旨回答した35。
このように、実データを用いることに対して A 氏が問題提起したにもかかわらず、PM である B 氏が、上記(ア)で言及した受け身の姿勢を超えて、むしろ情報セキュリティの保全及び個人情報の保護に係る重要な規範に反する行為を積極的に指示したとして、より重大な問題だと評価できる。
また、当該ノート型パソコン内の給付対象者に関するデータについて、検証後に削除することは徹底されていなかったことも認められており、この点についても、
上記(ア)に記載の規範を十分に遵守していたとは言い難いと考えられる。
(3)

BIPROGY に課された法規範等

ア

BIPROGYに課された個人情報保護法上の義務
BIPROGY は個人情報保護法における個人情報取扱事業者であり、同法に規定される各種の義務を負っている。そのうち、本件 USB メモリ紛失事故において関連する義務は、下記のとおりである。

(ア) 安全管理措置（個人情報保護法第23条）について
個人情報取扱事業者は、その取り扱うデータの漏えい、滅失又は毀損（以下「漏352022 年 1 月 26 日付け A 氏から B 氏宛（cc として R2 業務の担当 PM が含まれている。
）の「【尼崎市非課
税世帯給付金案件】研修用端末について」と題する電子メールでは、A 氏が B 氏に対して、「研修用端末ですが、本番データを使用していいものなのでしょうか? NG なような気がします。
。
」と送信したところ、B 氏
からは、「本番データで大丈夫です。本番も本番データやし。」と返信している。これに対し、A 氏は、「とりあえず氏名の頭 1 文字だけ「尼」に変えておきましょうか。
。
」と返信したところ、B 氏からは、「めんどうやなかったらそうしといて！」と回答している。

36

えい等」という。
）の防止その他の個人データの安全管理のために必要かつ適切な）を講じなければならない（個人情報保護法
措置（以下「安全管理措置」という。
。
第 23 条）
当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人デー
タの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならないとされている（個人情報保護
ガイドライン（通則編）3-4-2）。同ガイドラインは、個人情報保護法第 23 条に定める安全管理措置として、個人情報取扱事業者が具体的に講じなければならない措置や当該措置を実践するための手法の例として図表 10 の内容等を示している。
図表 10 個人情報保護法第 23 条に定める安全管理措置の例講じなければならな

手法の例示

い措置
個人データの取扱い

取得、利用、保存、提供、削除・廃棄等の段階ごとに、取扱方法、に係る規律の整備責任者・担当者及びその任務等について定める個人データの取扱規程を策定すること。

組織体制の整備・ 個人データの取扱いに関する責任者の設置及び責任の明確化
・ 個人データを取り扱う従業者及びその役割の明確化
・ 上記の従業者が取り扱う個人データの範囲の明確化
・ 法や個人情報取扱事業者において整備されている個人デー
タの取扱いに係る規律に違反している事実又は兆候を把握した場合の責任者への報告連絡体制
・ 個人データの漏えい等の事案の発生又は兆候を把握した場合の責任者への報告連絡体制
・ 個人データを複数の部署で取り扱う場合の各部署の役割分
担及び責任の明確化

個人データの取扱い

個人データの取扱いに係る規律に従った運用を確保するため、例に係る規律に従った

えば、次のような項目に関して、システムログその他の個人デー

運用

タの取扱いに係る記録の整備や業務日誌の作成等を通じて、個人
データの取扱いの検証を可能とすること。
・

個人情報データベース等の利用・出力状況

・

個人データが記載又は記録された書類・媒体等の持ち運
び等の状況

・

個人情報データベース等の削除・廃棄の状況（委託した37講じなければならな

手法の例示

い措置
場合の消去・廃棄を証明する記録を含む。）
・ 個人情報データベース等を情報システムで取り扱う場
合、担当者の情報システムの利用状況（ログイン実績、
アクセスログ等）
個人データの取扱状

例えば、次のような項目をあらかじめ明確化しておくことによ況を確認する手段のり、個人データの取扱状況を把握可能とすること。

整備・

個人情報データベース等の種類、名称

・ 個人データの項目

取扱状況の把握及び安全管理措置の見直
し・責任者・取扱部署

・

利用目的

・

アクセス権を有する者等

・ 個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する。
・ 外部の主体による監査活動と合わせて、監査を実施する。

(イ) 従業者の監督（個人情報保護法第24条）について
個人情報取扱事業者は、その従業者に個人データを取り扱わせるに当たっては、
当該個人データの安全管理が図られるよう、当該従業者に対する必要かつ適切な監督を行わなければならない（個人情報保護法第 24 条）。
その際、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に起因するリスクに応じて、個人データを取り扱う従業者に対する教育、研修等の内容及び頻度を充実させる等、必要かつ適切な措置を講ずることが望ましいとされている（個人情報保護ガイドライン（通則編）3-4-3）。
この点、情報セキュリティポリシー上、CISO は、全ての役職員に必要な力量（スキル）を教育・訓練することとされ、また、情報セキュリティ対策責任者は、配下の役職員及び協力会社の職員に対し、情報セキュリティの重要性を認識させ、情報資産を適切に取り扱うよう周知徹底を図り、継続的に情報セキュリティ遵守に関する指導・育成を行うこととされている。さらに、総合セキュリティ委員会は、セキュリティに関連する組織の方針・手順についての意識向上を図るため、教育の内容やカリキュラムを関連部署と調整し、役職員及び契約相手の役割に応じた情報
セキュリティ教育・訓練計画を立案し、CISO の承認を得て実施することとされている。
38

その上で、情報セキュリティ対策基準（スタンダード）においては、教育・訓練の実施に当たっては、全ての役職員を対象として、セキュリティの重要性、対策、脅威等に関する教育・訓練を年 1 回以上行うこと、情報セキュリティ体制で求められている各社情報セキュリティ対策責任者及び担当者の役割に応じた教育・訓練を行うこと、協力企業等へ業務委託が行われる場合、業務委託元部門に対して、協力会社従業員等を対象とした委託業務の実施における情報セキュリティガイド
ラインに基づく教育を行うように指導すること等を考慮して行うこととされている。
(ウ) 委託先の監督（個人情報保護法第25条）について
個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない（個人情報保護法第 25 条）。
その際、委託する業務内容に対して必要のない個人データを提供しないようにすることは当然のこととして、取扱いを委託する個人データの内容を踏まえ、個人
データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、委託する事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。
）等に起因するリスクに応じて、必要かつ適切な措置を講じなければならないとされている（個人情報保護ガイドライン（通則編）3-4-4）。同ガイドラ
インは、個人情報保護法第 25 条に定める必要かつ適切な措置として、図表 11 の
内容等を示している。
図表 11 個人情報保護法第 25 条における必要かつ適切な措置
措置

主な内容

適切な委託先の選定

委託先の選定に当たっては、委託先の安全管理措置が、少なくとも個人情報保護法第 23 条及び個人情報保護ガイドラインで委託
元に求められるものと同等であることを確認するため、同ガイ
ドラインで定められている安全管理措置の内容が確実に実施されることについてあらかじめ確認する。

委託契約の締結

委託契約には、当該個人データの取扱いに関する、必要かつ適切な安全管理措置として、委託元、委託先双方が同意した内容とともに、委託先における委託された個人データの取扱状況を、委託元が合理的に把握することを盛り込むことが望ましい。

委託先における個人

定期的に監査を行う等により、委託契約で盛り込んだ内容の実データ取扱状況の把施の程度を調査した上で、委託の内容等の見直しを検討するこ
39

措置
握

主な内容
とを含め、適切に評価することが望ましい。
また、委託先が再委託を行おうとする場合は、委託を行う場合と同様、委託元は、委託先が再委託する相手方、再委託する業務内
容、再委託先の個人データの取扱い方法等について、委託先から事前報告を受け、又は承認を行うこと、及び委託先を通じて、又は必要に応じて自らが定期的に監査を実施すること等により、委託先が再委託先に対して、本条の委託先の監督を適切に果たすこと、及び再委託先が個人情報保護法第 23 条に基づく安全管
理措置を講ずることを十分に確認することが望ましい。再委託
先が再々委託を行う場合以降も、再委託を行う場合と同様である。

イ

尼崎市との契約上の義務
尼崎市と BIPROGY との契約における個人情報保護・情報セキュリティに関する規定のうち、本件 USB メモリ紛失事故との関係で重要と考えるものは図表 12 のとおりである。

図表 12 尼崎市との契約における情報セキュリティの保全及び個人情報の保護に関する規
程
規程

主な内容

特別定額給付金対応業

委託業務を実施するにあたり、次の各号に掲げる事項を遵守し務委託仕様書

なければならない。
・ 業務実施に係る責任者、作業者、作業場所について管理体制を書面をもって報告すること。
・ 委託業務従事者に対し、業務委託の実施に必要な知識及び技術を習得させるとともに、随時、セキュリティに関する研修、教育その他従事者の資質向上を図る研修を実施すること。

個人情報取扱特記事項

・ 受託者は、個人情報の適正な管理のために必要な措置を講じなければならない。
・ 受託者は、この契約による業務に従事している者に対して、個人情報の保護に関し必要な事項を周知し、又は教育しなけ
ればならない。
・ 受託者は、委託者の許可がある場合を除き、この契約による業務に関して知り得た個人情報について、保有する必要がな
40

規程

主な内容
くなったときは、確実かつ速やかに廃棄し、又は消去しなければならない。その際、受託者は廃棄又は消去が完了したことを証明する書面を委託者に提出しなければならない。
・ 受託者は、この契約による業務に係る個人情報の取扱状況について、定期的に報告しなければならない。
・ 受託者は、個人情報保護法、行政手続における特定の個人を識別するための番号の利用等に関する法律及び尼崎市個人
情報保護条例等個人情報の保護に関する法令等（尼崎市の条例等を含む。）を遵守しなければならない。

データ取扱特記事項

・ 受託者は、この契約による業務に関するデータについて、その漏えい、滅失、き損、改ざん及び委託者の事業所外への持出しの防止その他のデータの適正な管理のために必要な措置を講じなければならない。
・ 受託者は、この契約による業務に従事している者に対して、データの保護に関し必要な事項を周知し、又は教育しなければならない。
・ 受託者は、委託者の許可がある場合を除き、この契約による業務に関するデータについて、保有する必要がなくなったときは、確実かつ速やかに廃棄し、又は消去しなければならない。
・ 受託者は、廃棄又は消去が完了したことを証明する書面を委託者に提出しなければならない。
・ 受託者は、この契約による業務に係るデータの取扱状況について、定期的に報告しなければならない。
・ 受託者は、尼崎市情報セキュリティ対策基準等情報セキュリ
ティに関する関係法令等（尼崎市の条例等を含む。
）を遵守しなければならない。

ウ

遵守の状況
本件 USB メモリ紛失事故において紛失した USB メモリには、上記第 2 の 2(2)ウ(ウ)のとおり、尼崎市の全市民の住民基本台帳の情報や住民税の情報を始めとする膨大な量の個人情報や秘匿性、機密性の高い要配慮個人情報が保存されていたものであり、
当該個人情報が漏えいをした場合に尼崎市民が被る権利利益の侵害の大きさは甚大なものとなることを考慮すると、事業の規模及び性質、個人データの取扱状況（取り41扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクは極めて高いものであることから、BIPROGY には、極めて高度な安全管理措置の整備・運用が求められていたものと言うべきである。
BIPROGY は、上記(1)において掲げた各種規程等を整備し、また、上記第 2 の 1(1)イ(イ)のとおり、情報セキュリティの保全及び個人情報の保護の推進体制を整備しており、その限度においては、個人情報保護法及び個人情報保護ガイドラインが求める水準を相応に満たしていると評価することも可能である。
しかしながら、下記のとおり、特にその運用面においては、取り扱う個人情報の重要性に見合った措置が組織的に講じられていたとは認められない。
(ア) 安全管理措置（個人情報保護法第23条）について
まず、BIPROGY には個人情報保護法第 23 条に規定される安全管理措置を講ずる義務が課されているところ、R4 業務に携わった BIPROGY 従業員が情報セキュリテ
ィの保全や個人情報の保護のために求められる各種規範に反する行動に及んでいることからすれば、BIPROGY が、従業員個々人に遵守すべき規範を遵守させるという安全管理措置を十分に講じていたと評価することはできない。
第一に、多量かつ秘匿性、機密性の高い個人情報を取り扱うことを前提とすれば、個人データの取り扱いに関する責任者を設置し、その責任を明確化することが求められ、従業者の役割も明確化することが必要である。BIPROGY は、ポストとしては、グループ最高経営責任者（代表取締役社長）の下、個人情報保護及び情報セキ
ュリティに関する業務執行を統括・統制する CISO 兼個人情報保護責任者、各組織における担当業務等の個別事情に応じた対策の実施・推進を行う情報セキュリテ
ィ対策責任者兼個人情報管理者（一段組織長が指定されている。）、各組織における取りまとめ・管理・実務の推進等を行う情報セキュリティ対策担当者兼個人情報担
当者を置いている。しかしながら、その下部に当たる二段組織長以下に明確に指示・管理等がされておらず、二段組織長以下の具体的な役割と責任があいまいなま
ま R4 業務が遂行されており、プロジェクトに関与した BIPROGY 従業員は誰一人として個人データの取扱いについて責任ある職責を十分に果たしておらず、会社としてもその職責を果たさせるための有効な方策を講じていなかった。
すなわち、R4 業務において、これらのポストについた役職員の下で実際の業務を管理監督すべき二段組織長は、業務担当部署の業務責任者・業務担当者が定められた個人データの取扱いに係る規範に従った運用を実施しているかについて、プ
ロジェクトコントロールレビューを通じて主体的にこれを監督する責任を負っていたにもかかわらず、その役割と職責を果たさず業務責任者に任せきりにしており、さらに当該業務責任者である B 氏も協力会社の A 氏に USB メモリの運搬を任42

せきりにしていた。
B 氏は、情報セキュリティ管理計画書の作成や USB メモリに含まれる個人情報の個人情報台帳管理システムへの記録を怠る等、その業務責任者としての役割と職責を全く果たしていなかった。この点、情報セキュリティ管理計画書の作成を定める ISBP において、当該書面作成の義務が「必要に応じて」作成するという現場判断に基づく表現振りになっていたため、結果として現場任せとなり、R4 業務の場
合も含め、現場の対応は安易に流れ、取り扱う個人情報の性質及び量や作業内容の危険性を適切に評価しないためにその作成が行われないという事態を引き起こした一因にもなっていたと考えられる36。
したがって、組織体制の整備及びその運用は、実際には不十分だったと評価せざるを得ない。
第二に、個人データの取扱いについては、社内規程等によって USB メモリの運搬、システムの開発における遵守事項等が規律されているところ、その規律に従った運用がなされているか否かについて会社として十分に確認・検証することなく、業務を遂行する現場に任せきりにしていた状況が認められ、その結果、R4 業務に当たった者らによる無責任極まりない行動を抑止することができず、個人データの取扱いに係る規律に従った運用がされない事態を生じさせた。
第三に、管理簿や預かり証の作成等がされないことが常態化しており、個人デー
タの取扱状況を検証する手段の整備は不十分であったし、会社により取扱状況の把握及び安全管理措置の見直しがされていた状況も見受けられない。
これらの点を勘案すると、BIPROGY は、組織として、R4 業務において取り扱う個
人情報の性質及び量に照らし、情報セキュリティの保全上及び個人情報の保護上のリスクを的確に把握し、これを回避するための方策を検討、決定し、遂行することができていなかったものと指摘せざるを得ない37。
(イ) 従業者の監督（個人情報保護法第24条）について
従業者等に対する教育、研修等に関する規程は一応整備されており、BIPROGY によれば、全職員に対する研修は、年 1 回必須のものとして e-learning の形式でト
ピックごとに実施していたということである。しかし、当該 e-learning における理解度の確認テストは繰り返し受験を行えば正答を暗記して完了できるような形
36

この点は、本来、情報セキュリティ管理計画書の作成実態のモニタリングを通じて、その運用の修正の要否、規程の改正の要否等を検討して適時に対応すべきであったが、モニタリングが機能せず、制度を所管する品質マネジメント部がその実情を把握していなかったという、運用上の問題も認められた。
37
この点について、2022 年 9 月 21 日付で、個人情報保護委員会から BIPROGY に対して、個人情報保護法
第 144 条に基づく行政指導が行われており、当該行政指導においても組織的安全措置、物理的・技術的安全措置といった個人情報保護法第 23 条に規定される安全管理措置について、本報告書で言及しているような問題点が存在する旨の指摘がなされている。

43

式となっており、理解が不十分でも e-learning の受講を完了することが可能であった。また、e-learning について、過去 3 年分の内容は社内のイントラネットにて閲覧可能な状態であったが、本調査においてそれを認識している者は見受けられなかった。そして、下記第 4 の 1 に記載するとおり、BIPROGY の役職員の情報セ
キュリティに対するコンプライアンス意識が低いものであったことからすると、当該研修の BIPROGY の役職員の情報セキュリティに対する意識の醸成に対する効
果は、十分なものではなかったことがうかがわれる。
さらに、上記全職員に対する研修とは別個に実施されていた、市政情報センター
における業務に従事する者に対する研修の運用実態を検証すると、本件 USB メモ
リ紛失事故の 3、4 年前頃から実施されなくなっており、過去に毎年 1 回程度行われた研修についても、BIPROGY の担当 PM により、尼崎市の職員向けの研修資料をベースとして作成された資料に基づいて行われ、配布した資料は研修終了の際に回収しており、資料が研修対象者の手元に残ることはなく、内容について BIPROGYの従業員や協力会社の従業員が研修終了後に確認することはできない状況にあった上、約 10 年間にわたり同じ資料を使用しており、アップデートがなされたことはほとんどなかったという点において、具体的な事案における行動を決定する上での参考になるような実効的な研修が行われていたとは言い難い。
このような状況からすると、BIPROGY の情報セキュリティ研修は形骸化していた側面があることは否定できず、市政情報センターにおける業務に従事する者に対する研修を含め、その運用は現場に任せきりにして事後的なチェックを行わない等、会社として、個人データの適正な取扱いについて周知徹底し、その実効性を確保しようという強い意識に基づいた適切な教育等がなされていたとはいえない。
(ウ) 委託先の監督（個人情報保護法第25条）について
BIPROGY は個人データの取扱い業務の再委託先であるアイフロント、再々委託先である X 社に対して、個人データの安全管理が図られるよう、必要かつ適切な監督を行う義務があったが、以下に述べるように、
図表 11 に記載の基準に照らして、委託先に対する十分な監督がなされていたものとは認められない。
①

適切な委託先の選定がなされていないこと
尼崎市を顧客とする案件に関し、アイフロントを介した X 社への再々委託のスキームは、長年にわたり継続しているが、アイフロントが実際に得る収入は人員を一人出すことに対して 1 か月あたり 1 万円と非常に少額であること、実際に業務に関する実質的な管理者は設置されていないこと、及び BIPROGY が再44

委託先との間で取り交わすべき書類（再委託元である BIPROGY が作成すべき作）や再委託先である
業範囲指示書（Statement of Work。以下「SOW」という。
アイフロントが作成すべき業務計画書等）も作成されていない38こと等からす
れば、アイフロントについては、再々委託先である X 社の業務を適切に監督することを期待して選定されたものでなく、単に名目的な再委託先として介在していたにすぎないことは明らかである。
A 氏は、X 社に入社し、尼崎市の担当者として常駐することになった 2003 年頃から、尼崎市を顧客とする業務の専任として業務遂行し続け、次第に、
BIPROGY にとっても尼崎市にとっても、尼崎市を顧客とする案件を詳細に把握しているキーパーソンたる地位を築いており、BIPROGY はこのような現場要員を確保するために、アイフロントを名目的に経由させて再委託、再々委託していたのが実態であったと評価しうる。その意味では、実質的には、X 社を委託先として選定したとも評価できることから、その委託先としての適切性自体も問題となるところである。
そして、X 社においては、情報セキュリティの保全や個人情報の保護のための規程は十分に整備されておらず、また、職員に対する研修も十分に行われていたとは言い難い実情にあり、個人情報保護ガイドラインに示されているような、委託元、すなわち BIPROGY に求められるものと同等の安全管理措置が採られていないことから、X 社自体、委託先としての適切性を欠いていたことは明らかである。
②

委託先における個人データ取扱状況を把握していなかったこと
BIPROGY がアイフロント及び X 社における個人データの取扱状況を把握する
ための定期的な監査は行われておらず、運用としても、個人データがどのように取り扱われているかについて把握していない状況にあった。
また、アイフロントが X 社に再々委託するに当たっても、BIPROGY は、アイ
フロントが X 社に対して、委託先の監督を適切に果たすこと、及び再々委託先である X 社が個人情報保護法第 23 条に基づく安全管理措置を講ずることを十分に確認していたとはいえない。

38
本件 USB メモリ紛失事故発生後、担当 PM である B 氏は、R4 業務に係るアイフロントに対する SOW とア
イフロントが作成すべき実施計画書の書類の有無を確認し、これらが作成されている場合には提出するよう指示を受けたことから、これらの書類の有無を確認し、これらが作成されていなかったことに気が付いた。そこで、B 氏は、本来作成されているべきだった SOW と実施計画書を、それが本来作成されているべき
日付にバックデートで作成した（後者についても B 氏が作成し、アイフロントの担当者に内容を確認して
もらった。
）
。

45

3

問題点Ⅱ～無承認での再委託など契約違反の常態化～(1)

尼崎市との契約において必要とされる再委託の承認を取得しなかったことア

尼崎市における再委託に関する規制
上記第 2 の 1(2)ウのとおり、X 社への再々委託が開始された 2000 年代初頭には、尼崎市は、受注企業に対し、委託した業務の再委託を全面的に禁止しており、尼崎市と BIPROGY との間の業務委託契約書においても再委託の禁止が明記されていた。
2005 年になって尼崎市における再委託の禁止が一部緩和されることとなり、それ以降に締結された業務委託契約書においては、「受託者は、委託業務の一部を第三者に委任し、又は請け負わせようとするときは、あらかじめ委託者の承認を得なければならない。
」旨の規定が設けられるようになった。
一般に、業務委託において再委託について厳格な規制がなされるのは、再委託によって業務実施の品質が低下するおそれがあることを理由とするものであり、委託元において、再委託先の情報を参照して再委託によっても委託先が業務を実施する場合と同等の品質を確保できると判断した場合についてのみ再委託が許容されるものと考えられる。総務省作成の地方公共団体における情報セキュリティポリシーに関するガ
イドライン（令和 4 年 3 月版）第 3 編第 2 章情報セキュリティ対策基準（解説）第 8
項では、「一般的に、再委託した場合、再委託事業者のセキュリティレベルは下がることが懸念されるために、再委託は原則禁止する。例外的に再委託を認める場合には、再委託事業者における情報セキュリティ対策が、他の委託事業者と同等の水準である
ことを確認し、委託事業者に担保させた上で許可しなければならない。」とされており、尼崎市についても、このような考えの下で再委託に関する規制を行っているものと理解される。
R4 業務に関する契約39では、尼崎市との業務を第三者に再委託又は再々委託する場
合に委託元である BIPROGY が遵守すべき事項として、図表 13 のとおり定められている。

39

本件 USB メモリ紛失事故時には、R4 業務についての契約書自体は、作成されていなかったが、R4 業務にかかる契約は、R3 業務にかかる契約の変更契約であり、その契約内容については、R3 業務についての契約書と同様のものを作成することが想定されていた。したがって、R4 業務についても、図表 13 に記載の規定が適用されることが当事者の合理的意思であったと考えられる。

46

図表 13 尼崎市との契約における再委託又は再々委託に関する BIPROGY の義務
概要（A）第三者に再委託す

再委託する場合、委託者である尼崎市の承認を得ること。

る場合の義務

再委託する業務内容に個人情報の取扱いが含まれる場合は、前もって再委託予定先にて、「個人情報取扱特記事項」に定められる安全管理措置が講じられることを確認し、BIPROGYが書面により尼崎市に提出すること。



再委託先との契約において、「個人情報取扱特記事項」と同等以上の規定を定めること。



業務に係る個人情報の取扱い状況について、BIPROGYが尼崎市に定期的に報告すること。

（B）第三者に再々委託



再々委託する場合、委託者である尼崎市の承認を得ること。

する場合の義務

再々委託する業務内容に個人情報の取扱いが含まれる場合は、前もって再々委託予定先にて、「個人情報取扱特記事項」に定められる安全管理措置が講じられることを確認し、BIPROGYが書面により尼崎市に提出すること。



再々委託する業務内容に個人情報の取扱いが含まれる場合において、上記承認、書面提出を行ったことを、BIPROGYから尼崎市に通知
すること。



再々委託先との契約において、「個人情報取扱特記事項」と同等以上の規定を定めること。



業務に係る個人情報の取扱い状況について、BIPROGYが尼崎市に定期的に報告すること。

このように、尼崎市との契約においては、受託した業務を再委託又は再々委託する
場合には、尼崎市から承認を得る必要があるほか、再委託先（再々委託する場合には再々委託先も含む。）において安全管理措置が講じられることを確認する書面（以下「安全管理措置確認書」という。）等を尼崎市に提出するといった必要があった。
イ

再委託に関する尼崎市の承認を取得しなかったこと
上記アのような経緯で再委託の禁止が一部緩和され、尼崎市の承認を得れば再委託ができることとなったものの、BIPROGY は、尼崎市の承認を得ずに、委託された業務について第三者に再委託するという運用を続けていた。
R2 業務に関しては、コールセンター等業務の F 社等への再委託等、営業部門が担当
47

する業務については、尼崎市に再委託の承認申請をして承認を得ていたが、これらについても、令和 3 年度以降は承認申請がなされておらず、また、令和 3 年度に新規に再委託することになった 2 社や、システム部門が担当するシステム構築・改修、運用等の業務については、再委託の申請をすることなく再委託等（再委託先からの再々委
託、再々々委託等を含む。以下本項において同じ。
）を行っており、アイフロントへの再委託及び X 社への再々委託についても承認申請をすることはなく、承認を得ないま
まに再委託等を行っていた。
R4 業務においても、システム部門が担当するシステム構築、データ更新、メンテナ
ンス等の業務についてはもとより、営業部門が担当したコールセンター業務等を含め、再委託等については、いずれも申請されておらず、無承認での再委託等が行われていた。
尼崎市を顧客とするシステム開発・運用等の業務において、再委託等の承認申請がされなかったのは一連の特別給付金対応業務に特有の事情ではなく、尼崎市を顧客とする業務全般について、長期間にわたり慣例的に、承認申請がなされないまま再委託等が行われていた事実が認められた40。
ウ

尼崎市を顧客とする案件について再委託等の承認申請が行われなかった背景・原
因等
本調査では、尼崎市を顧客とする委託案件について、BIPROGY が再委託等の承認申請を行わなかった背景・原因を解明すべく、関係者のヒアリング、関係資料の精査等を実施した41が、再委託等の申請をせずに再委託等をする運用は、かなり古く、2000年頃までには慣行化していたものと認められ、既に関係資料は存在せず、関係者も退職済みであったこと等から、本調査においては、その当初からの経緯を明らかにすることはできなかった。
しかしながら、本調査の結果、少なくとも無承認での再委託等が継続されてきた背景要因としては、以下の点が考えられる。

40

さらに、他の官公庁や民間企業との間においても、無承認での再委託等が行われていた状況については、
第 4 の 1（3）参照。
41
再委託等の承認がないまま協力会社が委託業務を実施していたことについて、尼崎市担当者が認識していたか否かについても調査を行ったところ（ただし、上記第 1 の 6 のとおり、尼崎市関係者からのヒアリ
ング等は実施していない。
）、古くからの取引関係の中で、尼崎市担当者が BIPROGY の従業員ではない者が委託業務に従事していることを認識していたことをうかがわせる言動に及んでいたというエピソードを述べる者もいたが、尼崎市担当者が組織的に同様の認識を有していたことを認めるに足る客観的な資料等は確認されなかった。他方、協力会社の従業員が BIPROGY に付与されたメールアドレスを使用し、自社名を口に出さず、尼崎市担当者と名刺交換をしない等といった行動を一貫して取っていたことが認められ、かかる事実関係からしても、尼崎市において協力会社への無承認での再委託を黙認していたものと認定することはできない。

48

(ア) 営業担当者における前例踏襲の文化
まず、営業部門の従業員が、前例を踏襲し、形式的に契約締結という形式を整えることだけに注力し、締結した契約内容の履行を自己の業務として実施する意識が乏しい風潮が存在する点である。
すなわち、BIPROGY の営業担当者が、尼崎市への提出書類を準備する際は、本来は契約書を確認し、いかなる書類が必要か精査すべきであるにもかかわらず、そも
そも営業部門の業務としてかかる対応が必要であることが意識されていなかった
ことや、営業担当者が多忙であること等から、営業担当者は、契約書を詳細に検討することはなく、以前の担当者が提出した書類を踏襲して書類を準備することとなり、そのため、前任者が再委託申請書類を提出していない場合、再委託申請書類の提出が検討されないという事態が生じた。
なお、BIPROGY の受注フロー上、営業担当者以外が契約書を確認する機会としては、社内システム上、営業経理部が主に契約金額を中心に内容を確認する程度であり、再委託申請に関する書類を提出したか否かをチェックする機能までは含まれておらず、契約内容の詳細や遵守事項を、上司や第三者的部署がチェックする等の仕組みが機能しなかったことも、営業部門における前例踏襲の文化が醸成され、再委託の承認を得ない業務態様が長期間継続した要因の一つとなっていたと考えられる。
(イ) 営業部門とシステム部門の分断
次に、尼崎市を顧客とする業務全体について、BIPROGY 社内での営業部門とシステム部門の業務が分断されていたことが挙げられる。システム部門は尼崎市向けのシステムサービスに関する見積もりの作成から再委託先の選定、再委託までの業務を行う一方で、営業部門は尼崎市との契約業務等、システムサービス以外の業
務を行っているところ、営業担当者はシステム部門がいかなる再委託先を選定し、再委託しているか把握しておらず、他方、システム部門は尼崎市との契約の内容について把握していなかった。そのため、営業担当者はシステム部門からの再委託に関し、尼崎市との契約に基づく義務を履行できているか確認することができなかった一方で、システム部門の担当者も契約において再委託申請が必要であることを認識していない状況が生じていたことも、無承認での再委託が継続した要因として指摘できる。

49

(ウ) 尼崎市側からの指摘がされにくい状況を作出していたこと
尼崎市との関係においては、基本的に協力会社の従業員が BIPROGY の従業員として名乗った上で業務に従事するとの運用が従前からされていた。具体的には、協力会社の従業員は、付与された BIPROGY ドメインのメールアドレスを使用し、メー
ル文中にも BIPROGY の従業員であるかのような表記をして顧客とやり取りをしていた。また、名刺交換の際には、「名刺を切らしている。
」等とし、会話においても実際の社名を明らかにしないよう、暗黙の了解の下、実務が運用されていた。
このような運用により、尼崎市担当者にとって、実働しているシステム部門の従業者が再委託先の従業員であることを外観上判別することが容易でない状態を生じさせており、このことも、尼崎市の承諾を受けていない再委託等について外部からの指摘を受けずに常態化してしまったことの要因となったものと考えられる。
(2)

尼崎市との契約において提出が必要とされる書面の未提出
また、尼崎市との契約においては、安全管理措置確認書や個人情報・データの取扱いに関する誓約書・確認書を提出する必要があった（個人情報取扱特記事項第 11、13 条、
データ取扱特記事項第 10、12 条）ほか、業務主任担当者届出書、業務計画表（契約約款第 2、3 条）、暴力団排除に関する誓約書（同第 13 条）等の文書提出に関する規定等があったが、少なくとも契約書締結済みの R3 業務における契約ではいずれも遵守されておらず、本件 USB メモリ紛失事故発生時点においては、いずれの文書も提出されていなかった。
(3)

無承認での再委託の問題性が担当営業等において意識されたが、これを改めることができなかったこと
尼崎市との間での無承認での再委託等は長期間継続しているが、その間、担当 BM その他現場関係者の間では、契約違反の運用になっていることが意識されたことが何度かあった。しかしながら、その検討が会社の上層部にまで上げられることがなく、現場限りで現状追認の判断がなされ、契約違反状態を改める機会を何度も失ったことが認められる。
すなわち、2005 年頃、個人情報保護法の改正等にあわせ、市のデータ管理規則が改訂され、契約上承認を得れば再委託ができるように契約条項が改訂される際に、関西支社の営業部門内で無承認再委託の問題が意識されたが、本社の幹部、経営層にまで上げられることもなく、特に、改善のための具体的なアクションは起こされなかった。
また、2013 年頃、他の受託業務に関する事故に関し、R4 業務と同様に、アイフロン
50

トに再委託していたところ、保険会社から提出を求められる文書として、本来作成されているべき SOW と実施計画書を作成していなかったことから、その時点における上司等の指示により、その当時の案件担当 PM であった B 氏が、これらの書類をバックデー
トで作成したことがあった（その内容も、実際に行ったものとは異なっていた。）。この機会に、関西支社の中で、当該 SOW を外部に出すことによって無承認再委託の事実が
市に発覚しないかという懸念も共有されたが、この機会にも、特段のアクションは起こされなかった。
さらに、近時、官公庁等との間の新規契約では、再委託等に際しては官公庁等の承認を得ている案件が増加していることに加え、再委託の一部の申請漏れが顧客から指摘され改善報告を提出したような案件も存在する。古くから現場担当者として BM や PMを経験した幹部役職員であれば、これらの出来事を見聞きした際に、昨今の官公庁等からの受託業務においても無承認での再委託が行われていないか疑問に思い、これを調査して全社的に改善を図るための行動を起こす機会は十分にあったと思われるが、結局、これまでの対応を改めることなく、契約に違反して無承認で再委託等する取扱いを継続させてきたものと認められる。

51

第4

問題が生じた原因
本調査の結果、第3に記載した問題点があることが判明した。
当委員会としては、これらの問題がなければ、本件USBメモリ紛失事故は起こらなかったものと考えるところであるが、問題点を表層的にとらえるのではなく、そのような諸問題が生じた原因がいかなるところにあったのかの本質を考察し、再び同様の事故を起こさないために、問題点の克服に向けた効果的な対策を講じる必要があると確信する。
そのような観点から、当委員会として、本件USBメモリ紛失事故における問題が生じた
原因として、(1) BIPROGY役職員のコンプライアンス意識の欠如(2) 制度の運用におけるリスク管理意識の欠如(3) 業務遂行におけるモニタリング機能の不全の3点を指摘すべきものと思料する。
1

BIPROGY役職員のコンプライアンス意識の欠如(1)

R4 業務においてうかがわれる BIPROGY 役職員のコンプライアンス意識

既述のとおり、BIPROGY においては、情報セキュリティの保全及び個人情報の保護を目的として、組織体制を構築し、また、社内規程を整備する等の措置は相応に講じられている。しかしながら、BIPROGY の従業員が、第 3 の 2(2)で指摘したような規範に違反する行動に及んでいたこと等からすると、組織体制及び社内規程の整備に対し、役職員のコンプライアンス意識が追いついていないものと評価せざるを得ないところである。
特に、秘匿性、機密性の高い要配慮個人情報を含む膨大な量の個人情報データを取り扱う業務に従事しながら、それが漏えい等した場合のリスクに思い至らず、十分に対応策を検討せずに、安易な方法で USB メモリを運搬し、データを消去しないまま飲酒行為に及ぶといった点は、コンプライアンス意識が決定的に欠如していた現れであることは言うまでもなく、さらに、その上位者においても、個人データの安全性を図る観点から定められた社内でのルールを遵守するよう指導監督していない点においてコンプライ
アンス意識に欠けたものと言わざるを得ない。
また、尼崎市との間の契約の定めに違反して、市の承認を得ずに業務の一部を再委託等していたことについても、それが極めて長期間にわたっていたことについては、コン
プライアンス意識の欠如を明確に示すものといえる。
特に、第 3 の 3(3)に記載のように、無承認再委託等の問題が内部で意識された機会や、容易に気付くことができる機会が何度もあったのに、結局、改善のためのアクションが起こされなかったことについても、コンプライアンス意識の欠如を示す出来事であった
52

と評価される。
(2)

アンケート調査からうかがわれる BIPROGY 役職員のコンプライアンス意識

アアンケート調査の結果（概要）
当委員会は、2022 年 9 月 30 日から同年 10 月 11 日までの間、BIPROGY の役職員のうち、主に官公庁を顧客として業務に従事する部門に所属する役職員合計 524 名を対象として、USB メモリ等の取扱いのルールの認識及びその遵守状況等、対象者の情報
セキュリティに対する意識を確認し、本件 USB メモリ紛失事故に関する原因分析等に活用するため、アンケート調査を実施した。
質問項目は別紙 2、調査結果は別紙 3 のとおりであり、本アンケートの有効回答数
は 429 名（回答率 81.9%）であった。
質問項目のうち、特に対象者の情報セキュリティに対する意識を考察する上で重要と思われるアンケート結果について、以下に掲げる。

(ア) USBメモリの使用を開始する際のルールについて
USB メモリの使用を開始する際のルールのうち、「個人で所有している USB は使用しない」というルールに関する質問においては、守れなかったことがある旨回答した者が 12 名（業務で USB メモリを取り扱ったことがある旨の回答をした者 178
名のうち 6.7%。以下この項において同じ。）であった。そのうち 8 名が、ルールを知っていたにもかかわらず守れなかったと回答していた。その理由として、「情報漏洩のような事故を起こさないようにすれば、守らなくても構わないと思ったから」と回答した者は 4 名、「定められたとおりにするのが面倒だったから」、「使用
した当時はルールの認識が曖昧だったため」、「緊急性をもとめられていたため」、「本来の USB が故障したため、一時的に使用した」と回答した者が各 1 名ずつであった。
また、「USB を使用する際には、所定の申請を行って使用許可を取る」というルールに関する質問においては、守れなかったことがある旨回答した者が 19 名
（10.7%）であった。そのうち、8 名がルールを知っていたにもかかわらず守れなかったと回答していた。その理由として、「定められたとおりにするのが面倒だったから」と回答した者は 2 名、「情報漏洩のような事故を起こさないようにすれば、守らなくても構わないと思ったから」、「SE が許可を得ている USB から自身もデータを転送した」、「緊急性をもとめられていたため」、「本来の USB が故障したため一時的に使用した」、「このルールが守られていない例を見聞きしており、守らなく53

ても構わないと思ったから」、「障害対応で夜中 USB を借用できない状況であったため」「、緊急の調査により事後申請となった」と回答した者が 1 名ずつ42であった。
(イ) USBメモリを外部に持ち出す際のルールについて「USB の外部への持ち出しに宅配業者や郵便等を利用する場合には、配達記録郵便やセキュリティ便を用いる」というルールに関する質問においては、守れなかったことがある旨回答した者が 9 名（5.1%）であった。そのうち 2 名が、ルールを知っていたにもかかわらず守れなかったと回答していた。その理由として、「このルールがあることを知る前に、守れていないケースがあった。現在はルールを守っている」「上司又は顧客から、このルールとは別の取り扱いを求められていたから」と回答した者が各 1 名ずつであった。
また、「自ら USB を持ち出している間は、飲酒や遊戯・遊興施設への立ち寄りな
ど、著しく注意力・責任感を欠いた行為をしない。
」というルールに関する質問においては、守れなかったことがある旨回答した者が 3 名（1.7%）でありそのうち 1
名が、ルールを知っていたにもかかわらず守れなかったと回答していた。その理由として、「USB を持ち出しているということの意識がなくなっていたため」と回答
していた。
さらに、
「USB に保存される個人情報等の重要データは、暗号化、あるいはパスワードで保護する」というルールに関する質問においては、守れなかったことがある旨回答した者が 1 名（0.6%）であった。この回答者においては、当該ルールを知っていたにもかかわらず守れなかったと回答しており、その理由として、「顧客から貸与を受けている USB メモリで暗号化されないものがあり、それを使用したことがあった。現在は使用を取りやめている。
」と回答していた。
(ウ) USBメモリの利用後のルールについて「USB に記録されたデータを利用した後は、当該 USB を顧客に返却するか、又は当該データを消去する」というルールに関する質問においては、守れなかったことがある旨回答した者が 6 名（3.4%）であった。
他方、「当該 USB（データ）を顧客に返却し又は消去した際は、その旨を顧客に受渡簿等の文書で報告する」というルールに関する質問においては、守れなかったことがある旨回答した者が 28 名（15.7%）であった。守れなかったことがある旨回答した者のうち、このルールを知らなかった旨回答した者は 26 名であった。さら42

1 名、複数の回答をした者が存在する。

54

に、同質問については、社会公共サービス第三本部の回答者のうち 15 名がこのルールを知らず、かつ守れなかったことがある旨回答しており、2 名にとどまった社
会公共サービス第一本部と比較して、大きな相違が認められた。
また、守れなかったことがある旨回答した者のうち、このルールを知っていたと回答していた者は 2 名存在し、その理由として「このルールが守られていない例を見聞きしており、守らなくても構わないと思ったから」、「上司又は顧客から、このルールとは別の取り扱いを求められていたから」との回答がなされていた。
イ

アンケート結果に対する評価
社内体制・社内規程の整備や情報セキュリティに関する研修が定期的に実施されていたにもかかわらず、上記のアンケート結果からは、BIPROGY の役職員の情報セキュ
リティに対する意識は必ずしも十分ではないことがうかがわれる。USB メモリに格納した情報の性質や内容が明らかではないことから、そのルール違反の深刻度の評価は慎重に行うべきであるが、情報を取り扱うことを本旨とする業務に従事しながら、情報セキュリティを保全するために社内で厳格に定めたルールを守らなかったことがある、しかも、ルールの存在自体は認識していながら守らなかったことがあると回答した者が一定数存在することは、その数が相対的には少なかったとしても、安易に看過できる問題ではない。
加えて、ルールによっては、その存在を知らなかった者も相当数いたことからすると、規程が複雑なものになっていることに加え、その周知のための研修等の措置が十分に効果的なものとして行われていなかったことを指摘せざるを得ない。
このような結果からすると、本件 USB メモリ紛失事故において問題点として認められた BIPROGY 役職員の情報セキュリティに対するコンプライアンス意識の欠如は、本件 USB メモリ紛失事故の関係者の間に存在した固有の問題ではなく、BIPROGY の情報
セキュリティにおいて認められる深刻な問題であると評価せざるを得ない。

(3)

再委託申請に関する調査結果からうかがわれる BIPROGY 役職員のコンプライアン
ス意識
当委員会は、無承認で再委託等が行われていた状況やその原因等を分析し、再発防止に役立てるため、再委託案件の調査を実施した。
無承認での再委託等の状況については、BIPROGY において、本件 USB メモリ紛失事故
発覚後間もない 2022 年 7 月 1 日を基準日として、契約期間中の全ての案件を対象に、契約書上再委託等に際しての承認が必要とされているか、その場合再委託等の申請がなされているか等について、契約書、発注システムの記録、承認申請の証跡等を全件に55

つき現物で再確認する等の網羅的、詳細な内部調査（以下「社内全数調査」という。）
を実施した。当委員会は、その経過及び結果の説明を受けて、社内全数調査の結果は信頼がおけるとの判断の下、その結果を参照しつつ、分析の観点から特徴のある官公庁
17 団体について事前に文書で質問した上、うち 10 団体について担当営業の従業員を直接ヒアリングして、BIPROGY において、再委託申請についてどのような傾向にあったか、
その原因・背景事情はどのようなものであるかについて調査（以下「再委託案件調査」という。
）を実施した。
ア

社内全数調査の結果
BIPROGY から説明を受けた社内全数調査の結果の概要は下記のとおりであった。
まず、点検対象となった契約の全体数、うち再委託等の事前申請が必要な契約数、）数は次のとうち再委託条項に反する取扱いのあった契約（以下「NG 案件」という。
おりである。
・BIPROGY 全体の対象契約総数は 3,875 件、うち事前申請が必要な契約数は 1,029
件、うち NG 案件は 322 件（31.3%）
・官公庁の案件を多く扱う社会公共第一事業部及び第二事業部についてみると、対象契約総数は 647 件、うち事前申請が必要な契約数は 266 件、うち NG 案件は 129
件（48.5%）
次に、このような NG 案件が出た理由を、社内のヒアリング等により分析した結果
として 10 の要因を特定しているが、そのうち比較的多数の者が挙げた理由は、次のようなものであった。
・再委託に関する契約条項を認識していない
・体制・工程変更時の申請漏れ
・（再委託は要申請だが）再々委託は申請不要と誤認
・再委託先の再々委託状況を正しく把握できていない

イ

再委託先等の承認申請が実施されていなかった理由
当委員会による再委託案件調査の結果、承認申請をしていないものを類型化すると、① 再委託・再々委託ともに無申請であったもの② 再委託は申請したが再々委託は無申請であったもの③ 再委託先の一部について無申請であったもの
等に分かれたが、再委託先・再々委託先に係る承認申請が実施されなかった理由は、大要以下のとおり整理できる。

56

このうち、①の「再委託・再々委託ともに無申請であったもの」の理由としては、・顧客との間の契約書も確認したことはなく、以前から承認申請書が提出されていなかったため、承認申請の必要性を意識しておらず、承認申請が必要であることの認識を欠いていた・契約書を確認して再委託の承認申請が必要であることを認識していたが、無承認での再委託が既に長年に及んでおり、過去の営業担当者に迷惑が掛かることや顧客との関係性が悪化すること等を考慮して承認申請を行わなかった
等があげられていた。
次に、②の「再委託は申請したが再々委託は無申請であったもの」の理由としては、・引継資料では再委託先の一部についてのみ記載があり、再々委託先については記載が無かったので、それにならって承認申請書を作成・提出していた・再委託先から再々委託があるとの情報を得ていなかったので、再々委託の申請ができなかった等があげられていた。
次に、③の「再委託の一部について無申請であったもの」の理由としては、・案件における一時的なスポット作業（システムの導入作業のみ、撤去作業のみ等）に携わる協力会社については、以前から承認申請を行っていなかった・開発工程の途中で確保すべき要員が増えて新たな再委託先に発注した際、その申請を失念した等があげられていた。
ウ

再委託先等の承認申請が実施されていた理由
他方、再委託・再々委託の承認申請が契約どおりに実施されていた案件の背景事情
としては、大要以下のとおり整理できる。
① 従前から継続して再委託申請書を提出していたので、引継ぎ後の契約締結時にもそれにならって承認申請書を提出していた② 顧客側から提出を指示されていた資料として再委託の承認申請書の様式が存在していたため、承認申請の必要性を認識していた③ 顧客との契約に基づく作業時のための入館証を申請する際に従業員の所属（再委託先等の名称）も申請する必要があったため、以前より再委託の承認申請書を顧客に提出していた

57

エ

再委託案件調査の結果の分析
社内全数調査で認められた傾向及び当委員会の実施した再委託案件調査の結果は、第 3 の 3(1)ウで記載した尼崎市を顧客とする案件について再委託等の承認申請が行われなかった背景・原因等とも整合的なものであり、これらを総合してみると、
BIPROGY における無承認での再委託の問題の背景事情として、次のことを指摘することができる。
まず、会社からは、契約書の条項を遵守すべきといった総論的な指導が見受けられた一方で、書類の提出等の契約上必要な手続につきチェックリスト等を用いて詳細に確認するよう求める、又は再委託等の取扱いについて契約書をチェックするように求めるといった各論的な指導は見受けられず、契約書の確認の程度及び方法は営業担当
者個人の判断に依存していた。その結果、契約締結時や前任者からの引継ぎ時に顧客との間の契約書を自ら確認して提出すべき書類を確認している者もいた一方で、契約上必要な手続について関心を抱いておらず、自分の業務には関係のない事柄であると捉え、顧客からの指摘や前任者による承認申請書の提出がない限り、契約書を一読することもなく漫然と従前の対応を踏襲し、本来実施すべき書類提出等を看過した者もいた。
さらに、顧客との契約が実質的に長期間にわたり継続しており、営業担当者の引継ぎが発生した案件については、純粋な営業上の引継ぎ（顧客の概況や具体的な作業内
容等の引継ぎ）が中心であり、契約上必要な手続に関する情報共有や現状点検は行われておらず、全体として、前任者が行っていた手続のみを踏襲し、仮に再委託申請の必要性を認識していたとしても、これまでと同様の対応を漫然と行うという状況が常態化していた。
また、再委託申請を実施できていた案件についても、契約書を精査した上で再委託申請の承認を得る必要性を認識していたというよりも、単に従前から再委託申請を行っていたことから機械的にそれを踏襲して再委託申請を実施していた例や、顧客側が再委託について関心をもっていたため、顧客側の要望に応える形で再委託申請を実施したといった、顧客側の姿勢という外部要因に基づき実施できていたにすぎないという例があり、受動的な傾向がみられた。
そして、業務全体に関して、同一の顧客の同一の案件について BIPROGY 社内で営業部門とシステム部門で業務を分担しているにもかかわらず、両部門の情報共有や連携が不十分であったこと、営業部門とシステム部門を横断して案件全体をコントロール
する実質的な責任者が存在しないこと、当該案件における業務遂行上の課題や進捗を検討、確認し、関係者全員に共有する業務プロセスが確立していなかったこと等から、システム部門は再委託先を認識している一方で顧客との契約の内容（再委託先の承認申請の要否を含む。
）について把握していなかったのに対し、営業部門は顧客との契約
58

の内容について把握し得た一方で再委託先等の存在を十分に認識できていなかった。
このように、会社全体として、再委託申請については営業担当者の属人的な意識に左右される体制しかとれておらず、再委託申請を含む契約書条項の遵守についての現場部門内及び本社管理部門における個別案件に対する監視・監督はほとんど行われていなかった。
要するに、担当者のコンプライアンス意識も低調であり、承認申請に係る契約条項をプロセスでシステムとして遵守させる仕組みの構築・運用も不十分であり、会社全体として、契約条項をしっかりと意識し、それを遵守するという契約の履行に対するコンプライアンス意識が欠如していたものと指摘せざるを得ない。
加えて、社内全数調査によれば、契約上必要とされるシステム関係業務の再委託等の不申請は、官公庁との案件で広く認められた（上記 2 部門では 45.4%）だけではな
く、様々な取引先との関係において、全社的な広がりで相当数見られた（27.6%）ことは、BIPROGY という会社全体の体質を示すものとして深刻に受け止めなければならないであろう。
なお、BIPROGY からは、これらの不適当な取扱いについては、既に契約相手方と交渉し、その大部分は新たに申請を行って承認を得ているとの説明を受けているが、それは、再委託の承認が形式的な手順にすぎず、その違反は申請さえすればよい「軽い」
違反だという評価を伴うものではないことには留意が必要である。すなわち、形式的に再委託先を介在させて、小規模事業者等に対する再々委託を行う案件については、
再々委託先の業務が適正確実に行われるようにする管理体制を構築しにくい上、R4 業
務における X 社のように再々委託先における情報セキュリティの能力にも疑問がある案件については、慎重に事前調査すれば再委託等が承認されないこととなるであろうという意味で、形式的な契約違反というよりは、業務の再委託に際して委託元の承認を必要と定めた契約条項本来の趣旨を潜脱・没却する悪質性の高い案件であることを指摘しておく。
(4)

バックデート問題等からうかがわれる BIPROGY 役職員のコンプライアンス意識
第 3 の 3(2)及び同(3)に記載のとおり、R4 業務や 2013 年の他の受託業務に関する事

故等に関して、契約上必要とされる書面等の作成を怠っていたことが事後的に判明したが、業務遂行上必要となる書類で作成されていないものが発覚した際に、担当 PM 等
において、これをバックデートで作成し、つじつまを合わせようとすることがあった。
すなわち、R4 業務に即して言えば、アイフロントを名目的に再委託先として選定していたために、実態としてアイフロントに対する作業範囲の指示やこれに対応する実施計画の策定は行われておらず、その証跡に当たる SOW や実施計画書の作成の必要が無いことから各書類が作成されていなかったところ、その作成がないことから再委託
59

の実態に疑念を抱かれることを懸念し、事案発覚後に、この実態を糊塗するため、実態に反する内容となるこれらの書類をバックデートで作成したものと推認されるのであり、このことも、BIPROGY 役職員においてコンプライアンス意識が欠如していたことの現れであると認められる。
また、上記第 2 の 2(2)及び上記第 3 の 2(2)オ(イ)に記載のとおり本来であれば無許可で開発環境にて実データを扱ってはならないにもかかわらず、R3 業務の際に、A 氏が実データを取り扱っていたことについて、PM である B 氏が当該違反行為を指示するような発言をしていたことも、BIPROGY の従業員においてコンプライアンス意識が欠如していたことの現れであると考えられる。
2

制度の運用におけるリスク管理意識の欠如
上記のとおり、BIPROGYでは、情報セキュリティの保全及び個人情報の保護を目的として、組織体制を整え、各種規程を整備する等の措置を講じている。
しかしながら、実際には、少なくともR4業務では、上記第3の2(2)で指摘したように、業務責任者や業務担当者に当たるBIPROGYの従業員及び協力会社の従業員は、定められた各種規範の大半を遵守していない。かかる規範違反の状況が継続し、本件USBメモリ紛失
事故にみられる問題が生じた原因として、業務責任者や業務担当者、その直属の上司である所属組織の二段・三段組織長だけでなく、情報セキュリティの保全及び個人情報の保護
を含め経営全般のグループ最高経営責任者である代表取締役社長や業務執行の監督をなすべき取締役等の経営層を始め、情報セキュリティ及び個人情報保護のマネジメント・シ
ステム上、重要な役割と責任が付与されているCISO及び同人以下の幹部役職員が、それぞれの役割に応じて持つべきであったリスク管理意識が欠如していたことを指摘せざるを得ない。
もとより、上記のような経営層及び幹部役職員が業務遂行の全てについて逐一管理監督することは現実的ではなく、当委員会としてもそれを求めるものではないが、体制を整え、各種規程を整備しさえすれば、およそその職責を果たしたということはできず、当該体制が機能しているかについて定期的にモニタリングしたり、従業員に対してメッセージを発したりするのみならず、業務によっては、それぞれの立場に応じて、そこに内在するリスクを的確に把握し、その大きさに応じて、能動的に管理監督することが求められる場面も存在するはずである。
R4業務においてBIPROGYが尼崎市から委託を受けた業務は、尼崎市民の秘匿性、機密性の高い情報を含む膨大な量の個人情報を取り扱うものであったのであるから、その取扱いの不備による個人情報の漏えいのリスクは重大なものであって、運用を現場任せにするべきものではなかった。少なくとも、かかるリスクを敏感に察知することができるよう、

60まずは、役職員43に対し、業務内容に即した徹底した教育を施して、必要な問題提起ができるような水準のリスク管理意識を醸成させるような運用を徹底するとともに、委託を受けた業務において重要な個人情報の取扱いの有無を把握し、重要な個人情報を取り扱
うことを把握した場合には、その業務遂行の過程において漏えい等が発生するリスクを分析評価して、事故が起きないよう徹底した管理監督を現場における責任者に求めるといった措置を採ることが求められる。
しかし、BIPROGYにおいては、現場の担当者とその上司、社長以下の経営層を含む幹部
役職員等、各役職員の職責及び役割に応じたリスク管理意識が欠如していたため、全社的なリスク管理意識の醸成が足りない中、業務上取り扱う個人情報等の漏えいリスクの分
析評価、当該リスクへの対応策の検討、その遂行状況の把握に基づく管理監督等のリスクの内容に応じた措置が適切に実施されず、有効に機能しなかったことが、本件USBメモリ
紛失事故の根本的な原因の一つを構成するものと考えられる。
さらに付言すれば、過去にも同種の情報セキュリティ事故が発生していたにもかかわらず、その教訓が全社的な再発防止の観点から活用されていなかったことも明らかとなっている。この点も、情報セキュリティに責任と権限を有する幹部役職員、特に経営層のリスクへの鋭敏な感度やリスク管理意識の薄弱さを裏付けるものと考えられる。
すなわち、本調査によれば、BIPROGYにおいては、過去にも同じような形態のUSBメモリの紛失事故が発生しており44、これらについては、総合セキュリティ委員会に対し、セキ
ュリティ事故として報告がなされていた。経営層は、かかる報告を把握した以上、リスク管理意識があれば、個人情報の漏えいを伴う同種の問題は全社的に発生しうるとの危機感、その場合に生ずるであろう顧客や漏えいした情報の当事者の被る被害の切実さ、さらにはBIPROGYそのものが被るであろうレピュテーション毀損による損害の甚大さを現実のものとして考え、組織としてのセキュリティ対策を見直すことができたはずである。しかしながら、それぞれの事故に関し、借用簿の利用やセキュリティ教育の強化等の再発防止策が策定されたが、それらは基本的に当該事故が発生した部署内での単発の再発防止策とされていたにとどまり、かかる事案を全社的なリスク管理意識の醸成に生かすことができなかった。情報セキュリティの保全及び個人情報の保護はBIPROGYにとっては事業遂行における事業の中核として、重要な事項であるはずであり、このようなBIPROGYの経
営層の姿勢に問題があったと言わざるを得ない。

43

再委託先や再々委託先に当たる協力会社の従業員についても、同水準のリスク管理意識を醸成させるよ
うな教育がされるよう、委託契約等において規定することが必要である。
44
このうち 1 件は、BIPROGY の従業員が、ある顧客から預かった個人情報が記録された個人所有の USB メ
モリを別の顧客のサーバルームにて作業中に落としたまま退館したが、当該 USB メモリが数年後に後者の顧客の清掃作業中に発見されたことから発覚した事故である（ただし、関係顧客には事情を説明済み。）。
USB メモリの取扱い方法及び顧客から預かった個人情報の管理方法のいずれの観点からも、本件 USB メモ
リ紛失事故の予防のために適切な事後措置を全社的に検討・実施することが望まれていたというべきであ
る。

61

3

業務執行におけるモニタリング機能の不全
監査等により定期的にモニタリングを行い、違反状態を適切に捕捉し、改善することは、

不祥事の発生防止のために重要である。しかしながら、尼崎市を顧客とする業務について、本調査の結果、多数の問題が発見されたにもかかわらず、BIPROGYの社内監査等では、過去に問題点が指摘されていない。
本件USBメモリ紛失事故が発生した公共ビジネスサービス第一本部・関西公共サービス
二部に対しては、2020年10月9日付けでISMS45・PMS46監査が実施されていた。
ISMS内部監査及びPMS内部監査は、業務部リスク・セキュリティ管理室が監査主体となり、情報セキュリティマネジメント・システム及び個人情報保護マネジメント・システム
が適切に運営されているかを監査対象とするものである。例えば、同監査では、通信経路とデバイスの安全性確保、情報資産の持出手続の遵守等が重点監査項目として挙げられていた。
しかし、当該監査では、可搬メディア月次棚卸台帳を確認した程度であって、重点監査項目としてあげられている事項についても十分な監査が行われていなかった。上記第2の2(2)アのとおり、USBメモリは可搬メディア月次棚卸台帳に記載されていなかったが、そのことも当該監査では発見できなかった。
監査は、業務に内在する各種リスクの発生を未然に防止する上で重要なモニタリング機能を担っているが、少なくとも本調査の結果によれば、可搬メディア月次棚卸台帳に記載がない時点で、問題を発見することが期待できないような監査が行われており、
BIPROGYの監査がこのようなモニタリング機能を十分に発揮していたとは言えない。

45

BIPROGY は情報セキュリティマネジメント・システム（ISMS）に関する規格である ISO27001 を取得しており、ISMS の運用チェックとして ISMS 監査を実施している。
46
BIPROGY はプライバシーマークを取得しており、個人情報保護マネジメント・システム（PMS）の運用チ
ェックとして PMS 監査を実施している。

62

第5

再発防止策の提言
本件USBメモリ紛失事故を契機として実施された本調査において判明した問題点及びその問題が生じた原因については上記第3及び第4において指摘したとおりであるが、本項では、当委員会として考える再発防止策について提言することとする。
もっとも、本件USBメモリ紛失事故を踏まえた再発防止のための具体的な対応策については、BIPROGYにおいて既に実施又は検討が開始されているところであるが、特に留意願いたい観点と対応策のメニューのいくつかを提案するので、これを参照し、全社的な業務の内容や運営方法等との整合性も考慮しつつ、総合的に検討して最善の対応策を立案・実施されるよう要望する。
1

BIPROGY役職員のコンプライアンス意識の醸成
本調査の結果、とりわけ大きな問題として認められたのは、BIPROGY役職員のコンプラ

イアンス意識の欠如である。
本件USBメモリ紛失事故が発生した直接の原因は、担当者がUSBメモリの取扱いに関する社内規程及び尼崎市との契約を遵守せず、極めて軽率かつ無責任な態度で、秘匿性、機密性の高い要配慮個人情報を含む膨大な量の個人情報を取り扱う業務に従事した点に求められる。そのような事態を招いた背景には、当該業務の遂行に限らず、広範囲にわたって、BIPROGY役職員のコンプライアンス意識が欠如していたことが指摘されるのであって、今後、本件USBメモリ紛失事故のような情報セキュリティに関する事故を含めた深刻な不祥事の再発を防止するためには、何よりも、役職員のコンプライアンス意識を醸成することが必要である。
すなわち、尼崎市からの委託業務の遂行に関しては、無承認での再委託をはじめとする契約条項の不履行、社内で定められた業務フローからの逸脱、情報セキュリティの保全及び個人情報の保護のための各種規程の不遵守が広く認められ、また、情報セキュリティに関するアンケート調査の結果及び再委託案件調査の結果からは、同様の問題が広い範囲で存在している可能性がうかがわれたところである。
このような各種規範や規律に反する行動が横行し、一部では、その問題性に気づきながら改まることなくこれが継続されてきたのは、ひとえに、BIPROGY役職員においてコンプ
ライアンスを遵守する意識が欠如していたからにほかならず、それが改善されない限り
は、今後もルール違反の横行によって、業務遂行の確実性・安全性が失われ、再び同様の不祥事が発生することが大いに懸念されるところである。

63

(1)

徹底した意識改革
そのような事態の発生を防止するためには、何よりも役職員のコンプライアンス意識を改善し、強化することが肝要であり、まずは、経営層が率先して全役職員に対してコンプライアンスの遵守が会社の生命線であることを訴え、徹底した意識の改革を図ることが必要である。
その具体的な取組みとしては、経営層がコンプライアンスの遵守の重要性に対する明解なメッセージを折に触れて発することが必要であり、各組織においても、同様のメッセージを上位者から発することが求められる。
なお、コンプライアンスを遵守せず、不適切な行動に及んだ者に対しては、事案に応じた人事上の処分を行い、組織としてコンプライアンス違反を許さないという厳しい姿勢を定着させることも重要である。
(2)

充実した研修の実施
コンプライアンスに関する研修の充実も強く求められる。
これまでも一定の研修は行われていたが、本件 USB メモリ紛失事故に至る経緯やアンケート調査の結果からうかがえる情報セキュリティへの役職員の意識からも明らかなとおり、通り一遍の研修では、それが形骸化することが避けられないところである。
そのため、研修の実施に当たっては、その実効性を確保するために、その効果測定をしながら、研修の内容、機会、形式等について不断に改良を重ねる必要があり、必要があれば、外部専門家の意見、知見を活用することも検討に値すると思われる。
さらに、後に述べるリスク管理意識の強化とも関係するものであるが、研修の内容面においては、平板な内容に終始せず、コンプライアンス違反によって引き起こされる事故によって顧客や漏えいした情報の当事者に生ずる現実の被害・損害の大きさや切実さ、被害者の痛みや回復の困難性、さらには BIPROGY そのものが被るであろうレ
ピュテーションの毀損による損害の甚大さについて、現実感をもって想像できるようにすることが必要であると考える。そのような研修を実施することによって、一見煩
わしく、過剰ともとらえられがちな規範・規律・規制の必要性が腹落ちして理解が定着し、類似の案件に対しても自然に応用動作ができるようになると考えられるため、そこを目標の一つとして改善を進めることが重要である。
また、一方的に情報を提供するだけではなく、役職員個々の気付きを増やすという観点にも留意すべきであり、研修の実施形態についても、社内で既に実施が検討されているという車座会議の実施のほか、階層別の研修、他部門との共同研修等の工夫についても検討されるべきである。

64

(3)

多様な視点からの問題意識の共有
コンプライアンス意識の改善及び強化の取組みにおいては、異なる多様な視点からの問題意識を共有することが極めて重要である。
本調査において、当委員会としては、BIPROGY は、業務分野や専門領域、部門ごとに分断され、人材の流動性も大きくないため、各組織が蛸壺化しているという印象を抱いた。そのような組織においては、ともすれば、前例を踏襲し、固定観念にとらわれたり、過去のしがらみにとらわれたりして、正しいことを正しいと言えない雰囲気が蔓延するおそれがある。そのような組織の硬直化による弊害を打破するためには、年
齢、経歴、部門、専門性等の多様性を生かした意見交換をする場を設定することにより、ある部門の常識が必ずしも常識ではないことを気づかせることが必要であり、有益であろう。特に若い世代からの意見を吸い上げやすくするために職位の階層別に行うことや、逆に、あらゆる経歴や部門等をシャッフルして行うなど、様々な例が考えられるところである。
2

BIPROGY役職員のリスク管理意識の強化
役職員のコンプライアンス意識の欠如という総体的な問題点に加え、当委員会として強く感じたBIPROGYにおける問題点は、個人情報を取り扱う会社の役職員として求められるリスク管理意識の欠如という点である。
本調査報告書においても再三言及してきたところであるが、BIPROGYは、その事業において、顧客又は第三者の個人情報を取り扱っているのであり、役職員は、それぞれの役割・立場に応じた責任の下、業務を実施しなければならない。殊に、R4業務において取り扱っていた情報は、秘匿性、機密性の高い要配慮個人情報を含む膨大な量の個人情報であったのであるから、万が一にもその漏えい等の事故が発生した場合の被害は甚大なものとなることは容易に想像することができるものであり、現場の業務担当者、業務責任者は、かかる事態が生じ得ることについての感度を高く持ち、慎重に対応する必要があった。
さらに、このような事業を遂行する以上、BIPROGYの経営層及び幹部役職員としては、その取り扱う個人情報の質や量に応じて事故発生のリスクを綿密かつ周到に分析し、事故が発生しないような業務の運用を実現する方策を尽くし、自社従業員を十分に管理監督するよう努めるべきである。その前提としては、個々の業務に孕むリスクを鋭敏に感知
し、人為的ミスにより起こり得る事態を想像し、その発生を防ぐための対策を講じるといったリスク管理意識を備えることが求められるところであるが、残念ながら、実情として、その意識が十分に備わっていたとは思われない。
ICT技術の急速な進歩によって、今後、取り扱う情報の質や量にも大きな変化が起こり得るであろうし、BIPROGYのビジネスモデル自体も変容していくことも想定されるが、経65

営層及び幹部役職員は、自社の業務遂行の在り方を不断に点検し、業務に内在するリスクを的確に評価し続けることが求められるという点においても、リスク管理意識をより一層強化させることは重要である。
言うまでもなく、経営層や幹部役職員は十分な経験と能力を備えているものと思われることから、まずは、本件USBメモリ紛失事故を教訓として、自らのリスク管理意識の不足を改めて認識し、今一度、その意識の強化に自ら努めることを期待するが、会社としても、経営層や幹部役職員を対象に、かかるリスク管理意識の強化に向け、リスク管理の分野について専門的な知見を有する外部の専門家による研修や、部門をまたいだ幹部役職
員同士で経験事例を共有する勉強会等の機会を設けることも検討されるべきである。
3

リスクに応じた対応がとれる業務執行の仕組み作りとその適切な運用の確保(1)

対策の方向性
役職員のコンプライアンス意識及びリスク管理意識が向上し、それが的確に発揮されれば、本件 USB メモリ紛失事故と同種の事案の再発防止には相応の効果があろう。
しかし、担当者個人の資質は様々であり、人為的なミスは避け難いのであるから、業
務のプロセスの中で、事案のリスクを的確に把握し、これを効果的にコントロールできる仕組みを整備し、これを確実に運用する必要がある。
特に、本調査において明らかとなったのは、取り扱う個人情報の質や量、その取扱い方法の困難性等のリスクに応じた業務執行の仕組みの作り込みが不十分であったこと、さらにその運用状況の監視・監督に大きな問題があったということである。
したがって、基本的には、取り扱う個人情報の質・量等を踏まえた個別案件におけるリスクを的確に判断し、そのリスクの大きさと内容に応じた最適な対応方法を検討、決定、遂行できる業務執行の仕組みを作り、これを的確に運用する体制を整え、その運用状況を点検して必要な改善を図るとともに、その運用状況を現場業務のラインと本社管理部門等の複数の目で適時にチェックする監視・監督の体制を構築すべきである。
具体的には、担当者自身と上司によるチェックに加え、その証跡を残し、その履行状況について監督・監査部門によるチェックが的確に実施できる環境を整え、当該業務のリスクの内容と程度に対応した適切な深度と頻度での監査を適時に実施することが必要である。この際、人的なチェックとともに、IT システムによるチェック、すな
わち、情報セキュリティの保全及び個人情報の保護において必須とされるプロセスや再委託の承認を始めとする契約条項の遵守の上で必須とされるプロセスを履践しなけ
れば先のプロセスに進めないような仕組みを導入することも検討すべきである。

66

(2)

BIPROGY の実施している 3 つの対策についてア

契約条項の遵守に関する「発注前点検」
この点、BIPROGY では、再委託の承認申請が未了であった問題への対応として、既に「発注前点検」の暫定運用を始めているとのことであり、その方向性は評価できる。
多数の契約を組織的に IT システムで管理しているのであるから、契約条項の遵守の証跡が入力されないと発注が確定できないなど様々な工夫が可能であろうし、契約内
容や証跡等の情報のデータ管理を活用し、監視・監督部門がランダムにオンラインでモニタリングできるようにするなど、ICT 技術も駆使した仕組み作りをし、人的なミスを回避することにも留意が必要であると思われる。

イ

個人情報の取扱いに関する「特例運用」
また、個人情報の保護に関しては、BIPROGY では、既に「特例運用」として、個人情報を業務上取り扱わないことを原則としつつ、これを取り扱うときは、現場限りではなく本社の担当委員会において、プロジェクトの内容や取り扱う情報等に照らし、個人情報の保護のために適当な対応策が検討されているかを審査確認する手続を導入することとし、その暫定的な運用を始めているということであり、当委員会としてもその方向性は評価する。今後、その運用状況を経営層においてモニタリングしつつ、運用の定着、業務遂行状況の変化等も勘案し、適当な時期に、運用の成果に応じた施策の改善の要否を検討することも考慮されたい。
「特例運用」といいつつ、かなりの件数が想定されるとのことであり、時間の経過とともに運用が形骸化しないよう、監査部等の別部門が担当委員会の運営状況をモニタリングすることの重要性も指摘しておく。

ウ

委託先の選定・管理に関する「週次モニタリング」
委託先の選定・管理の問題については、BIPROGY の経営上、多角的な検討を要する課題であると思われるが、現状、その委託先の選定が企業規模や経営の安定性に偏っている点については再考し、委託する業務の内容によっては、情報セキュリティの保全及び個人情報の保護の観点からのリスク対応の観点を加味して選定する必要がある。
すなわち、尼崎市から受託した住民税非課税世帯等に対する臨時特別給付金の給付への対応業務における実質的な委託先である再々委託先における情報セキュリティの教育・研修体制には大きな問題が認められたが、委託先の選定・管理の基準・運用
67

を再検討する際には、そこで確保されている情報セキュリティの保全及び個人情報の保護の水準が委託先として相応しいものであることを、実地の監査も含めて確実に確認することが必要である。また、長期間にわたって委託関係が継続している間も、その状態が確保されていることを確認する監督の仕組みと体制の整備も必要となろう。
また、契約条項と再委託の実態が合致していることを現場担当者及びその上司が確認するだけでなく、その確認作業が適切であるかを一段組織長がダブルチェックする「週次モニタリング」の暫定運用も既に始めているとのことであり、これも評価に値する。その営みがルーティーンとして体に染みこむまで続けるという考え方にも一理あるが、案件に応じた緩急をつけないと過剰な負担となって逆に形式に流れ、監視・監督が形骸化するおそれもあるので、その点は案件におけるリスクの的確な把握を前提としつつ、柔軟に見直し、改善を図ることも考慮願いたい。
(3)

点検・監査について
これらの暫定運用により、本件の再発防止には相当の効果が期待できるが、ICT 業

界は活発に新しい技術が開発されるような流動的な業界であり、今後業務の内容やビ
ジネスモデルの変更がしばしば行われることも予想される。そこで、業務システムとして、事案のリスクに応じた適切な情報資産の安全管理ができるための方策として必要十分になっているかどうかを、不断に点検し、所要の見直しをすべきであることを付言する。
また、このようなリスクに応じた対応を組織として履行できる体制の整備は、その仕組み（規程）の整備と運用する人員・設備の配置だけではなく、これが適切に運用されているかについての事後的な監査もしっかりと行う必要がある。監査の実施については、一般的な業務監査のほか、コンプライアンス監査、情報セキュリティ監査、
品質マネジメント監査等、本社管理部門による専門的観点による監査との適切な分担と情報共有が不可欠である。
何をおいても、監査の実施に当たっては、外部環境の変化や業務の実態を考慮したリスクに基づく重点監査項目を適切に設定し、より実効性のある監査手法を確立するなどの方策について検討されたい。
(4)

規程類の整備について
BIPROGY においては、情報セキュリティ及び個人情報保護に関する規程類が設けられているが、当委員会としては、その体系が複雑かつ未整理となっていることにより、現場担当者の理解の妨げとなっていることを懸念している。
その懸念を払拭し、現場の担当者が業務を遂行する上で遵守すべき規程類を確実に68

把握・理解することができるよう、規程類については、見直しをして早急に整備することを求める。その際には、規程類の実効性を確保するため、実用的な FAQ の作成な
どのほか、多忙な現場の担当者が気軽に問い合わせ、相談できるような窓口を整備することや、現場の担当者が業務遂行において実感している組織運営上の問題点を吸い上げ、これを規程類の改廃、業務プロセスの改善等に活用することなども検討に値する。
4

会社の組織風土の改善
役職員の意識改革と業務執行の仕組み・運用の改善が図られれば、それらが相互補完の作用を発揮し、再発防止にかなりの効果が期待できるが、それが的確に、かつ、安定的に機能するためには、会社の組織風土の改善が不可欠である。
これまで、長期間にわたって、個人情報の取扱いや委託先との契約履行において不適切な取扱いが継続し、それに気づく機会が何度もありながら、社内で改善のための声が上がらず、行動が起こされなかったことの原因を考究すると、他人の非を指摘することを嫌い、特に再委託の問題に見られたように、顧客に迷惑がかからないようにすることを免罪符として、問題の本質を直視せず、事なかれ主義で前例踏襲を通例としてきた組織風土があると指摘せざるを得ない。
業務執行において不適切な運用が行われていることを見聞きした者は、自らが関与しなければ良いというだけでは足りず、組織の一員として、声をあげるなど行動を起こすべ
きなのである。BIPROGYが、社員のコンプライアンス意識が高いというだけでなく、組織としてもコンプライアンスの行き届いた体質であるという評価を得られるようにするた
めには、社内の風通しを良くし、全ての役職員が、組織の不正に目をつむらず、常に会社を今よりも良くするために行動するという組織風土に改革していく必要がある。組織風
土をそのような価値観に基づくものに変えていくためには、役職員全員の意識改革が不可欠であり、まずもって経営層・幹部層から、率先して行動し、これを発信していくことが望まれる。
また、本件USBメモリ紛失事故とは直接関連しないが、内部通報制度にも言及する。不祥事の発生を防ぐためには、業務ラインにおけるコミュニケーションを通じて、コンプラ
イアンスに懸念のある事項を率直に相談できることが第一である。しかし、これが機能しないときに備え、役職員が安心してコンプライアンス懸念事項を相談できる内部通報制度を整備し、的確に運用すべきである。日常の業務におけるコンプライアンス違反は、一般に、社内における上下関係、従来からの慣行、顧客との関係、契約期限・コスト面の切迫など様々な要因によって生じ得るところであるが、コンプライアンス違反と感じた者
が是正を求めて積極的にその事実を申告する内部通報制度等を活用することにより、これが表面化するとともに、違反に対する抑止力となることが期待できる。本件USBメモリ69

紛失事故を契機として、今一度、コンプライアンス違反の事実を申告しやすい環境を整えるなど、内部通報制度等の的確な運用に向けた見直しに努めるべきである。
長年にわたり染みついた組織風土を改善することは容易なことではないが、既に指摘した、経営層からの明解なメッセージの発出、研修の充実、役職員間での活発な意見交換の場の設定などを通じて、地道にその実現に向けた努力を継続することが必要であろう。
また、組織運営状況についても、第三者からの視点による点検・評価等を取り入れ、組
織風土の改善について外部の視点・知見を導入することも検討すべきである。
5

改革の実効性と継続性の確保
以上の再発防止策の実効性をあげるためには、BIPROGYの全役職員が、改革の必要性と改革の方策の意味をしっかりと理解し、目標地点に向かって、全社一丸となって取り組む
ことが大切である。しかし、改革のための施策は時の経過とともに形骸化しやすいものであるから、各種改革策を続ける中で、所要の効果の期待できる改革策であり続けているかを確認・検証し、不要となったものは廃止し、不足するものは補充するなど、不断の努力を続け、全社の機運が緩まないような取組みを続ける必要がある。
具体的には、まずもって、経営トップのコミットメントが必要である。本件USBメモリ
紛失事故の重大性の認識、すなわち顧客である尼崎市や情報の主体である尼崎市の住民にどれほど大きな不安と迷惑をかけたのか、会社がどれだけ大きくレピュテーションを損なったのかということも含め、本件USBメモリ紛失事故に対する思いを具体的にわかりやすく説明し、改革の決意を明らかにするとともに、その志を全ての役職員で共有し、全社一丸となることが前提である。
その際、本件で失われた信頼を取り戻すという原状回復を目標地点とするのではなく、本件を機会に、BIPROGYが安心して個人情報を託せる会社として社会に認知されるようにするという、より高次の目標を設定し、そこに到達するためのロードマップを描くことが重要であると考える。そして、その目標地点の設定と現在地点の確認を通じ、改革のエネ
ルギーが小さくならないよう努めるべきである。
そのエネルギー源は、全ての役職員の心の内にあるが、その志を個人の精神力で維持し続けることは容易ではないので、外部の目を支えとすることも肝要である。すなわち、再発防止策を公表し、BIPROGY及び協力会社の全ての役職員に十分に説明し、全員が同様の理解を持つようにするとともに、顧客、株主その他社外のステークホルダーへも説明し、その理解を得て、改革の進捗を注視してもらうという観点も活かしたい。
そして、1年後、3年後、5年後など、一定期間ごとに検証し、これを社内外に公表し、様々なステークホルダーの批判にさらし、その意見を真摯に受け止め、さらなる改善策を練り直すことが重要であると考える。

70

6

おわりに
以上が当委員会の提言する再発防止策の概要である。
BIPROGYが全社一丸となって、全役職員の高いコンプライアンス意識と組織に備わった優れたシステムに支えられた「最も安心して個人情報を託せる会社」に成長することを期待している。
以71

上別紙1 委員の略歴

氏名略歴
1985年 検事任官（37期）
2017年 最高検察庁 監察指導部長
同年

井上宏

名古屋地方検察庁 検事正

2018年 札幌高等検察庁 検事長
2020年 福岡高等検察庁 検事長
同年

退官

同年

弁護士登録（第一東京弁護士会）

同年

桃尾・松尾・難波法律事務所 オフカウンセル

1988年 検事任官（40期）
2015年 最高検察庁 検事
名取俊也

2016年 弁護士登録（第一東京弁護士会）
2020年 名取法律事務所（現ITN法律事務所） パートナー
2021年 デジタル庁コンプライアンス委員会委員長
2002年 公認会計士登録
2006年 あらた監査法人（現 PwC あらた有限責任監査法人）入所

中山崇

同年

公認情報システム監査人（CISA）登録

2019年 PwC あらた有限責任監査法人/PwC ビジネスアシュアランス
合同会社 パートナー

72

別紙2 アンケート質問項目

No.

設問

選択肢

1-1

BIPROGY グループ（日本ユニシスグループ）への入① ～1980 年

社時期について教えてください。

② 1981 年～1985 年③ 1986 年～1990 年④ 1991 年～1995 年⑤ 1996 年～2000 年⑥ 2001 年～2005 年⑦ 2006 年～2010 年⑧ 2011 年～2015 年⑨ 2016 年～2020 年⑩ 2021 年～

1-2

現在の所属について教えてください（兼務されて① ビジネスイノベーション部門

サーいる場合には、主たる勤務先を選択して下さい）。 ビスイノベーション事業部② ビジネスイノベーション部門

社会公共サービス第一事業部③ ビジネスサービス部門

社会公共サ

ービス第一本部④ ビジネスサービス部門

社会公共サ

ービス第三本部⑤ ビジネスサービス部門
サービス第二本部
1-3

現在の役職について教えてください（兼務されて① 管理職以上いる場合には、本来の役職を選んで下さい）。

② 専門担当職（営業部門）③ 専門担当職（SE 部門）
④ 事務職

No.

設問

選択肢

2-1

あなたは、これまで、業務で USB を取り扱ったこ
1とはありますか 。

1① 取り扱ったことがある② 取り扱ったことはない

本設問の選択肢で①を選んだ回答者は 2-2a に移行し、②を選んだ回答者は 3 に移行する。

73

プロダクト

No.

設問

選択肢

2-2a

以下は、業務で USB を取り扱ったことがあると回① 守れなかったことがある

答した方への質問です。

② 守れているUSB の使用を開始する際のルールとして、社内規
程では以下のようなルールが定められています。

(a) 個人で所有している USB は使用しない。
(b) USB を使用する際には、所定の申請を行って使用許可を取る。
(c) 客先から委託を受けた業務で USB を使用する際には、客先のセキュリティポリシーに抵触していないことを確認した上で、客先の同意も取る。

まず、「(a)

個人で所有している USB は使用しない。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか2。
2-2b

あなたは、この「(a)個人で所有している USB

は使用しない。」というルールがあることを知っ① 知っていた② 知らなかったていましたか3。
2-2c

あなたが、この「(a)個人で所有している USB① 定められたとおりにするのが面倒だっは使用しない。」というルールがあることを知ったからていたのに守れなかった理由を教えて下さい。

② このルールが守られていない例を見聞（複数選択可）きしており、守らなくても構わないと思ったから③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他

2

本設問の選択肢で①を選んだ回答者は 2-2b に移行し、②を選んだ回答者は 2-3a に移行する。以下の設問でも同様に
小問 a で①を選択した回答者は小問 b へ、②を選択した回答者は次の小問 a へ移行する。
3

本設問の選択肢で①を選んだ回答者は 2-2c に移行し、②を選んだ回答者は 2-3a に移行する。以下の設問でも同様に
小問 b で①を選択した回答者は小問 c へ、②を選択した回答者は次の小問 a へ移行する。

74

No.

設問

選択肢
（

2-3a

次に、「(b)

USB を使用する際には、所定の申請を行って使用許可を取る。」というルールについ）① 守れなかったことがある② 守れているてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
2-3b

あなたは、この「(b)USB を使用する際には、所定の申請を行って使用許可を取る。」というルー① 知っていた② 知らなかったルがあることを知っていましたか。
2-3c

あなたが、この「(b)USB を使用する際には、所① 定められたとおりにするのが面倒だっ定の申請を行って使用許可を取る。」というルーたからルがあることを知っていたのに守れなかった理② このルールが守られていない例を見聞

由を教えて下さい。（複数選択可）

きしており、守らなくても構わないと思ったから③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

2-4a

最後に「(c)

客先から委託を受けた業務で USBを使用する際には、客先のセキュリティポリシー

）① 守れなかったことがある② 守れているに抵触していないことを確認した上で、客先の同意も取る。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
2-4b

あなたは、この「(c)客先から委託を受けた業務で USB を使用する際には、客先のセキュリティ① 知っていた② 知らなかった

ポリシーに抵触していないことを確認した上で、客先の同意も取る。」というルールがあることを知っていましたか。
2-4c

あなたが、この「(c)客先から委託を受けた業務で USB を使用する際には、客先のセキュリティ① 定められたとおりにするのが面倒だったからポリシーに抵触していないことを確認した上で、 ② このルールが守られていない例を見聞

75

No.

設問

選択肢

客先の同意も取る。」というルールがあることをきしており、守らなくても構わないと思知っていたのに守れなかった理由を教えて下さったからい。（複数選択可）③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

2-5a

USB を外部に持ち出す際のルールとして、社内規① 守れなかったことがある

程では次のような内容のものが定められていま② 守れている）す。
(a) USB の外部への持ち出しに宅配業者や郵便等を利用する場合には、配達記録郵便やセキュリティ便を用いる。
(b) 自ら USB を持ち出している間は、飲酒や遊戯・遊興施設への立ち寄りなど、著しく注意
力・責任感を欠いた行為をしない。
(c) USB に保存される個人情報等の重要データ
は、暗号化、あるいはパスワードで保護する。
これから、個々のルールが守られているかどうかについてうかがっていきます。

まず、
「(a)

USB の外部への持ち出しに宅配業者

や郵便等を利用する場合には、配達記録郵便やセキュリティ便を用いる。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
2-5b

あなたは、この「(a)USB の外部への持ち出しに宅配業者や郵便等を利用する場合には、配達記録① 知っていた② 知らなかった

郵便やセキュリティ便を用いる。」というルールがあることを知っていましたか。
2-5c

あなたが、この「(a)USB の外部への持ち出しに76① 定められたとおりにするのが面倒だっ

No.

設問

選択肢

宅配業者や郵便等を利用する場合には、配達記録

たから

郵便やセキュリティ便を用いる。」というルール② このルールが守られていない例を見聞があることを知っていたのに守れなかった理由

きしており、守らなくても構わないと思を教えて下さい。（複数選択可）

ったから③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

2-6a

次に、「(b)

自ら USB を持ち出している間は、飲酒や遊戯・遊興施設への立ち寄りなど、著しく）① 守れなかったことがある② 守れている

注意力・責任感を欠いた行為をしない。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
2-6b

あなたは、この「(b)自ら USB を持ち出してい① 知っていたる間は、飲酒や遊戯・遊興施設への立ち寄りなど、 ② 知らなかった
著しく注意力・責任感を欠いた行為をしない。」というルールがあることを知っていましたか。
2-6c

あなたが、この「(b)自ら USB を持ち出してい① 定められたとおりにするのが面倒だっる間は、飲酒や遊戯・遊興施設への立ち寄りなど、 たから著しく注意力・責任感を欠いた行為をしない。」 ② このルールが守られていない例を見聞というルールがあることを知っていたのに守れきしており、守らなくても構わないと思なかった理由を教えて下さい。（複数選択可）

ったから③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

2-7a

最後に「(c)USB に保存される個人情報等の重要データは、暗号化、あるいはパスワードで保護

77① 守れなかったことがある② 守れている

）

No.

設問

選択肢

する。」というルールについてうかがいます。あなたは、このルールを守れなかったことがありま
すか。
2-7b

あなたは、この「(c)USB に保存される個人情報等の重要データは、暗号化、あるいはパスワード① 知っていた② 知らなかったで保護する。」というルールがあることを知っていましたか。
2-7c

あなたが、この「(c)USB に保存される個人情報① 定められたとおりにするのが面倒だっ等の重要データは、暗号化、あるいはパスワード

たからで保護する。」というルールがあることを知って② このルールが守られていない例を見聞いたのに守れなかった理由を教えて下さい。（複きしており、守らなくても構わないと思

数選択可）

ったから
③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

2-8a

USB の利用後のルールとして、社内規程では次の① 守れなかったことがある

ような内容のものが定められています。

② 守れている(a) USB に記録されたデータを利用した後は、当該 USB を顧客に返却するか、または当該データを消去する。
(b) 当該 USB（データ）を顧客に返却しまたは消去した際は、その旨を顧客に受渡簿等の文書で報告する。

これから、個々のルールが守られているかどうかについてうかがっていきます。
まず、
「(a)

USB に記録されたデータを利用した

後は、当該 USB を顧客に返却するか、または当該データを消去する。」というルールについてうか
がいます。

78

）

No.

設問

選択肢

あなたは、このルールを守れなかったことがあり
ますか。
2-8b

あなたは、この「(a)USB に記録されたデータを利用した後は、当該 USB を顧客に返却するか、ま① 知っていた② 知らなかった

たは当該データを消去する。」というルールがあることを知っていましたか。
2-8c

あなたが、この「(a)USB に記録されたデータを① 定められたとおりにするのが面倒だっ利用した後は、当該 USB を顧客に返却するか、またからたは当該データを消去する。」というルールがあ② このルールが守られていない例を見聞ることを知っていたのに守れなかった理由を教きしており、守らなくても構わないと思えて下さい。（複数選択可）

ったか③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

2-9a

次に「(b)

当該 USB（データ）を顧客に返却しま

たは消去した際は、その旨を顧客に受渡簿等の文）① 守れなかったことがある② 守れている書で報告する。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
2-9b

あなたは、この「(b)当該 USB（データ）を顧客に返却しまたは消去した際は、その旨を顧客に受① 知っていた② 知らなかった

渡簿等の文書で報告する。」というルールがあることを知っていましたか。
2-9c

あなたが、この「(b)当該 USB（データ）を顧客① 定められたとおりにするのが面倒だっに返却しまたは消去した際は、その旨を顧客に受たから渡簿等の文書で報告する。」というルールがある② このルールが守られていない例を見聞ことを知っていたのに守れなかった理由を教えきしており、守らなくても構わないと思て下さい。（複数選択可）

ったから③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思

79

No.

設問

選択肢
ったから
④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

No.

設問

選択肢

3-1

あなたは、これまで、業務で、モバイル PC やス① 持ち出したことがある

マートデバイス等、個人情報等の秘密情報が記録② 持ち出したことはない

されたデバイス等 (以下、「モバイル PC 等」と言います。)を社外へ持ち出したことはあります
か4。
3-2a

以下では、業務で、USB 以外でモバイル PC 等を① 守れなかったことがある社外へ持ち出したことがあると回答した方への② 守れている質問です。
USB 以外の、モバイル PC 等を持ち出す際のルールとして、社内規程では次のような内容のものが定められています。
(a) モバイル PC 等を持ち出す場合には、手荷物として持ち運び、外部から分からないようにする等、紛失・盗難に十分に注意する。
(b) モバイル PC 等には、紛失・盗難時、不正操作を防止するため、パスワード設定（パスコード設定）を行う。
(c) 自らモバイル PC 等を保持している間は、飲酒や遊戯・遊興施設への立ち寄りなど著しく注意力・責任感を欠いた行為をしない。
これから、個々のルールが守られているかどうかについてうかがっていきます。

まず、「(a)モバイル PC 等を持ち出す場合には、手荷物として持ち運び、外部から分からないようにする等、紛失・盗難に十分に注意する。」

4

本設問の選択肢で②を選んだ回答者は、アンケートが終了する。

80

）

No.

設問

選択肢

というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
3-2b

あなたは、この「(a)モバイル PC 等を持ち出す

場合には、手荷物として持ち運び、外部から分か① 知っていた② 知らなかったらないようにする等、紛失・盗難に十分に注意する。」というルールがあることを知っていましたか。
3-2c

あなたが、この「(a)モバイル PC 等を持ち出す① 定められたとおりにするのが面倒だっ場合には、手荷物として持ち運び、外部から分かたかららないようにする等、紛失・盗難に十分に注意す② このルールが守られていない例を見聞る。」というルールがあることを知っていたのにきしており、守らなくても構わないと思守れなかった理由を教えて下さい。
（複数選択可） ったから
③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（
3-3a

次に「(b)）

モバイル PC 等には、紛失・盗難時、 ① 守れなかったことがある

不正操作を防止するため、パスワード設定（パス② 守れている

コード設定）を行う。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
3-3b

あなたは、この「(b)モバイル PC 等には、紛失・ ① 知っていた

盗難時、不正操作を防止するため、パスワード設② 知らなかった

定（パスコード設定）を行う。」というルールがあることを知っていましたか。
3-3c

あなたが、この「(b)モバイル PC 等には、紛失・ ① 定められたとおりにするのが面倒だっ

盗難時、不正操作を防止するため、パスワード設たから

定（パスコード設定）を行う。」というルールが② このルールが守られていない例を見聞あることを知っていたのに守れなかった理由をきしており、守らなくても構わないと思教えて下さい。（複数選択可）

ったから

81

No.

設問

選択肢
③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

3-4a

最後に「(c)自らモバイル PC 等を保持している

間は、飲酒や遊戯・遊興施設への立ち寄りなど著）① 守れなかったことがある② 守れている

しく注意力・責任感を欠いた行為をしない。」というルールについてうかがいます。
あなたは、このルールを守れなかったことがあり
ますか。
3-4b

あなたは、この「(c)自らモバイル PC 等を保持している間は、飲酒や遊戯・遊興施設への立ち寄① 知っていた② 知らなかったりなど著しく注意力・責任感を欠いた行為をしない。」というルールがあることを知っていましたか。
3-4c

あなたが、この「(c)自らモバイル PC 等を保持

① 定められたとおりにするのが面倒だっしている間は、飲酒や遊戯・遊興施設への立ち寄たからりなど著しく注意力・責任感を欠いた行為をしな② このルールが守られていない例を見聞い。」というルールがあることを知っていたのにきしており、守らなくても構わないと思守れなかった理由を教えて下さい。
（複数選択可） ったから
③ 情報漏洩のような事故を起こさないよ
うにすれば、守らなくても構わないと思ったから④ 上司又は顧客から、このルールとは別の取り扱いを求められていたから
⑤ その他
（

82

）

別紙3 アンケート調査結果
第1

アンケート回答状況（全体）1

全体の回答状況
回答状況
対象者数 (名)524

受領回答 (件)429

回答率（%）

81.9%

2

属性別の回答状況
(1)

入社時期別
回答(件)

～1980 年

21981 年～1985 年

81986 年～1990 年

56

1991 年～1995 年

961996 年～2000 年

452001 年～2005 年

63

2006 年～2010 年

462011 年～2015 年

33

2016 年～2020 年

48

2021 年～

32

合計

429

(2)

所属部署別
回答(件)

ビジネスイノベーション部門 サービスイノベーション事業部
ビジネスイノベーション部門 社会公共サービス
第一事業部

83

57
81

ビジネスサービス部門 プロダクトサービス第二本部
ビジネスサービス部門 社会公共サービス第一本部
ビジネスサービス部門 社会公共サービス第三本
部
合計

45
183
63

(3)

429
役職別
回答(件)

専門担当職（SE 部門）

224

専門担当職（営業部門）

122

事務職

7

管理職以上

76

合計

429

第2

アンケート回答結果

1

USB の使用有無
業務で USB を取り扱ったことはありますか。
回答
ある

ない

入社時期

件数

分布

～1980 年

10.6%

1981 年～1985 年

1

0.6%

1986 年～1990 年

26

14.6%

1991 年～1995 年

45

25.3%

1996 年～2000 年

21

11.8%

2001 年～2005 年

28

15.7%

2006 年～2010 年

21

11.8%

2011 年～2015 年

15

8.4%

2016 年～2020 年

17

9.6%

2021 年～

3

1.7%

178

1

1

0.4%

～1980 年

84

1981 年～1985 年

7

2.8%

1986 年～1990 年

30

12.0%

1991 年～1995 年

51

20.3%

1996 年～2000 年

24

9.6%

2001 年～2005 年

35

13.9%

2006 年～2010 年

25

10.0%

2011 年～2015 年

18

7.2%

2016 年～2020 年

31

12.4%

2021 年～

29

11.6%

251

1

回答
ある

ない

所属部門

ない

分布

サービスイノベーション事業部

10

5.6%

社会公共サービス第一事業部

14

7.9%

プロダクトサービス第二本部

13

7.3%

社会公共サービス第一本部

92

51.7%

社会公共サービス第三本部

49

27.5%

178

1

サービスイノベーション事業部

47

18.7%

社会公共サービス第一事業部

67

26.7%

プロダクトサービス第二本部

32

12.7%

社会公共サービス第一本部

91

36.3%

社会公共サービス第三本部

14

5.6%

251

1

回答
ある

件数

役職

件数

分布

専門担当職（SE 部門）

124

69.7%

専門担当職（営業部門）

23

12.9%

事務職

0

0.0%

管理職以上

31

17.4%

178

1

専門担当職（SE 部門）

100

39.8%

専門担当職（営業部門）

99

39.4%

事務職

7

2.8%

管理職以上

45

17.9%

85

251
2

1

USB の使用を開始する際のルール(a) 個人で所有している USB は使用しない。
(b) USB を使用する際には、所定の申請を行って使用許可を取る。
(c) 客先から委託を受けた業務で USB を使用する際には、客先のセキュリティポリシー
に抵触していないことを確認した上で、客先の同意も取る。
回答
守れなかったことがある + 知っていた

守れなかったことがある + 知らなかった

守っている

入社時期

(a)
件数

(b)

分布

件数

(c)

分布

件数

分布

～1980 年

0

0.0%

0

0.0%

0

0.0%

1981 年～1985 年

0

0.0%

0

0.0%

0

0.0%

1986 年～1990 年

1

11.1%

1

12.5%

0

0.0%

1991 年～1995 年

2

22.2%

2

25.0%

1

100.0%

1996 年～2000 年

1

11.1%

0

0.0%

0

0.0%

2001 年～2005 年

2

22.2%

1

12.5%

0

0.0%

2006 年～2010 年

1

11.1%

3

37.5%

0

0.0%

2011 年～2015 年

2

22.2%

1

12.5%

0

0.0%

2016 年～2020 年

0

0.0%

0

0.0%

0

0.0%

2021 年～

0

0.0%

0

0.0%

0

0.0%

9

1

8

1

1

1

～1980 年

0

0.0%

0

0.0%

0

0.0%

1981 年～1985 年

0

0.0%

0

0.0%

0

0.0%

1986 年～1990 年

1

33.3%

1

9.1%

1

20.0%

1991 年～1995 年

1

33.3%

1

9.1%

0

0.0%

1996 年～2000 年

0

0.0%

0

0.0%

0

0.0%

2001 年～2005 年

0

0.0%

3

27.3%

1

20.0%

2006 年～2010 年

0

0.0%

0

0.0%

0

0.0%

2011 年～2015 年

0

0.0%

4

36.4%

2

40.0%

2016 年～2020 年

1

33.3%

2

18.2%

1

20.0%

2021 年～

0

0.0%

0

0.0%

0

0.0%

3

1

11

1

5

1

1

0.6%

1

0.6%

1

0.6%

～1980 年

86

1981 年～1985 年

1

0.6%

1

0.6%

1

0.6%

1986 年～1990 年

24

14.5%

24

15.1%

25

14.5%

1991 年～1995 年

42

25.3%

42

26.4%

44

25.6%

1996 年～2000 年

20

12.0%

21

13.2%

21

12.2%

2001 年～2005 年

26

15.7%

24

15.1%

27

15.7%

2006 年～2010 年

20

12.0%

18

11.3%

21

12.2%

2011 年～2015 年

13

7.8%

10

6.3%

13

7.6%

2016 年～2020 年

16

9.6%

15

9.4%

16

9.3%

2021 年～

3

1.8%

3

1.9%

3

1.7%

166

1

159

1

172

1

回答

所属部門

守れなかったことがサービスイノベある + 知っていたーション事業部(a)
件数

社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

守れなかったことがサービスイノベある + 知らなかったーション事業部
社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

87

(b)

分布

件数

(c)

分布

件数

分布

1

11.1%

0

0.0%

0

0.0%

3

33.3%

2

25.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

4

44.4%

2

25.0%

1

100.0%

1

11.1%

4

50.0%

0

0.0%

9

1

8

1

1

1

0

0.0%

2

18.2%

0

0.0%

0

0.0%

3

27.3%

0

0.0%

1

33.3%

1

9.1%

0

0.0%

0

0.0%

1

9.1%

2

40.0%

2

66.7%

4

36.4%

3

60.0%

3

1

11

1

5

1

守っているサービスイノベーション事業部
社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

回答

役職

守れなかったことが専門担当職（SEある + 知っていた

部門）

8

5.0%

10

5.8%

11

6.6%

9

5.7%

14

8.1%

12

7.2%

12

7.5%

13

7.6%

88

53.0%

89

56.0%

89

51.7%

46

27.7%

41

25.8%

46

26.7%

166

1

159

1

172

1

件数

(b)

分布

件数

(c)

分布

件数

分布

4

44.4%

5

62.5%

0

0.0%

3

33.3%

2

25.0%

0

0.0%

事務職

0

0.0%

0

0.0%

0

0.0%

管理職以上

2

22.2%

1

12.5%

1

100.0%

9

1

8

1

1

1

2

66.7%

5

45.5%

4

80.0%

0

0.0%

4

36.4%

0

0.0%

事務職

0

0.0%

0

0.0%

0

0.0%

管理職以上

1

33.3%

2

18.2%

1

20.0%

3

1

11

1

5

1

118

71.1%

114

71.7%

120

69.8%

20

12.0%

17

10.7%

23

13.4%

事務職

0

0.0%

0

0.0%

0

0.0%

管理職以上

28

16.9%

28

17.6%

29

16.9%

166

1

159

1

172

1

業部門）

専門担当職（SEある + 知らなかった 部門）
専門担当職（営
業部門）

守っている

5.4%

(a)

専門担当職（営守れなかったことが9

専門担当職（SE部門）
専門担当職（営
業部門）

88

3

USB を外部に持ち出す際のルール(a) USB の外部への持ち出しに宅配業者や郵便等を利用する場合には、配達記録郵便やセキュリティ便を用いる。
(b) 自ら USB を持ち出している間は、飲酒や遊戯・遊興施設への立ち寄りなど、著しく注
意力・責任感を欠いた行為をしない。
(c) USB に保存される個人情報等の重要データは、暗号化、あるいはパスワードで保護する。

回答
守れなかったことがある + 知っていた

守れなかったことがある + 知らなかった

入社時期

(a)
件数

(b)

分布

件数

(c)

分布

件数

分布

～1980 年

0

0.0%

0

0.0%

0

0.0%

1981 年～1985 年

0

0.0%

0

0.0%

0

0.0%

1986 年～1990 年

0

0.0%

1 100.0%0

0.0%1991 年～1995 年

0

0.0%

0

0.0%

0

0.0%

1996 年～2000 年

1

50.0%

0

0.0%

0

0.0%

2001 年～2005 年

0

0.0%

0

0.0%

0

0.0%

2006 年～2010 年

1

50.0%

0

0.0%

1

100.0%

2011 年～2015 年

0

0.0%

0

0.0%

0

0.0%

2016 年～2020 年

0

0.0%

0

0.0%

0

0.0%

2021 年～

0

0.0%

0

0.0%

0

0.0%

2

1

1

1

1

1

～1980 年

0

0.0%

0

0.0%

0

－

1981 年～1985 年

0

0.0%

0

0.0%

0

－

1986 年～1990 年

2

28.6%

0

0.0%

0

－

1991 年～1995 年

0

0.0%

0

0.0%

0

－

1996 年～2000 年

1

14.3%

0

0.0%

0

－

2001 年～2005 年

1

14.3%

0

0.0%

0

－

2006 年～2010 年

0

0.0%

0

0.0%

0

－

2011 年～2015 年

1

14.3%

1

50.0%

0

－

2016 年～2020 年

2

28.6%

1

50.0%

0

－

2021 年～

0

0.0%

0

0.0%

0

－

89

守っている

7

1

2

1

0

0

～1980 年

1

0.6%

1

0.6%

1

0.6%

1981 年～1985 年

1

0.6%

1

0.6%

1

0.6%

1986 年～1990 年

24

14.2%

25

14.3%

26

14.7%

1991 年～1995 年

45

26.6%

45

25.7%

45

25.4%

1996 年～2000 年

19

11.2%

21

12.0%

21

11.9%

2001 年～2005 年

27

16.0%

28

16.0%

28

15.8%

2006 年～2010 年

20

11.8%

21

12.0%

20

11.3%

2011 年～2015 年

14

8.3%

14

8.0%

15

8.5%

2016 年～2020 年

15

8.9%

16

9.1%

17

9.6%

2021 年～

3

1.8%

3

1.7%

3

1.7%

169

1

175

1

177

1

回答

所属部門

守れなかったことがサービスイノベある + 知っていたーション事業部(a)
件数

社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

守れなかったことがサービスイノベある + 知らなかったーション事業部
社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部

90

(b)

分布

件数

(c)

分布

件数

分布

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

1

50.0%

0

0.0%

0

0.0%

1

50.0%

1

100.0%

2

1

1

1

1

1

1

14.3%

1

50.0%

0

－

1

14.3%

0

0.0%

0

－

0

0.0%

1

50.0%

0

－

2

28.6%

0

0.0%

0

－

1 100.0%

社会公共サービ
ス第三本部

守っている

サービスイノベーション事業部
社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

回答

役職

守れなかったことが専門担当職（SEある + 知っていた

部門）

た

0.0%

0

－

7

1

2

1

0

0

9

5.3%

9

5.1%

10

5.6%

13

7.7%

14

8.0%

14

7.9%

13

7.7%

12

6.9%

13

7.3%

89

52.7%

92

52.6%

92

52.0%

45

26.6%

48

27.4%

48

27.1%

169

1

175

1

177

1

(b)

分布

件数

(c)

分布

件数

分布

0

0.0%

1

100.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

事務職

0

0.0%

0

0.0%

0

0.0%

管理職以上

2

100.0%

00.0%

1100.0%

2

1

1

1

1

1

3

42.9%

0

0.0%

0

－

1

14.3%

1

50.0%

0

－

事務職

0

0.0%

0

0.0%

0

－

管理職以上

3

42.9%

1

50.0%

0

－

7

1

2

1

0

0

121

71.6%

123

70.3%

124

70.1%

専門担当職（SE部門）
専門担当職（営
業部門）

守っている

0

件数

業部門）

ある + 知らなかっ

42.9%

(a)

専門担当職（営守れなかったことが3

専門担当職（SE部門）

91

専門担当職（営

22

13.0%

22

12.6%

23

13.0%

事務職

0

0.0%

0

0.0%

0

0.0%

管理職以上

26

15.4%

30

17.1%

30

16.9%

169

1

175

1

177

1

業部門）

4

USB の利用後のルール(a) USB に記録されたデータを利用した後は、当該 USB を顧客に返却するか、または当該データを消去する。
(b) 当該 USB（データ）を顧客に返却しまたは消去した際は、その旨を顧客に受渡簿等の文書で報告する。

回答
守れなかったことがある +知っていた

守れなかったことがある +知らなかった

入社時期

(a)
件数

(b)

分布

件数

分布

～1980 年

0

0.0%

0

0.0%

1981 年～1985 年

0

0.0%

0

0.0%

1986 年～1990 年

1

33.3%

1

50.0%

1991 年～1995 年

2

66.7%

0

0.0%

1996 年～2000 年

0

0.0%

0

0.0%

2001 年～2005 年

0

0.0%

0

0.0%

2006 年～2010 年

0

0.0%

0

0.0%

2011 年～2015 年

0

0.0%

0

0.0%

2016 年～2020 年

0

0.0%

0

0.0%

2021 年～

0

0.0%

1

50.0%

3

1

2

1

～1980 年

0

0.0%

0

0.0%

1981 年～1985 年

0

0.0%

0

0.0%

1986 年～1990 年

0

0.0%

3

11.5%

1991 年～1995 年

1

33.3%

6

23.1%

1996 年～2000 年

1

33.3%

1

3.8%

2001 年～2005 年

0

0.0%

3

11.5%

2006 年～2010 年

0

0.0%

2

7.7%

92

守っている2011 年～2015 年

1

33.3%

7

26.9%

2016 年～2020 年

0

0.0%

3

11.5%

2021 年～

0

0.0%

1

3.8%

3

1

26

1

～1980 年

1

0.6%

1

0.7%

1981 年～1985 年

1

0.6%

1

0.7%

1986 年～1990 年

25

14.5%

22

14.7%

1991 年～1995 年

42

24.4%

39

26.0%

1996 年～2000 年

20

11.6%

20

13.3%

2001 年～2005 年

28

16.3%

25

16.7%

2006 年～2010 年

21

12.2%

19

12.7%

2011 年～2015 年

14

8.1%

8

5.3%

2016 年～2020 年

17

9.9%

14

9.3%

2021 年～

3

1.7%

1

0.7%

172

1

150

1

回答

所属部門

守れなかったことがある +サービスイノベーシ

知っていた

ョン事業部
社会公共サービス第一事業部
プロダクトサービス
第二本部
社会公共サービス第一本部
社会公共サービス第三本部

守れなかったことがある +サービスイノベーシ

知らなかったョン事業部
社会公共サービス第一事業部
プロダクトサービス
第二本部

93

(a)
件数

(b)

分布

件数

分布

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

0

0.0%

2

66.7%

0

0.0%

1

33.3%

2

100.0%

3

1

2

1

0

0.0%

3

11.5%

0

0.0%

2

7.7%

0

0.0%

0

0.0%

社会公共サービス第

2

66.7%

6

23.1%

1

33.3%

15

57.7%

3

1

26

1

10

5.8%

7

4.7%

14

8.1%

12

8.0%

13

7.6%

13

8.7%

88

51.2%

86

57.3%

47

27.3%

32

21.3%

172

1

150

1

一本部
社会公共サービス第三本部

サービスイノベーシ

守っている

ョン事業部
社会公共サービス第一事業部
プロダクトサービス
第二本部
社会公共サービス第一本部
社会公共サービス第
三本部

(a)

(a)

(b)

(b)

件数

割合

件数

割合

3

100.0%

1

50.0%

0

0.0%

0

0.0%

事務職

0

0.0%

0

0.0%

管理職以上

0

0.0%

1

50.0%

3

1

2

1

1

33.3%

18

69.2%

0

0.0%

3

11.5%

事務職

0

0.0%

0

0.0%

管理職以上

2

66.7%

5

19.2%

3

1

26

1

120

69.8%

105

70.0%

回答

役職

守れなかったことがある +専門担当職（SE 部

知っていた

門）
専門担当職（営業部門）

守れなかったことがある +専門担当職（SE 部

知らなかった門）
専門担当職（営業部
門）

守っている

専門担当職（SE 部門）

94

専門担当職（営業部

23

13.4%

20

13.3%

事務職

0

0.0%

0

0.0%

管理職以上

29

16.9%

25

16.7%

172

1

150

1

門）

5

デバイスの持ち出し有無
業務で、個人情報等の秘密情報が記録されたデバイス等（モバイル PC 等）を社外へ持ち出したことはありますか。
回答
ある

ない

入社時期

件数

分布

～1980 年

00.0%

1981 年～1985 年

6

3.1%

1986 年～1990 年

16

8.3%

1991 年～1995 年

32

16.6%

1996 年～2000 年

16

8.3%

2001 年～2005 年

32

16.6%

2006 年～2010 年

21

10.9%

2011 年～2015 年

17

8.8%

2016 年～2020 年

28

14.5%

2021 年～

25

13.0%

193

1

～1980 年

20.8%

1981 年～1985 年

2

0.8%

1986 年～1990 年

40

16.9%

1991 年～1995 年

64

27.1%

1996 年～2000 年

29

12.3%

2001 年～2005 年

31

13.1%

2006 年～2010 年

25

10.6%

2011 年～2015 年

16

6.8%

2016 年～2020 年

20

8.5%

2021 年～

7

3.0%

236

1

95

回答

入社時期

件数

サービスイノベーション事

ある

26

13.5%

43

22.3%

22

11.4%

社会公共サービス第一本部

73

37.8%

社会公共サービス第三本部

29

15.0%

193

1

31

13.1%

38

16.1%

23

9.7%

社会公共サービス第一本部

110

46.6%

社会公共サービス第三本部

34

14.4%

236

1

業部
社会公共サービス第一事業部
プロダクトサービス第二本部

サービスイノベーション事ない

業部
社会公共サービス第一事業部
プロダクトサービス第二本
部

回答
ある

ない

6

分布

入社時期

件数

分布

専門担当職（SE 部門）

95

49.2%

専門担当職（営業部門）

60

31.1%

事務職

3

1.6%

管理職以上

35

18.1%

193

1

専門担当職（SE 部門）

129

54.7%

専門担当職（営業部門）

62

26.3%

事務職

4

1.7%

管理職以上

41

17.4%

236

1

モバイル PC 等を持ち出す際のルール(a) モバイル PC 等を持ち出す場合には、手荷物として持ち運び、外部から分からないよ96

うにする等、紛失・盗難に十分に注意する。
(b) モバイル PC 等には、紛失・盗難時、不正操作を防止するため、パスワード設定（パスコード設定）を行う。
(c) 自らモバイル PC 等を保持している間は、飲酒や遊戯・遊興施設への立ち寄りなど著
しく注意力・責任感を欠いた行為をしない。

回答
守れなかったことがある + 知っていた

守れなかったことがある + 知らなかった

守っている

入社時期

(a)
件数

(b)

分布

件数

(c)

分布

件数

分布

～1980 年

0

0.0%

0

－

0

0.0%

1981 年～1985 年

0

0.0%

0

－

0

0.0%

1986 年～1990 年

0

0.0%

0

－

4

11.4%

1991 年～1995 年

1

25.0%

0

－

6

17.1%

1996 年～2000 年

0

0.0%

0

－

1

2.9%

2001 年～2005 年

0

0.0%

0

－

10

28.6%

2006 年～2010 年

3

75.0%

0

－

6

17.1%

2011 年～2015 年

0

0.0%

0

－

1

2.9%

2016 年～2020 年

0

0.0%

0

－

7

20.0%

2021 年～

0

0.0%

0

－

0

0.0%

4

1

0

0

35

1

～1980 年

0

0.0%

0

－

0

0.0%

1981 年～1985 年

0

0.0%

0

－

0

0.0%

1986 年～1990 年

0

0.0%

0

－

0

0.0%

1991 年～1995 年

1

50.0%

0

－

0

0.0%

1996 年～2000 年

0

0.0%

0

－

0

0.0%

2001 年～2005 年

0

0.0%

0

－

2

40.0%

2006 年～2010 年

1

50.0%

0

－

1

20.0%

2011 年～2015 年

0

0.0%

0

－

1

20.0%

2016 年～2020 年

0

0.0%

0

－

1

20.0%

2021 年～

0

0.0%

0

－

0

0.0%

2

1

0

0

5

1

～1980 年

0

0.0%

0

0.0%

0

0.0%

1981 年～1985 年

6

3.2%

6

3.1%

6

3.9%

1986 年～1990 年

16

8.6%

16

8.3%

12

7.8%

97

1991 年～1995 年

30

16.0%

32

16.6%

26

17.0%

1996 年～2000 年

16

8.6%

16

8.3%

15

9.8%

2001 年～2005 年

32

17.1%

32

16.6%

20

13.1%

2006 年～2010 年

17

9.1%

21

10.9%

14

9.2%

2011 年～2015 年

17

9.1%

17

8.8%

15

9.8%

2016 年～2020 年

28

15.0%

28

14.5%

20

13.1%

2021 年～

25

13.4%

25

13.0%

25

16.3%

187

1

193

1

153

1

回答

所属部門

守れなかったことがサービスイノベある + 知っていたーション事業部(a)
件数

社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

守れなかったことがサービスイノベある + 知らなかったーション事業部
社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

守っている

サービスイノベーション事業部

98

(b)

分布

件数

(c)

分布

件数

分布

0

0.0%

0

－

3

8.6%

1

25.0%

0

－

13

37.1%

0

0.0%

0

－

1

2.9%

3

75.0%

0

－

15

42.9%

0

0.0%

0

－

3

8.6%

4

1

0

0

35

1

0

0.0%

0

－

0

0.0%

2

100.0%

0

－

0

0.0%

0

0.0%

0

－

0

0.0%

0

0.0%

0

－

4

80.0%

0

0.0%

0

－

1

20.0%

2

1

0

0

5

1

26

13.9%

26

13.5%

23

15.0%

社会公共サービ
ス第一事業部
プロダクトサービス第二本部
社会公共サービ
ス第一本部
社会公共サービ
ス第三本部

回答

役職

守れなかったことが専門担当職（SEある + 知っていた

部門）

43

22.3%

30

19.6%

22

11.8%

22

11.4%

21

13.7%

70

37.4%

73

37.8%

54

35.3%

29

15.5%

29

15.0%

25

16.3%

187

1

193

1

153

1

件数

(b)

分布

件数

(c)

分布

件数

分布

2

50.0%

0

－

11

31.4%

2

50.0%

0

－

15

42.9%

事務職

0

0.0%

0

－

0

0.0%

管理職以上

0

0.0%

0

－

9

25.7%

4

1

0

0

35

1

0

0.0%

0

－

5

100.0%

2

100.0%

0

－

0

0.0%

事務職

0

0.0%

0

－

0

0.0%

管理職以上

0

0.0%

0

－

0

0.0%

2

1

0

0

5

1

93

49.7%

95

49.2%

79

51.6%

56

29.9%

60

31.1%

45

29.4%

事務職

3

1.6%

3

1.6%

3

2.0%

管理職以上

35

18.7%

35

18.1%

26

17.0%

187

1

193

1

153

1

業部門）

専門担当職（SEある + 知らなかった 部門）
専門担当職（営
業部門）

守っている

21.4%

(a)

専門担当職（営守れなかったことが40

専門担当職（SE部門）
専門担当職（営業部門）

以99

上