組織・企業の内部不正による情報漏えいの予防策 

情報漏えいと聞いたとき、組織・企業外の第三者からサイバー攻撃を受けたことで発生する事故をイメージする方が多いかもしれません。しかし、情報漏えいは同じ組織・企業内の人間による不正が原因で発生することもあります。

本記事では情報セキュリティにおける「内部不正」について、被害の例や基本的な対策などを紹介します。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス紹介資料をダウンロードする

組織・企業の「内部不正」による情報漏えいの増加

「内部不正」とは、組織・企業内部の人間による情報資産の窃取や漏えい、破壊などといった不正行為のことを表します。従業員だけでなく契約している取引先や業務委託先の担当者、退職者による不正行為も内部不正として扱われるのが一般的です。

主な手口として、USB メモリに入ったデータの持ち出しや、遠隔操作用のソフトを利用した情報の窃取などが挙げられます。

「内部不正による情報漏えい」は「情報セキュリティ10大脅威」にもランクインしており、2021年は6位、2022年は5位という結果になっています。このことからも内部不正の被害件数・被害額ともに増加傾向であることが分かるでしょう。

内部不正が発生する要因

内部不正が発生する要因はさまざま。多いのは、不正を働いた者が会社に対して持っていた恨みや、私利私欲から不正を働いてしまうケースです。

具体例を挙げると、

• 社内での待遇や働き方に不満があった

• 退職する際に上司と揉めたため、報復しようと思った

• 同業界で新規ビジネスを立ち上げるために顧客データが必要だった

など。

不正を働いた者に上記のような動機があったとしても、しっかりとセキュリティ対策が行われていれば情報漏えいを防ぐことは可能です。内部不正によって情報が外部に漏れてしまうということは、セキュリティ対策が不十分であったとも考えられます。

内部不正による情報漏えいの予防策

内部不正による情報漏えいを予防するためには、どのような対策をすれば良いのでしょうか。

一部ではありますが、予防策の例を紹介します。

また IPA が内部不正の防止ガイドラインを発表しているので、こちらも参考にしてください。

参照：https://www.ipa.go.jp/security/fy24/reports/insider/

データのアクセス権限を最小にする

重要なデータはアクセス権限を見直し、必要最低限のアカウントのみアクセスできるよう設定しておきましょう。

不要なアカウントにまでアクセス権限を付与してしまうと、そのアカウントの持ち主が不正を働いた際にデータが危険にさらされてしまう可能性があります。

退職者のアカウントは速やかに削除する

退職者が、在職中に使っていたアカウントを使い機密情報へ不正アクセスを試みるケースもあります。退職者のアカウントは即時削除し、外部からアクセスできないよう対策しましょう。

許可されていない端末・USB メモリの使用を禁止する

社内で許可されていない PC やスマートフォン、タブレット、USB メモリの利用を禁止することも予防につながります。

また社用の端末・USB メモリを社外へ持ち出すときは、専門部署の承認が必要な制度にしたり、持ち出しを記録したりする仕組みを作ることで、データの不正な持ち出しを抑制することもできるでしょう。 

操作ログを取る

従業員が社用の端末を使っている場合、操作ログを取って動作を確認しておく仕組み作りをすることも予防策の1つです。「操作の記録が取られている」と従業員に認識させることだけでも、不正に対する抑止力になります。

社内環境の見直しや従業員との個別面談を行う

社内環境に問題があって従業員に不満が溜まり、不正行為に走らせてしまう可能性も考えられます。

「社内に改善点があれば見直しを行う」「従業員と直属の上司とで定期的に面談を行う」など、従業員の不満をできる限り減らす取り組みをすることも内部不正の対策につながります。

外部だけでなく内部不正の対策も必須

社外の第三者によるサイバー攻撃だけでなく、社内の従業員や自社の関係者によって情報漏えいが引き起こされる可能性もあります。

本記事で紹介したような対策を行い、内部不正を可能な限り防ぐ体制作りを必ず行いましょう。