情報漏えいのニュースを見て、サイバー攻撃への備えを強める。社員が誤送信したと聞いて、注意喚起と研修を増やす。どちらも対策になりますが、それだけで自社の情報の流出経路を捉えられているでしょうか。
IPAの営業秘密調査では、外部からのサイバー攻撃に加え、社員のルール不徹底、金銭目的などの持ち出し、誤操作が上位に並びました。情報漏えいは同じ結果でも、そこへ至る理由は異なります。
原因を一括りにすると、対策は増えても、漏れる経路が残ることがあります。 国内1,200人の調査を読み、情報漏えいがなぜ起こるのか、外部防御や社員教育だけでは届きにくい部分は何かを考えます。
情報漏えいの原因は、外部攻撃・持ち出し・ミスに分かれる
情報漏えいとは、社内で扱う情報が、本来認めていない相手や範囲へ出てしまうことです。顧客情報だけでなく、価格、原価、設計、製造方法、事業計画なども、企業にとって守る対象になります。
大きく分けると、外部から侵入して盗まれる場合、情報へアクセスできる人が持ち出す場合、操作や共有の間違いで漏れる場合があります。「内部か外部か」に加え、意図的か、ルールを知らなかったのか、知っていても間違えたのかで、対策の考え方が変わります。
| 原因の違い | 起こり方の例 | 注意喚起だけでは届きにくい部分 |
|---|---|---|
| 外部からの攻撃 | 侵入した攻撃者がデータを取得する | 認証、脆弱性、侵入後のアクセス範囲 |
| 意図的な持ち出し | 閲覧権限のある人が無断で外部へ渡す | 権限の広さ、出力経路、履歴の確認 |
| ルールの不徹底 | 共有の制限を知らず、外部へ公開する | ルールの伝わり方、作業に合う手順 |
| 誤操作・誤認 | 宛先や公開設定を間違える | 間違いやすい画面、確認・承認の仕組み |
表は仕組みを理解するための説明例です。一つの事故に複数の要因が関わる場合もあり、分類しただけで原因が確定するわけではありません。
IPAの営業秘密調査では、どのような情報漏えいが認識されているか
国内1,200人に、過去5年の漏えい事例を尋ねた
「企業における営業秘密管理に関する実態調査2024」は、2025年1月23～31日に行われたウェブ調査です。情報システム、リスク管理、経営企画などの担当者と経営層1,200人が回答しました。従業員数300人以下・301人以上と、製造業・非製造業の4区分で、それぞれ300人ずつ集めています。
ここで扱うのは営業秘密の漏えいです。あらゆる個人情報事故を集計した統計ではなく、会社の競争力に関わる情報の管理を考える調査として読むと位置付けが分かります。
漏えいと思われる事象を認識した割合は35.5％
過去5年以内に明らかな漏えい、または漏えいと思われる事象を認識した回答者は35.5％でした。2020年度調査の5.2％と比べ、認識された割合は大きく上がっています。
| 調査 | 回答数 | 過去5年の漏えい事例・事象を認識 |
|---|---|---|
| 2020年度 | 2,161 | 5.2％ |
| 2024年度 | 1,200 | 35.5％ |
出典：IPA報告書概要、印刷ページ2～4。2024年度調査の実施は2025年1月です。
前回は郵送、今回はウェブと調査方法が違い、回答者の構成も揃っていません。これを全国の漏えい件数が約7倍になったという推計には使えません。一方、今回の回答者にとって、漏えいが認識される問題として広く存在していることは読み取れます。発生そのものと、発見・認識の変化の両方を含む結果です。
外部攻撃36.6％だけでなく、ルール不徹底32.6％も上位にある
漏えいを認識した426人が答えた経路のうち、上位は次の4項目でした。
出典：IPA報告書概要、印刷ページ5。図は当サイトが作成。複数回答のため合計は100％にならず、割合は事故件数の構成比でもありません。
外部攻撃だけを防いでも、日常の情報の扱い方や持ち出しまで解決するわけではない。この点が、調査から対策を考える際の重要な手掛かりです。IPAの調査資料では、ほかの経路や管理実態も確認できます。
情報漏えい対策が、原因とかみ合わなくなるのはなぜか
故意の持ち出しと、ルールを知らない行動は違う
例えば、外部共有の方法を知らず、顧客一覧を公開リンクで渡した人と、売却する目的で一覧を持ち出した人では、同じ教育で対応できる範囲が違います。前者には使いやすい共有手順や説明が役立ちますが、後者ではルールを理解していることが抑止の十分条件になりません。
権限が広すぎないか、大量の出力を記録・確認できるか、退職や異動後にアクセスが残らないか、といった管理も関わります。IPAの内部不正防止ガイドラインも、教育に加え、権限、記録、人的管理などを扱っています。
ただし、営業秘密調査の分類で内部要因に含まれるからといって、誤操作した人まで悪意ある持ち出しと同じ扱いにする理由にはなりません。対策を選ぶための分類と、人の責任を評価する判断は分けて考えたいところです。
「気を付ける」で終えると、間違いやすい業務が残る
例えば、似た名前の取引先が宛先候補に並び、毎日急いでファイルを送る業務を想定します。誤送信後に注意喚起をしても、同じ画面と同じ作業が続くなら、次の人も間違える余地が残ります。
宛先を確認しやすい表示、重要ファイルの共有先を限定する設定、送信前の確認など、作業のどこに手当てできるかを検討する方法があります。複数人の承認を増やす場合も、対象を絞らなければ、確認が形だけになったり業務負担が増えたりします。
社員教育が不要なのではありません。教育を増やすことと、間違いが起きにくい業務へ変えることを、一緒に検討できるかが論点です。
正規のアクセスだからこそ、外部防御だけでは見えにくい
業務で情報を使う人は、正しいIDでログインします。そのアクセスをすべて止めれば仕事ができなくなり、すべて認めれば持ち出しに使われる余地もあります。
業務に必要な閲覧、編集、ダウンロード、外部共有を分けると、使いやすさと管理を検討しやすくなります。ログについても、保存するだけではなく、どの操作を異常として確認するかという運用が加わります。
記録や監視は、社員を一律に疑うためというより、事故の経緯を確かめ、正常な仕事と異常な行動を区別する材料として考えられます。収集目的や閲覧権限、プライバシーへの配慮も含め、必要な範囲へ絞ることが重要になります。
自社の情報漏えい対策は、情報の流れから見直せる
製品の一覧より、重要情報を一つ選んで流れを追う
対策製品をいくつ導入したかだけでは、どの漏えい経路が残っているかは分かりにくいでしょう。例えば顧客一覧を一つ選び、保存、利用、共有、不要後の扱いを追うと、確認する対象を絞れます。
| 情報の流れ | 確認の問い | 主に関わる人・部門 |
|---|---|---|
| 保存 | どこに原本とコピーがあるか | 業務部門・情報システム |
| 利用 | 誰に閲覧・出力の権限が必要か | 業務責任者・情報システム |
| 共有 | 社外へ渡す相手、方法、範囲は適切か | 業務部門・契約担当 |
| 異動・退職・契約終了 | 不要な権限や保有データはどう扱うか | 人事・業務部門・契約担当 |
| 異常の発見 | 誰が記録を見て、誰へ連絡するか | 情報システム・事故対応担当 |
表は点検の出発点として当サイトが整理したものです。すべての情報へ同じ管理を適用するより、漏れた場合の影響と業務での使い方から範囲を選ぶと、過剰な制限も避けやすくなります。
端末や利用サービスの所在が分からない場合は、IT資産台帳による把握がこの確認の土台になります。社外へ渡した後の管理は、委託先のセキュリティ管理へつながります。
原因が分からないまま、社員教育だけを再発防止にしない
異常なアクセスがあったのか、社員が誤って共有したのか、委託先から出たのか。経緯が分からない段階では、同じ問題を防ぐ対策も選びにくくなります。
早期の報告、ログや設定の保存、調査担当への引き継ぎは、原因を確かめるための材料になります。具体的な対応は、情報漏えいなどのインシデント対応で整理しています。
「研修を追加したので対応済み」とする前に、どの原因へ働きかけ、どの経路は残っているかを説明できると、対策の意味が見えやすくなるでしょう。
情報漏えいの原因についてのFAQ
情報漏えいの原因は、社員のミスが一番多いのですか？
調査の対象と分類によります。今回の営業秘密調査の上位は外部攻撃で、ルール不徹底、具体的な動機をもつ漏えい、誤操作・誤認が続きます。複数回答なので、これを全国の事故原因ランキングや件数の割合とは扱えません。
顧客情報と営業秘密は同じですか？
同じではありません。営業秘密としての法的保護には、秘密として管理されていること、事業に役立つこと、公然と知られていないことという要件があります。顧客情報が該当する場合もありますが、個人情報か、営業秘密か、社内で守る情報かは、それぞれ確認する観点が異なります。
中小企業は、どの対策から始めるとよいですか？
一律に同じ製品から始めるより、失うと困る情報と、その保存・利用・共有経路を把握すると優先順位を考えやすくなります。すでに行っている対策が、外部侵入、持ち出し、誤操作のどこを補えているかを見る方法があります。
情報漏えいを防ぐには、対策の数より原因との対応を考える
営業秘密調査では、外部攻撃と社内の行動の両方が漏えい経路として認識されていました。だからこそ、防御製品だけ、社員教育だけという説明では、自社の備えを捉えにくいのではないでしょうか。
誰が気を付けるかに加え、会社がどこまで情報を渡し、出力を認め、経緯を確認できる状態にしているか。漏えい対策を、社員の注意と会社の管理の両方から見直すことが、原因に合った改善につながりそうです。
参考資料
- IPA「企業における営業秘密管理に関する実態調査2024」：2025年8月29日公開。調査目的、資料、修正履歴。
- 同調査・報告書概要（2026年3月27日修正版）：印刷ページ2～5（PDFのページ順も同じ）。対象、比較条件、認識割合、漏えいルート。修正は図の系列名。
- IPA「組織における内部不正防止ガイドライン」第5版：2022年4月改訂。本文4章の権限・記録・人的管理・職場環境等を参照。
- 警視庁「営業秘密漏えい防止」：営業秘密の要件と保護対象の説明。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント