内部不正による情報漏洩とは、従業員や元従業員などの内部者が、違法行為や社内の情報セキュリティ規程への違反などにより、組織の重要情報を不正に持ち出したり漏えいさせたりする行為を指します。
自社の重要情報を取り扱う委託先についても、担当者による不正な持ち出しや管理体制の不備によって、同様の漏洩リスクが生じる可能性があります。
なお、本記事は企業・組織における対応を想定しています。
【結論】 内部不正対策では、退職者・委託先は特に注意すべき対象の一つです。雇用・契約関係やアクセス権限が変化するタイミングでは、権限の取り消し漏れや管理範囲の曖昧化が生じやすいためです。
退職者では、退職前の正当なアクセス権を利用した情報持ち出しと、退職後のアカウント・権限の解除漏れの双方が典型的なリスク
委託先経由の漏洩は、必要以上に広い権限を付与したまま、委託先内部の管理体制まで把握できていないことが典型的なリスク要因
IPA「組織における内部不正防止ガイドライン」は、資産管理・技術的管理・職場環境など10の観点からの対策を示している
退職者向け・委託先向けにはそれぞれ異なるアプローチ(アカウント無効化フロー、必要最小限の権限付与・定期的な棚卸しなど)が必要
本記事では、内部不正による情報漏洩がなぜ起きるのか、退職者・委託先のリスクにどう向き合うべきかを解説します。
1. 内部不正による情報漏洩とは何が問題なのか？
内部不正による情報漏洩には、主に次の2つのパターンがあります。
意図的な持ち出し・悪用：転職・独立や金銭目的で、顧客情報や技術情報を持ち出す
規則違反による持ち出し：私物USBメモリや個人クラウドへの保存など、社内の情報セキュリティ規程に違反する行為
なお、規程違反を伴わない単純な紛失・誤送信などのヒューマンエラーは、内部不正とは区別して考える必要があります。
ただし、社内ルールを知っていながらの誤操作・誤認等は、内部不正相当として整理される場合があります。
（出典：IPA「企業における営業秘密管理に関する実態調査2024」）
多くの企業では、内部不正というと従業員による意図的な犯行をイメージしがちです。
しかし実際には、規則違反による持ち出しも含めて「内部不正による情報漏えい等」として扱われます。
退職者や委託先では、雇用・契約関係の変化や管理主体の分散により、権限の解除漏れや管理状況の把握不足が生じやすいため、特に注意が必要です。
内部不正は組織内部で処理され、公表されないケースもあるため、社会全体での正確な発生率を把握することは困難です。
参考として、IPA「企業における営業秘密管理に関する実態調査2024」では、過去5年以内に営業秘密の漏えい事例・事象を認識した回答者は35.5%でした。
さらに、漏えい事例・事象を認識した回答者(n=426)への複数回答では、漏えいルートとして「中途退職者(役員・正規社員)」が17.8%、「契約満了後又は中途退職した契約社員・派遣社員等」が14.6%挙げられており、退職・契約終了時の管理も無視できないリスクとなっています。
ただし、これらは営業秘密に関する調査であり、情報漏洩全体の発生率を示すものではありません。
（出典：IPA「企業における営業秘密管理に関する実態調査2024」）
情報漏洩対策全体の考え方は、以下の記事でも整理しています。
退職者・委託先でリスクが高まりやすい背景には、雇用・契約関係の変化に伴う権限管理のずれや、情報を管理する主体・範囲が分散しやすいという問題があります。
退職者：退職後もアカウントやアクセス権限が一定期間残ってしまうケースがある
委託先：契約範囲を超えた広い権限を付与したまま、委託先内部の管理状況を把握できていないケースがある
退職者による情報持ち出しには、いくつか典型的なパターンがあります。
・ 退職が決まってから最終出社日までの間に、顧客リストや営業資料をUSBメモリや私物クラウドにコピーする
・ 転職先・独立後の事業で使う目的で、技術情報・ノウハウを持ち出す
・ 退職後もアカウントが有効なままで、社外からアクセスを続ける
特に退職前は、情報の持ち出し等の内部不正が発生しやすい期間とされており、記録媒体の利用制限や重要情報へのアクセスログの確認などが重要です。
USBメモリ経由の持ち出しに焦点を当てた対策の考え方は、以下の記事で詳しく解説しています。
委託先・協力会社経由の漏洩には、以下のような要因が重なりやすい傾向があります。
委託先の担当者に、業務に必要な範囲を超えたアクセス権限を付与している
委託先内部での再委託や、担当者の入れ替わりを自社側が把握できていない
委託先の端末・ネットワークのセキュリティレベルが、自社の基準を満たしていない
IPA「組織における内部不正防止ガイドライン」でも、委託先従業員による情報持ち出しや、再委託先まで管理できていなかった事例が示されています。
（出典：IPA「組織における内部不正防止ガイドライン」）
さらに、IPA「情報セキュリティ10大脅威2026」でも「サプライチェーンや委託先を狙った攻撃」は組織向け脅威の2位に位置付けられており、委託先を経由するリスクは内部不正単体よりも幅広い文脈で重視されています。
（出典：IPA「情報セキュリティ10大脅威2026」）
内部不正が発覚した場合、行為者個人と委託先・自社の双方に、法的・経営的な影響が及ぶ可能性があります。
持ち出した情報が不正競争防止法上の「営業秘密」に該当する場合、民事上の責任に加え、刑事上の責任も問われる可能性があります。
なお、不正競争防止法上の「営業秘密」として保護されるには、秘密管理性・有用性・非公知性の3要件を満たす必要があります。
個人：10年以下の拘禁刑または2000万円以下の罰金(併科可)。国外での使用等を目的とした場合は3000万円以下の罰金(不正競争防止法21条1項)
法人：法人の代表者や従業者等が、その法人の業務に関して一定の営業秘密侵害罪を犯した場合、両罰規定により法人にも5億円以下の罰金が科される可能性がある(国外関連の場合は10億円以下)
在職中に業務上知り得た営業秘密を、退職後に不正に使用・開示した場合にも、法的責任を問われる可能性があります。
営業秘密に該当するかどうかの判断や、最新の罰則規定は法改正により変わる可能性があるため、実際の対応にあたっては弁護士等の専門家に確認することをお勧めします。
（出典：咲くやこの花法律事務所「不正競争防止法の営業秘密とは？」）
委託先の従業員が起こした情報漏洩であっても、委託元である自社の管理責任が問われる場合があります。
個人データの取扱いの全部または一部を委託する場合、個人情報保護法上、委託元には委託先に対する必要かつ適切な監督が求められます。
委託先での漏洩であっても、報告対象事態に該当する場合には、個人情報保護委員会への報告や本人への通知が必要になることがあります。
契約時の秘密保持条項・監査条項だけでなく、委託先が実際にどこまでアクセス権限を持っているかを定期的に確認する運用が重要です。
（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」）
IPA「組織における内部不正防止ガイドライン」第5版は、基本方針・資産管理・技術的管理・職場環境・事後対策など10の観点、33項目の対策を示しています。
全項目への一括対応が難しい場合は、自社のリスクを評価したうえで、退職・契約終了時の権限管理など、優先度の高い項目から段階的に着手するのが現実的です。
（出典：IPA「組織における内部不正防止ガイドライン」）
退職時の情報漏洩を防ぐには、退職が決まった時点から退職後まで、段階的に権限を絞り込む手順が有効です。
ステップ1：退職が決まった時点で業務上必要なアクセス範囲を再確認し、不要となった権限から順次見直す
ステップ2：最終出社日までの間、ファイルの持ち出し・外部送信の状況を通常より注意して確認する
ステップ3：業務上アクセスが不要となる時点でアカウントを無効化し、社内システム・クラウドサービスへのアクセスを遮断する
ステップ4：データ保全・引き継ぎ等の必要性を確認したうえで、社内規程や各サービスの仕様に従ってアカウントを削除する
ステップ5：退職者が利用していた共有アカウント・共通パスワードがあれば変更する
システムによっては、データ保全や引き継ぎのため、まずアカウントを無効化し、一定期間後に削除する運用も考えられます。
削除のタイミングは、業務内容や社内規程に応じてあらかじめ定めておくとよいでしょう。
なお、ファイルの持ち出し・外部送信の状況等を監視する場合は、目的・対象・運用方法を社内規程等で明確にし、役職員のプライバシーにも配慮する必要があります。
（出典：IPA「組織における内部不正防止ガイドライン」）
委託先への権限付与は、契約範囲・業務内容に応じて必要最小限に絞り込むことが基本です。
業務に必要なフォルダ・システムだけにアクセス範囲を限定する
委託先の担当者ごとに権限を分け、退職者と同様に契約終了時・担当者交代時に権限を見直す
可能であれば、閲覧のみ・編集可・ダウンロード可否など、社内と社外(委託先)で扱える操作を分ける
再委託がある場合は、再委託先・業務内容・取り扱う情報の範囲を把握し、必要に応じて事前承認や定期確認を行う
退職者と委託先では、リスクの発生要因も有効な対策も異なるため、まとめて比較します。
|
比較項目 |
退職者 |
委託先 |
|
関係性 |
雇用関係が終了する個人 |
契約に基づき業務を受託する組織・個人 |
|
主なリスク |
転職・独立に伴う情報持ち出し |
契約範囲を超えた権限・管理不足による漏洩 |
|
リスクが高まる時期 |
退職前後に高まりやすい |
契約期間中、継続的にリスクが存在 |
|
有効な対策 |
退職前後の権限見直し・アカウント無効化フロー |
権限の必要最小限化・定期的な棚卸し |
|
契約面の対応 |
秘密保持義務の確認、必要に応じた競業避止の検討 |
業務委託契約の秘密保持条項・監査条項 |
内部不正対策にかかる費用・導入期間は、対策範囲や組織規模、既存環境によって大きく異なるため、一律の相場を示すことは困難です。
対象となる従業員・端末数、管理するシステム数、既存のID管理環境、ログ保存要件、導入する製品、PoC(検証)の有無など、複数の要因によって大きく変動します。
対象範囲：見直す従業員数・端末数・システム数が多いほど、整備・検証にかかる工数が増える
現状の環境：既存のID管理・ログ管理の仕組みがどこまで整っているかによって、追加投資の要否が変わる
対策のレベル：運用ルール・退職時フローの見直しにとどめるか、権限管理ツール・持ち出し制御製品の全社導入まで行うかで、規模が大きく異なる
運用ルールや退職時フローの見直しだけであれば、比較的着手しやすい取り組みです。
一方、アクセス権限管理や持ち出し制御製品を全社導入する場合は、要件整理・検証・展開・運用設計までを含めた計画が必要になります。
具体的な費用・期間は、対象範囲を整理したうえで個別に見積もることをお勧めします。
内部不正は組織内部で処理され、公表されないケースもあるため、社会全体での正確な発生率を把握することは困難です。
参考として、IPA「企業における営業秘密管理に関する実態調査2024」では、回答者の35.5%が過去5年以内に営業秘密の漏えい事例・事象を認識していました。
ただし、この数字にはサイバー攻撃など外部要因による漏えいも含まれており、「内部不正そのものの発生率」を示すものではありません。
（出典：IPA「企業における営業秘密管理に関する実態調査2024」）
IPA「情報セキュリティ10大脅威2026」では「内部不正による情報漏えい等」が組織向け脅威の7位に選ばれており、継続的に注意すべきリスクの一つとされています。
（出典：IPA「情報セキュリティ10大脅威2026」）
性弱説とは、人は環境や状況によって不正を行う可能性があるという考え方です。
内部不正対策では、個人の善意だけに依存せず、不正を行いにくく、行えば発見されやすい環境を整えることが重要とされています。
IPA「組織における内部不正防止ガイドライン」では、「性弱説」という表現ではなく「状況的犯罪予防」の考え方を内部不正防止に応用しており、犯行を難しくする、捕まるリスクを高める、犯行の見返りを減らす、犯行の誘因を減らす、犯行の弁明をさせないという5つの原則のもとで、権限管理やログ管理などの対策を位置付けています。
（出典：IPA「組織における内部不正防止ガイドライン」）
誓約書だけでは十分とはいえません。
秘密保持誓約書は、法的な抑止力や後日の責任追及の根拠として一定の意味を持ちますが、持ち出し自体を技術的に防ぐものではありません。
誓約書などの人的対策と、アカウント無効化・持ち出し制御などの技術的対策を組み合わせることが、IPAガイドラインでも推奨されています。
内部不正による情報漏洩では、退職者・委託先は特に注意すべき対象の一つです。
退職時のアカウント無効化フローや、委託先への必要最小限の権限付与を整備することが、対策の第一歩です。
IPA「組織における内部不正防止ガイドライン」が示す「状況的犯罪予防」の考え方も踏まえ、個人の善意だけに頼らず、仕組みとして防ぐ体制づくりを進めることが望まれます。
退職者・委託先に関わる情報漏洩は、規程や誓約書といった人的対策だけでなく、権限管理・持ち出し制御を仕組み化することで防ぎやすくなります。
情報漏洩対策製品「NonCopy2」は、指定したフォルダ内のファイルについて、USBメモリへのコピーやインターネットへのアップロードなどを制御できます。
退職前後の情報持ち出しに対しても、通常の運用の中で持ち出し経路を絞り込む選択肢になります。
「CL-UMP」は、アクセス元の端末やネットワーク環境に応じて、クラウドストレージ上のコンテンツへのアクセス権限を動的に切り替える製品です。
委託先など社外ネットワークからのアクセス時には権限を制限するといった運用により、契約終了後・担当者交代時の権限の絞り込みを、都度の手作業に頼らず仕組みとして実現しやすくなります。
自社の運用だけでは判断が難しい部分は、無理に抱え込まず専門サービスへの相談もおすすめです。
弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策を30年以上に渡り続けてまいりました。
セキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、お気軽にお問い合わせくださいませ。
ご相談だけでも大歓迎です。
参考情報・出典