目次[非表示]
情報漏えいはなぜ深刻な問題なのか
会社には、外部に漏れては困る情報が数多くあります。顧客に関する情報、取引先との取り決め、独自の技術やノウハウ。こうした情報が、ひとたび外部に漏れれば、会社は大きな打撃を受けます。しかし、日々の業務に追われるなかで、その対策まで手が回っていない、という会社も少なくないでしょう。まずは、情報漏えいがなぜ深刻なのかを、整理しておきましょう。
情報が漏れることの怖さは、いったん漏れた情報は、二度と取り戻せないという点にあります。物であれば、返してもらうこともできますが、広まってしまった情報を、なかったことにはできません。漏えいによって生じた被害は、後から取り消すことができない。この取り返しのつかなさこそ、情報漏えいの、最も恐ろしいところなのです。
だからこそ、情報漏えいは、事後の対応よりも、事前の予防に重きを置くべき問題です。多くの問題は、起きてから対応すれば、ある程度取り返しがつきます。しかし、情報漏えいは違います。起きてしまえば、できることは被害を抑えることだけで、漏れた事実そのものは消せません。予防こそが、最大の対策なのです。
情報が漏れれば、会社はさまざまな損害を被ります。顧客や取引先の信頼を失い、取引を打ち切られることもあります。独自の情報が競合に渡れば、事業上の優位を失います。さらに、漏れた情報の性質によっては、会社が責任を問われ、その対応に多くの労力と費用を割かれることにもなります。被害は、幾重にも及ぶのです。
とりわけ深刻なのが、信頼の失墜です。金銭的な損害は、時間をかければ取り戻せることもありますが、いったん失った信頼を回復するのは、容易ではありません。情報を預けた顧客や取引先は、その会社を、情報を守れない会社として見るようになります。積み重ねてきた信頼が、一度の漏えいで崩れることもあるのです。
とりわけ厄介なのが、情報漏えいは、外部からの攻撃だけでなく、内部からも起こるという点です。悪意を持った者による持ち出しもあれば、社員のうっかりした不注意による流出もあります。攻撃への備えだけでは足りず、内部での管理まで含めた、幅広い対策が求められる。ここに、情報漏えい対策の難しさがあります。
外からの攻撃には技術的な備えで対抗できますが、内部からの漏えいは、人が関わるだけに、備え方が異なります。仕組みだけでは防ぎきれず、社員一人ひとりの意識まで問われます。この、技術と人の両面に目を配らなければならないところに、情報漏えい対策の一筋縄ではいかない難しさがあるのです。
この記事では、情報漏えいがどのような経路で起こるのか、それを防ぐために会社が取り組むべき対策、万一漏えいが起きてしまった場合の対応、そして日ごろの備えとして何をすべきかまでを、弁護士の視点から順を追って見ていきます。大切な情報を守りたいと考える経営者の方に、対策の土台となる知識をお伝えします。
読者の方のなかには、まさに今、情報管理の見直しを考えている方もいるでしょう。あるいは、これまで対策が手薄だったことに不安を感じている、という方もいるかもしれません。どちらの場合でも、まずは情報漏えいの経路と対策を、正しく理解することが出発点になります。順を追って見ていきましょう。
なお、この記事でお伝えするのは、情報漏えい対策の基本の考え方です。実際に必要な対策は、会社が扱う情報の性質や、事業の中身によって変わってきます。ここで得た知識を土台にしながら、自社に必要な対策については、専門家の助言も得て整えていただければと思います。基本を知っておくことが、確かな備えを築く支えになります。
情報漏えいはどのような経路で起こるか
まず、情報漏えいが、どのような経路で起こるのかを整理しておきましょう。どこから漏れるのかを知らなければ、有効な対策は立てられません。漏えいの経路を理解することが、対策を考える出発点になります。順に見ていきましょう。
まず挙げられるのが、社員による持ち出しです。会社の情報にふれられる立場にある社員が、その情報を外部に持ち出す。これには、金銭などを目的とした悪意による持ち出しもあれば、退職する社員が、それまで扱っていた情報を持って出るような場合もあります。内部の者による漏えいは、情報にふれられるだけに、深刻な被害につながりやすいものです。
内部の者による持ち出しが厄介なのは、その者が、正当に情報にふれられる立場にあるという点です。外部からの侵入であれば、そもそも入り込ませない備えができますが、内部の者は、日常的に情報にふれています。だからこそ、誰がどの情報にふれられるのかを適切に管理することが、内部からの漏えいを防ぐ鍵になるのです。
次に、社員の不注意による流出も、見過ごせない経路です。情報を含む書類や機器を、外に持ち出して紛失する。宛先を誤って、情報を外部に送ってしまう。こうした、悪意のない不注意による流出は、日常の業務のなかで、誰にでも起こりうるものです。悪意がないぶん、かえって防ぎにくい面もあります。
不注意による流出の怖いところは、本人に悪気がないだけに、日常のなかに紛れ込んでいる点です。ちょっとした気の緩みや、慣れによる油断から、思わぬ流出が生じます。悪意を持った持ち出しは、備えによって防ぎやすい面もありますが、うっかりは、誰にでも、いつでも起こりうる。だからこそ、日ごろの意識づけが重要になるのです。
ここで押さえておきたいのは、情報漏えいは外部からの攻撃だけでなく社員による持ち出しや不注意による流出など内部からも起こるため幅広い対策が必要だという発想です。攻撃を防ぐことばかりに目が向きがちですが、実際には、内部からの漏えいも大きな割合を占めます。内と外の両面に、目を配る必要があるのです。
この点を見落とすと、対策に穴が空きます。外からの攻撃への備えばかりを固めても、内部からの漏えいに無防備であれば、そこから情報は漏れます。逆もまた然りです。情報を守るには、外からの脅威と、内からの脅威の、どちらにも備えなければなりません。片方だけの対策では、情報は守りきれないのです。
さらに、外部からの攻撃による情報の窃取も、重大な経路です。会社の仕組みに不正に入り込み、情報を盗み出す。こうした外部からの攻撃は、年々巧妙になっており、備えを怠れば、大きな被害を受けることになります。技術的な備えを整えることが、この種の漏えいを防ぐうえで、欠かせません。
外部からの攻撃は、その手口が絶えず変化しているという特徴があります。かつては有効だった備えも、時間がたてば、通用しなくなることがあります。だからこそ、技術的な備えは、一度整えれば終わりではなく、状況の変化に応じて、見直し、更新していくことが必要になります。この点は、後ほど改めて触れます。
また、取引の相手を通じた漏えいもあります。業務を委託した相手や、情報を渡した取引先から、情報が漏れることもあります。自社のなかだけで管理を徹底しても、渡した先の管理が甘ければ、そこから漏れてしまいます。外部に情報を渡す際の取り決めや、渡す範囲の見きわめも、対策の一部になるのです。
自社の情報を外部に渡す場面は、思いのほか多いものです。業務を委託する、取引を進める、連携して事業を行う。そうした場面で情報を渡す以上、渡した先からの漏えいも、視野に入れておく必要があります。渡す際にきちんと取り決めを結び、そもそも渡す情報を必要な範囲にとどめる。それも、大切な対策の一つなのです。
情報漏えいを防ぐために取り組むべきこと
漏えいの経路を踏まえたうえで、では、情報漏えいを防ぐために、会社は何に取り組むべきなのでしょうか。ここでは、対策の柱となる取り組みを整理しておきましょう。これらを組み合わせて、内と外の両面から情報を守ることが大切です。
- どの情報が守るべき大切なものかを、洗い出して把握する。
- 誰がどの情報にふれられるのかを整理し、必要な範囲に絞る。
- 情報を扱う際のルールを定め、社員に周知する。
- 情報を守るための、技術的な備えを整える。
- 外部に情報を渡す際の取り決めを、きちんと結んでおく。
まず出発点となるのが、守るべき情報を把握することです。会社のなかに、どのような大切な情報があるのかを、洗い出す。何を守るべきかがはっきりしなければ、守りようがありません。あれもこれもと漠然と考えるのではなく、とりわけ守るべき重要な情報を見きわめることが、対策の第一歩になります。
すべての情報を、同じように厳重に守ろうとすると、かえって対策が回らなくなります。守るべき重要度には、軽重があります。とりわけ漏れては困る重要な情報を見きわめ、そこに手厚く備える。そうしたメリハリのある対策のほうが、限られた力を有効に使え、結果として、本当に大切な情報を守ることにつながるのです。
もっとも、重要度の低い情報だからといって、まったく無防備でよいわけではありません。軽重をつけるというのは、あくまで力の配分の話です。とりわけ大切な情報には手厚く、それ以外にも基本的な備えは行き渡らせる。そうした濃淡をつけた守りを設計することが、現実的で、かつ実効性のある対策につながるのです。
次に大切なのが、情報にふれられる範囲を、必要な者に絞ることです。すべての社員が、あらゆる情報にふれられる状態は、それだけ漏えいの危険を広げます。それぞれの社員が、仕事に必要な情報にだけふれられるようにする。情報にふれられる者を絞ることが、漏えいの機会そのものを減らすことにつながります。
誰もがあらゆる情報にふれられる状態は、便利なようでいて、危ういものです。ふれられる者が多ければ、それだけ、漏えいの起こりうる箇所が増えます。仕事に必要な範囲に、ふれられる情報を絞る。この一手間が、漏えいの入り口を減らし、万一漏えいが起きた場合に、原因を突き止めやすくすることにもつながるのです。
さらに、情報を扱うルールを定め、社員に周知することも欠かせません。情報をどう扱うべきか、何をしてはならないのかを、明確に定める。そして、それを社員に伝え、理解してもらう。ルールがあっても、社員がそれを知らなければ、意味がありません。定めることと、伝えること。その両方が必要なのです。
ルールは、作っただけでは、絵に描いた餅にすぎません。それが社員に伝わり、日々の行動に反映されて、初めて意味を持ちます。立派なルールを整えても、社員がその存在すら知らなければ、守られようがありません。定めたルールを、きちんと社員に伝え、理解してもらう。この地道な手順を、省いてはならないのです。
ルールを伝える際には、分かりやすさも大切です。難解な文言を並べたルールは、社員に読まれず、守られません。何をすべきで、何をしてはいけないのかを、誰にでも分かる言葉で示す。日々の業務のなかで、無理なく守れる形にする。伝わって、実行されて、初めてルールは意味を持つのだという点を、忘れてはなりません。
社員への意識づけの大切さ
情報漏えい対策のなかでも、とりわけ大切でありながら、見落とされがちなのが、社員への意識づけです。どれほど立派なルールや仕組みを整えても、それを扱う社員の意識が伴わなければ、情報は守れません。ここでは、社員への意識づけの大切さについて見ていきましょう。
情報漏えいの多くは、社員が関わって起こります。悪意による持ち出しはもちろん、不注意による流出も、社員の行動から生じます。つまり、情報を守る最後の砦は、一人ひとりの社員なのです。社員が、情報の大切さを理解し、慎重に扱う意識を持っているかどうかが、漏えいを防げるかどうかを左右します。
どれほど高度な仕組みを導入しても、それを扱うのは人です。仕組みは、使う人の意識が伴って初めて、力を発揮します。情報を守る意識の低い社員が一人でもいれば、そこが弱点になります。逆に、社員一人ひとりが高い意識を持っていれば、それは、どんな仕組みにも勝る、強固な守りになるのです。
とりわけ、不注意による流出は、社員の意識づけによって、大きく減らすことができます。書類や機器の扱いに気をつける、送り先をよく確かめる。こうした基本的なことが徹底されれば、うっかりによる流出の多くは防げます。日ごろの意識が、こうした事故を防ぐ、確かな備えになるのです。
不注意による流出は、少しの心がけで、大きく減らせます。持ち出す書類は本当に必要か、送り先は間違いないか。そうした確認を、面倒がらずに習慣にする。一つひとつは小さなことですが、その積み重ねが、うっかりによる漏えいを防ぎます。地道な確認の習慣こそが、日常に潜む危険から、情報を守るのです。
意識づけのためには、ただルールを押しつけるのではなく、なぜそれが必要なのかを伝えることが大切です。情報が漏れれば、会社にどのような損害が生じ、ひいては社員自身にも影響が及ぶのか。それを理解してこそ、社員は、自分ごととして情報を守る意識を持てます。理由の共有が、意識を根づかせるのです。
ただ、してはいけない、と命じるだけでは、人はなかなか本気で守りません。なぜそれが必要なのかが腑に落ちて初めて、自発的に気をつけるようになります。情報が漏れたらどうなるのか、自分たちにどう跳ね返ってくるのか。それを具体的に伝えることで、社員は、情報を守ることを、自分ごととして受けとめられるようになるのです。
そして、こうした意識づけは、一度きりで終わらせず、繰り返し行うことが大切です。人は、時間がたてば、注意を忘れていくものです。折にふれて、情報の大切さや、扱いのルールを確認する。その繰り返しが、社員の意識を保ち続けます。情報を守る文化を、会社に根づかせていくことが、根本的な対策になるのです。
情報を大切に扱うことが、当たり前の空気として職場に根づけば、それが最も強い守りになります。誰かに言われなくても、皆が自然に気をつける。そうした文化は、一朝一夕には築けませんが、繰り返しの働きかけによって、少しずつ育っていきます。仕組みや技術の土台に、こうした文化があってこそ、対策は盤石になるのです。
万一漏えいが起きてしまったら
どれほど対策を尽くしても、情報漏えいが起きてしまう可能性を、完全になくすことはできません。だからこそ、万一漏えいが起きてしまった場合に、どう対応するかも、あらかじめ考えておく必要があります。ここでは、漏えいが起きた際の、基本的な対応の考え方を見ていきましょう。
まず何よりも大切なのが、被害の拡大を、可能な限り食い止めることです。何が、どの範囲で漏れたのかを把握し、それ以上被害が広がらないよう、直ちに手を打つ。漏えいに気づいたら、まず、被害を最小限に抑えることを最優先に動く。初動の速さが、被害の大きさを左右します。
漏えいに気づいたとき、動揺して立ちすくんでいる間にも、被害は広がりかねません。まず何をすべきかを、あらかじめ決めておけば、いざというときに、迷わず動けます。漏えいは起こりうるものだと想定し、その際の初動を準備しておく。その備えが、万一のときの、被害の拡大を食い止める力になるのです。
初動の準備とは、大がかりなものである必要はありません。漏えいに気づいたら、まず誰に報告し、誰が中心となって対応するのか。その最低限の道筋を、あらかじめ決めておくだけでも、いざというときの動きは、格段に速くなります。混乱のなかで一から考えるのと、決めた手順に沿って動くのとでは、大きな差が生まれるのです。
次に、事実を正確に把握することです。いつ、何が、どのような経路で、どの範囲に漏れたのか。これを正確に把握しなければ、適切な対応も、その後の再発の防止もできません。慌てて、あいまいなまま対応を進めるのではなく、事実をしっかりと確かめることが、正しい対応の土台になります。
事実があいまいなまま対応を進めると、後で、実はもっと広い範囲に漏れていた、といった事態が発覚し、対応をやり直すことになりかねません。それは、混乱を招き、信頼をさらに損ないます。手間がかかっても、まず、何がどこまで漏れたのかを正確につかむ。その丁寧さが、結果として、適切で無駄のない対応につながるのです。
そして、漏えいした情報の性質によっては、関係する方々への対応や、必要な手続きが求められることもあります。誰に、どのような対応をすべきか。どのような手続きが必要か。これは、漏えいの中身によって変わってくるため、判断が難しい場面です。だからこそ、漏えいが起きた際には、早い段階で専門家に相談することが大切になります。
漏えいへの対応は、その進め方を誤ると、被害をさらに広げ、会社の信頼をいっそう損なうことになりかねません。隠そうとしたり、対応を後回しにしたりすれば、後でより厳しい事態を招きます。誠実に、迅速に対応することが、被害を抑え、失った信頼を少しでも取り戻すことにつながるのです。
漏えいが起きたとき、会社の真価が問われます。都合の悪い事実を隠そうとすれば、後でそれが明らかになったとき、信頼は決定的に失われます。逆に、起きてしまったことを率直に認め、誠実に対応すれば、その姿勢は評価されることもあります。危機のときの誠実な対応こそが、会社への信頼を、かろうじてつなぎとめるのです。
日ごろから備えておきたいこと
情報漏えい対策は、一度整えて終わりではなく、日ごろから継続的に取り組むべきものです。ここでは、平時から備えておきたいことを、あらためて整理しておきましょう。地道な備えの積み重ねが、大切な情報を守ることにつながります。
まず、情報を守るための取り組みを、一度きりで終わらせないことです。ルールを定めても、仕組みを整えても、それが実際に守られ、機能しているかを、折にふれて確かめる必要があります。定めたことが形だけになっていないか、実態に合っているか。継続的な見直しが、対策を生きたものに保ちます。
対策は、整えた瞬間から、少しずつ実態とずれ始めるものです。運用するなかで、守られなくなったルールや、形だけになった手順が出てきます。だからこそ、定めて終わりにせず、ときどき立ち止まって、実際に機能しているかを点検する。その繰り返しが、対策を、絵に描いた餅ではない、生きた備えに保つのです。
次に、状況の変化に応じて、対策を見直していくことも大切です。事業の内容が変われば、守るべき情報も、その扱い方も変わります。外部からの攻撃の手口も、年々変化していきます。過去に整えた対策が、今も有効とは限りません。変化に応じて、対策を更新していく姿勢が求められます。
さらに、情報を扱う社員が入れ替わることも、念頭に置く必要があります。新たに加わった社員には、情報の扱いについて、あらためて周知する必要があります。また、退職する社員が、情報を持ち出さないための取り決めや対応も欠かせません。人の出入りに応じた対応が、漏えいの防止には重要なのです。
とりわけ注意したいのが、社員が退職する場面です。それまで情報を扱っていた社員が会社を離れる際に、情報を持ち出さないための取り決めや、ふれられる状態を速やかに解く対応が欠かせません。退職の場面は、情報漏えいの危険が高まるときでもあります。人の出入りのたびに、必要な対応を怠らないことが大切です。
そして、こうした対策を、自己流で進めるのではなく、必要に応じて専門家の助言を得ることも大切です。何をどこまで備えるべきか、自社の対策に不足はないか。こうした点は、専門的な判断を要します。専門家の目を通しておくことで、対策の抜けや漏れに気づき、より確かな備えを整えることができるのです。
会社が取り組むべきことと専門家の活用
ここまで、情報漏えいの経路から、防ぐための取り組み、社員への意識づけ、万一漏えいが起きた場合の対応、そして日ごろの備えまで見てきました。あらためて整理すると、会社が心がけるべきことは、いくつかの柱にまとめられます。守るべき情報を把握すること。ふれられる範囲を絞りルールを定めること。社員に意識づけをすること。そして、内と外の両面から継続的に備えること。これらが基本の姿勢になります。
情報漏えいは、いったん起きれば、取り返しのつかない被害を会社にもたらします。だからこそ、起きてから対応するのではなく、起きないように備えることが、何より大切です。仕組みを整えるだけでなく、社員一人ひとりの意識まで含めて、内と外の両面から、地道に備えを積み重ねる。その姿勢が、大切な情報を守ります。
情報を守ることは、守りの取り組みのように見えて、実は攻めの土台でもあります。情報をしっかり守れる会社は、顧客や取引先から信頼され、安心して大切な情報を預けてもらえます。その信頼が、新たな取引や事業の機会を呼び込みます。情報を守る備えは、会社の信用という、目に見えない財産を育てることにもつながるのです。
とはいえ、何をどこまで備えればよいのか、自社の対策に不足はないか、万一の際にどう対応すべきか。こうした判断は、専門的で難しいものです。判断を誤れば、備えが不十分なまま漏えいを招いたり、いざというときの対応を誤ったりしかねません。少しでも不安があれば、自己流で進めず、専門家の助けを借りることをおすすめします。
とりわけ、情報管理の仕組みを整える場面や、万一漏えいが起きてしまった場面では、企業の法務にくわしい弁護士に相談することが有効です。弁護士は、自社の対策に不足はないか、漏えいの際にどう対応すべきかを、具体的に助言してくれます。備えの段階から専門家の目を通しておくことが、大切な情報を守ることにつながります。
また、問題が起きてからだけでなく、平時から相談できる体制を整えておくことにも意味があります。情報管理の仕組みづくりや、取引先との取り決めについて、日ごろから助言を得られる関係を築いておけば、いざというときにも、慌てずに済みます。大切な情報を守りながら、事業を安心して進める。そのために、信頼できる専門家とつながっておくことが、大きな支えになるのです。
情報漏えい対策は、事業を続けるうえで、避けて通れない課題です。手間もかかり、目に見える成果も出にくいため、つい後回しにされがちです。しかし、ひとたび漏えいが起きれば、その代償は計り知れません。この記事が、自社の情報管理を見直し、大切な情報を守るための備えを考えるきっかけとなれば幸いです。
情報漏えいの対策に関するよくある質問
情報漏えいは、どのような経路で起こりますか
大きく分けて、社員による持ち出し、社員の不注意による流出、外部からの攻撃による窃取、そして取引の相手を通じた漏えいなどがあります。とりわけ、外部からの攻撃だけでなく、社員の持ち出しや不注意といった内部からの漏えいも大きな割合を占めます。攻撃を防ぐことばかりに目が向きがちですが、内と外の両面に目を配り、幅広い対策を講じることが必要になります。
情報漏えいを防ぐには、何から始めればよいですか
まずは、会社のなかにどのような守るべき重要な情報があるのかを、洗い出して把握することが出発点です。そのうえで、誰がどの情報にふれられるのかを整理して必要な範囲に絞り、情報を扱うルールを定めて社員に周知します。あわせて、情報を守る技術的な備えを整え、外部に情報を渡す際の取り決めを結んでおくことも大切です。これらを内と外の両面から組み合わせて講じていきます。
ルールや仕組みを整えれば、それで十分ですか
それだけでは十分とはいえません。情報を実際に扱うのは社員であり、その意識が伴わなければ、どれほど立派なルールや仕組みも生きてきません。とりわけ不注意による流出は、社員の意識づけによって大きく減らせます。なぜその対策が必要なのかを社員が理解し、慎重に情報を扱う意識を持つこと、そしてそれを繰り返し確認していくことが、対策を実のあるものにする鍵になります。
情報漏えいの対策や対応は、誰に相談すればよいですか
何をどこまで備えるべきか、自社の対策に不足はないか、万一の際にどう対応すべきかといった判断は難しいため、企業の法務にくわしい弁護士に相談することをおすすめします。弁護士は、自社の対策に不足はないか、漏えいの際にどう対応すべきかを具体的に助言してくれます。とりわけ漏えいが起きた際は判断が難しい場面が多いため、備えの段階から専門家の目を通しておくと安心です。