内部不正対策　〜セキュリティ教育では阻止できない情報漏えいの防ぎ方〜

悪意をもった内部関係者による不正流出

　米国の犯罪学者ドナルド・R・クレッシーによると、「動機」「正当化」「機会」の三要素がそろうことで、人は悪事を働きやすいとされています。

　例えば「動機」では、前職の情報を持ち出せば転職先で優位に立てる、機密情報が競合企業に高値で売れるなど、何らかの報酬を得られることが情報漏えいの動機となります。ほかにも、上司からの叱責に対する腹いせのように、会社への恨みが動機となるケースもあります。
　「正当化」とは、苦労している自分は報われるべきだ、会社が悪いから困らせてやろう、といった不正行為を後押ししてしまうロジックを指します。
　しかし、動機や正当化だけでは内部不正は起こりません。重要な情報を持ち出しやすい、パスワードを知っているなど、不正を容易に行うことができる「機会」がそろうことで不正が実行されてしまいます。

　逆に、三つの要素のうち一つでも対策することができれば、悪意をもった情報漏えいのリスクは大幅に下げられると言えます。「動機」や「正当化」は個人の思考に起因するため対策が困難ですが、「機会」に関しては情報管理の方法を見直すことで対処することが可能です。

ヒューマンエラーによる情報漏えい

　内部不正は悪意によるものだけではありません。メールの誤送信やノートPCの置き忘れのような、うっかりミスによって情報が漏えいするケースがあります。しかし、こうしたミスの大半は、正規の方法は面倒だから手順を省略する、他の人もやっているから大丈夫といった「ルールの未順守」が要因になっています。たとえ故意ではなかったとしても、重要データの流出は企業に甚大な被害をもたらすため、必ず情報利用のルールを徹底させる必要があります。

内部不正対策の落とし穴

　内部不正を防止するため、社員の情報リテラシー向上を目的とした教育やルールの徹底に、多くの企業が取り組んでいます。それでも内部不正による情報漏えいが後を絶たないのは、性善説に基づいた対策だけでは不十分なためです。悪意やルールの未順守のような人的要因による不正行為を抑止するためには、技術的に「犯行を困難にする」「諦めさせる」「発覚しやすくする」仕組みが重要となります。

内部不正を技術的に抑止する仕組み

　また、情報漏えい対策としてセキュリティ製品を導入していたとしても、万全とは言えません。なぜなら、セキュリティ製品の多くは外部からの侵入検知を目的としているためです。内部不正の場合は、正規の権限を利用して情報にアクセスしているため、外部脅威への対策では内部犯による疑わしい行動を検知することが困難です。　

内部不正専用の対策ツールがおススメ

　内部関係者からの情報漏えいを防ぐ効果的な手段として、内部不正対策専用ツールの利用が考えられます。内部不正対策専用ツールは、PCやサーバ上のユーザ行動とデータの動きを解析して、リスクを可視化するソリューションです。未許可のクラウドストレージへのアップロードやファイルの大量コピーのように、明らかに不正につながる操作を検出した際には、管理者とユーザへの警告や操作ブロックを行うことで不正操作を抑止します。また操作画面の録画などによって、情報持ち出しの確実な証拠を記録するサービスもあります。

　身内を疑いたくない、身内を責めたくないという感情を優先して、内部不正対策を疎かにしてはいけません。誰にでも「魔が差す」可能性はありますし、無意識に情報漏えいにつながる行為を行っている場合もあります。会社の信用と善良な社員を守るためにも、自社の内部不正対策に検討の余地がないか、今一度確認してはいかがでしょうか。

資料ダウンロード

関連サービス

関連セミナー・イベント