Written by MashiNari
“ChatGPT”の社内利用ルール、どう決める？
【AIサービス利用ガイドライン】を公開！
MOTEXが社内向けに作成したAIサービス利用ガイドラインをダウンロードできます。利用方針の決め方、作成ポイントの解説付き！
目 次
内部不正とは、組織内部の人間によって行われる情報漏洩やデータの削除といった不正行為のことです。
内部不正は業務上アクセスが認められた、正規の従業員や関係者によって行われます。そのため、情報へのアクセスは業務の一環で行っているものなのか、それとも不正を働いているのかわかりにくいという厄介な側面があります。
こうした内部不正を防ぐためには、従業員へのセキュリティ教育を実施するだけでなく
●アクセス権限の管理
●ログの監視
など、物理的に内部不正ができないような対策を講じることが重要です。
この記事では、内部不正が発生する原因や事例とそれを防ぐために考えられる対策を紹介します。
▼この記事のポイント
- 内部不正とは、重要情報や情報システム等の情報資産の窃取、持ち出し、漏洩、消去、破壊等を指す
- 内部不正による影響は、「企業の信用低下」「法的責任と損害賠償」「内部統制強化によるコスト増」が挙げられる
- 内部不正対策としては、「アクセス権限の管理」「情報セキュリティ教育の実施」「情報資産の持ち出し制限」「ログの監視」などが有効
内部不正とは
情報セキュリティにおける内部不正とは、組織内部の人間が悪意を持って、または無意識に情報システムやデータに対して不正なアクセスや操作を行うことです。
IPAが発表した「組織における内部不正防止ガイドライン」において、内部不正は以下のように定義されています。
-
『違法行為だけでなく、情報セキュリティに関する内部規程違反等の違法とまではいえない不正行為も内部不正に含めます。内部不正の行為としては、重要情報や情報システム等の情報資産の窃取、持ち出し、漏えい、消去・破壊等を対象とします。また、内部者が退職後に在職中に得ていた情報を漏えいする行為等についても、内部不正として取り扱います。』
内部不正は、サイバー攻撃などと同様に組織の情報資産に対する脅威の一つであり、企業や組織にとって重大なリスクとなります。
例えば、内部の不正行為によって特許や専門的な技術情報が競合他社に漏れると、市場における競争力が失われてしまうことがあります。
「内部不正による情報漏洩」の動向
IPAが毎年公開している「情報セキュリティ10大脅威（組織編）」で、「内部不正による情報漏洩」は初選出された2016年から毎年ランクインしています。
特に近年は上位に入ることが多く、2025年は4位にランクインしました。
| 順位 | 脅威名 |
|---|---|
| 1位 | ランサム攻撃による被害 |
| 2位 | サプライチェーンや委託先を狙った攻撃 |
| 3位 | システムの脆弱性を突いた攻撃 |
| 4位 | 内部不正による情報漏えい等 |
| 5位 | 機密情報等を狙った標的型攻撃 |
| 6位 | リモートワーク等の環境や仕組みを狙った攻撃 |
| 7位 | 地政学的リスクに起因するサイバー攻撃 |
| 8位 | 分散型サービス妨害攻撃（DDoS攻撃） |
| 9位 | ビジネスメール詐欺 |
| 10位 | 不注意による情報漏えい等 |
出典：IPA｜情報セキュリティ10大脅威 2025（2025年1月30日）
また、東京商工リサーチが2025年1月に発表した、上場企業とその子会社の「個人情報の漏洩・紛失事故の原因」見ると、「（従業員による）不正持ち出し・盗難」は全体の7.4%という結果でした。
出典：東京商工リサーチ｜2024年「上場企業の個人情報漏えい・紛失事故」調査（2025年1月21日）
割合こそ少ないですが、1件あたりの漏洩・紛失人数の平均は22万4,782人と最も多くなっています。
内部不正による影響
内部不正による情報漏洩が起きてしまうと企業にとってどのような影響があるのか。代表的な3つの影響をご紹介します。
企業の評判・信用の低下
内部不正による情報漏洩が発生すると、企業の評判や信用が大きく低下することがあります。
情報漏洩は、顧客や取引先に対する信頼を損なうだけでなく、企業のブランドイメージや市場価値にも悪影響を与える可能性があります。
信頼が失われると、顧客はその企業との取引を避けるようになり、新規顧客の獲得も困難になることが予想されます。また、取引先も信用リスクを懸念して契約を見直すことがあり、企業のビジネスチャンスが減少することが考えられます。これらの結果、企業の売上や利益が低下し、経営状況が悪化する可能性があります。
法的責任と損害賠償
内部不正による情報漏洩が発生した場合、企業は法的責任を問われることがあります。情報漏洩が個人情報保護法や業界固有の規制に違反している場合、企業は罰金や業務停止命令などの行政処分を受ける可能性があります。
また、情報漏洩によって被害を受けた顧客や取引先は、企業に対して損害賠償を請求することができます。損害賠償額が大きい場合、企業の財務状況に大きな影響を与えることがあります。さらに、訴訟費用や弁護士費用などの間接的なコストも発生するため、企業にとって大きな負担となります。これらの法的責任や損害賠償が企業の経営状況を悪化させることがあり、長期的なビジネス展望にも影響を与える可能性があります。
内部統制の強化とコスト増
内部不正による情報漏洩が発覚した企業は、再発防止策として内部統制を強化する必要があります。これには、セキュリティシステムの導入や改善、従業員の教育・研修、内部監査の強化などが含まれます。
これらの対策は、企業にとってコストが増加することがあります。特に、最新のセキュリティ技術の導入や専門家の雇用には費用がかかることがあります。また、従業員の教育・研修には時間と労力が必要であり、生産性の低下や業務の遅れが発生することがあります。
内部不正の主なルート
IPA（独立行政法人情報処理推進機構）が2021年3月に実施した「企業における営業秘密管理に関する実態調査2020」によると、営業秘密の漏えいが発生したルートは『中途退職者（役員・正規社員）による漏えい』が36.3％と最も多くなっている。
次いで『現職従業員等の誤操作・誤認等による漏えい（21.2％）』、『現職従業員等のルール不徹底による漏えい（19.5％）』となっている。
出典：IPA「企業における営業秘密管理に関する実態調査2020調査概要説明資料」
内部不正の事例
ここでは内部不正の事例を4つ紹介します。
1. 損害保険大手4社で個人情報約250万件が漏洩
2024年、損害保険大手4社で個人情報が漏洩する事件が発生しました。
漏洩したのは契約者の名前や証券番号、満期日などで、4社あわせて約250万件に上ることがわかっています。
本事件の原因は、代理店に出向した損保社員が、同業他社の顧客情報を持ち出していたことでした。
また、代理店社員同士のメールで、損保各社の担当者に顧客情報が漏れていたことも明らかになっています。
金融庁は問題の全容解明を進めるべく、損害保険大手4社に対して2024年7月に報告徴求命令を出していましたが、同年11月に追加の報告徴求命令を出しました。
2. 電子部品大手の元研究員の男性が、研究データを不正に持ち出し
2024年10月、大手電子部品企業の元研究員の男性が、研究データを不正に持ち出したとして書類送検されました。
持ち出されたのは、営業秘密にあたる電子部品の開発データなど。
元研究員の男性は、会社が所有しているPCから私用のメールアドレスにデータを送信し、不正に持ち出しました。
被害にあった企業は、持ち出されたデータについて、第三者への漏洩は確認されていない旨を公表しています。
また同社は、情報管理体制の一層の強化および従業員に対するコンプライアンス教育の徹底を図り、再発防止に努めるとしています。
3.商社の従業員が、前職から名刺データを不正に持ち出した事件
2023年9月、大手総合商社で、従業員が前職での営業先などの名刺データを、不正に転職先に提供し、個人情報保護法違反の疑いで逮捕された事件がありました。
逮捕された40代の男性は、転職元の「名刺情報管理システム」のログインIDやパスワードを、転職先の従業員と不正に共有していました。このシステムには数万件の名刺データが保管されており、共有されたIDやパスワードを使えば、すべての名刺データにアクセスできる状態でした。
4.通信企業の子会社で、元派遣従業員が約900万件の顧客情報を不正に流出させた事件
2023年10月、大手通信企業の子会社で、コールセンターシステムの従業者（元派遣従業員）が、サーバーに不正アクセスし、約900万件の顧客情報を流出させる事件が起こりました。
事件当時、犯人は保守作業用のアクセス権を利用し、顧客情報が保管されているサーバーに自由にアクセスできる状況でした。顧客データを自分の業務端末にダウンロードし、外部から持ち込んだUSBメモリに保存して、情報を不正に持ち出していたとされています。
元派遣従業員は、盗んだ顧客情報を「名簿業者と取引」しており、データには大手通信企業の顧客59社から預かった個人情報（氏名、電話番号、クレジットカード情報など）が含まれていたため、被害の拡大が懸念されています。
内部不正が起こる要因
内部不正が起こる要因としては、人的要因と技術的要因の2つが挙げられます。
人的要因
人的要因とは、不安や悩みなど心理的な要因のことで、「動機」「機会」「正当化」の3つの要素が顕在化したときに内部不正が発生しやすいと考えられています。
| 動機 | プレッシャーや不満といった内的要因 例：売り上げを達成しなければいけない、正当な評価がされていない |
|---|---|
| 機会 | 不正を働ける環境が整っている状態 例：承認フローが形骸化している、業務が属人化している |
| 正当化 | 不正行為を合理化する心理状態 例：結果として利益になるから、自分だけではなくほかの人もやっているから |
技術的要因
技術的要因は、内部不正を防ぐための適切な対策が実施されていない、もしくは対策の効果が発揮されていない状態を指します。
具体的には、退職者・異動者のアカウントが削除されておらず、顧客情報にアクセスできる状態になっていたり、アクセス権限が過剰に付与されていたりする状態が挙げられます。
内部不正への対策
内部不正を防ぐためには、以下のような対策を講じることが重要です。
●アクセス権限の管理
●情報セキュリティ教育の実施
●情報資産の持ち出し制限
●ログの監視
アクセス権限の管理
アクセス権限が適切に管理されていない、つまり不必要なアクセス権限まで付与されている場合、内部不正が発生しやすくなってしまいます。
そのため、「機密情報は幹部層のみ閲覧できるよう設定する」など、アクセス権限を最小限にしましょう。
また、退職者・異動者が出た場合は、速やかにアクセス権限の削除を行いましょう。
情報セキュリティ教育の実施
情報セキュリティ教育によって、従業員のセキュリティ意識を向上させることも必要です。
具体的には
●内部不正によるリスク
●内部不正の事例
●内部不正につながる危険なアクション
●内部不正への対策
などを教育の中で共有するようにしましょう
内部不正によって自社がどういった被害を受けるのか、従業員一人ひとりが理解しておくことで、内部不正の抑止につながります。
情報の持ち出し制限
従業員が許可なく情報を持ち出さないよう、以下のような行為を制限するのも一つの対策です。
●モバイルデバイスへのデータコピー
●印刷・スクリーンキャプチャ
●USBへのコピー
●クラウドストレージへの移動
もし制限することで業務に支障が出る場合は、情報を持ち出した際の操作履歴を追跡できるような仕組みを整えるようにしましょう。
ログの監視
情報セキュリティ教育でセキュリティ意識を向上させたり、情報資産の取り扱いルールを作成したりしても、内部不正を100％防ぐのは困難です。
そのため、操作ログやアクセスログを取得・監視し、従業員の行動を見える化することが重要です。
ログを監視することで、万が一情報の持ち出しがあった場合も、機密情報が保存されたファイルやサーバーに「いつ」「誰が」「どの端末から」アクセスしたかなど、履歴を一覧で確認することが可能です。
また、ログを監視していることを従業員に周知することで、不正行為を抑止する効果も期待できます。
内部不正防止の基本5原則
IPAが公表している「組織における内部不正防止ガイドライン」では、内部不正防止の基本5原則が示されています。
1. 犯行を難しくする（やりにくくする）：対策を強化することで犯罪行為を難しくする
2. 捕まるリスクを高める（やると見つかる）：管理や監視を強化することで捕まるリスクを高める
3. 犯行の見返りを減らす（割に合わない）：標的を隠す・排除する、利益を得にくくすることで犯行を防ぐ
4. 犯行の誘因を減らす（その気にさせない）：犯罪を行う気持ちにさせないことで犯行を抑止する
5. 犯罪の弁明をさせない（言い訳させない）：犯行者による自らの行為の正当化理由を排除する
上記の5原則に沿っているか適宜確認しながら内部不正対策を検討するとよいでしょう。
LANSCOPE エンドポイントマネージャー クラウド版で行う内部不正対策
エムオーテックスが提供する、IT資産管理・MDMツール「LANSCOPE エンドポイントマネージャー クラウド版」には、内部不正対策に有効な機能が備わっています。
業務で使用するPCはもちろん、スマホやタブレットといったモバイル端末の情報漏洩対策も一元的に管理できます。
▼主な機能一例
・PCの「操作ログ」を取得し、最大5年分保存可能
・PC・スマホの利用状況を「レポート」で見える化
・従業員の不審なファイル持ち出しや操作は、アラートで管理者へ通知
・デバイスの利用制限や、万が一の紛失時に役立つリモートロック・リモートワイプ
・デバイスの位置情報の自動取得
・Webサイトや使用するアプリの制御・管理
など
内部不正対策には欠かせないPC の操作ログは、最大5年分の保存が可能です。
情報漏洩の要因として多いのは「退職者による情報の持ち出し」や「従業員による誤操作」があります。
操作ログを収集することで、「誰が」「いつ」「どのファイル」を操作したのかを確認することができます。また操作ログを取得してることを従業員に周知することで内部不正の抑制にも繋がります。
まとめ
内部不正について、内部不正による情報漏洩が発生するルートや事例、対策などをお伝えしました。
▼この記事のポイント
- 内部不正とは、重要情報や情報システム等の情報資産の窃取、持ち出し、漏洩、消去、破壊等を指す
- 内部不正による影響は、「企業の信用低下」「法的責任と損害賠償」「内部統制強化によるコスト増」が挙げられる
- 内部不正対策としては、「アクセス権限の管理」「情報セキュリティ教育の実施」「情報資産の持ち出し制限」「ログの監視」などが有効
“ChatGPT”の社内利用ルール、どう決める？
【AIサービス利用ガイドライン】を公開！
MOTEXが社内向けに作成したAIサービス利用ガイドラインをダウンロードできます。利用方針の決め方、作成ポイントの解説付き！
おすすめ記事
