情報漏洩対策は、ウイルス対策ソフトやDLPを導入するだけでは完結しません。不正アクセス、メール誤送信、クラウド設定ミス、内部不正、端末紛失、委託先、生成AIなど、情報が外部へ出る経路ごとに管理策を組み合わせる必要があります。
個人データを扱う企業には、個人情報保護法に基づく安全管理措置、従業者の監督、委託先の監督が必要です。個人情報保護委員会のガイドラインは、安全管理措置を組織的・人的・物理的・技術的な観点などに分けて示しています。
企業の情報システム部門では、まず「何の情報を、どこで、誰が扱っているか」を把握し、アクセス権、認証、端末、クラウド、ログ、持ち出し経路を順番に確認すると対策を設計しやすくなります。
情報漏洩とは
情報漏洩は、組織が管理する情報が、本来アクセス権を持たない者へ渡ったり、閲覧可能な状態になったりすることです。
対象は個人情報だけではありません。
- 顧客・従業員の個人情報
- 取引先情報
- 契約条件
- 営業資料
- 原価・価格情報
- 設計図
- ソースコード
- 認証情報
- 研究開発データ
- 未公開の経営情報
- 営業秘密
個人情報保護法上の「個人データ」の漏えい等では、一定の事態について個人情報保護委員会への報告と本人通知が義務になります。
一方、個人情報を含まない営業秘密や技術情報であっても、漏洩すれば競争力や取引関係に影響します。対策対象を個人情報だけに限定しない方が管理しやすくなります。
情報漏洩が起きる主な原因と対策
情報漏洩は原因によって有効な対策が異なります。
| 原因・経路 | 代表的な状況 | 主な対策 |
|---|---|---|
| 不正アクセス | VPN、クラウド、公開サーバー、アカウントを突破される | MFA、脆弱性管理、アクセス制御、ログ監視、EDR |
| 認証情報の窃取 | フィッシング、パスワード使い回し、情報窃取型マルウェア | MFA、パスワード管理、条件付きアクセス、認証ログ監視 |
| メール誤送信 | 宛先・添付ファイルの誤り | 送信ルール、承認、添付制御、教育 |
| クラウド設定ミス | ストレージや共有リンクを外部公開 | 設定基準、公開範囲の定期確認 |
| 端末・媒体の紛失 | PC、USBメモリ、スマートフォンの紛失 | 暗号化、MDM、持ち出し制御、遠隔ロック |
| 内部不正 | 従業員・退職者による持ち出し | 最小権限、DLP、操作ログ、退職時の権限停止 |
| 委託先 | 委託先への攻撃や管理不備から漏洩 | 委託先選定、契約、権限分離、監査、再委託管理 |
| 生成AI | 社員が外部AIへ顧客情報や社内資料を入力 | 利用規程、承認済みサービス、DLP、入力データ制御 |
実際の事故では複数の要因が重なることがあります。例えば、委託先のアカウントにMFAが設定されておらず、不正アクセスを受けた場合は「委託先管理」「認証」「ログ監視」の複数領域を見直します。
近年の事例は「個人情報漏洩の事例」でも整理しています。
個人情報保護法が求める安全管理措置
個人情報保護委員会の通則ガイドラインでは、個人情報取扱事業者に対し、取り扱う個人データの漏えい、滅失、毀損を防ぐために必要かつ適切な安全管理措置を講じるよう定めています。
対策は、事業規模、個人データの種類・量、漏えいした場合に本人へ生じる影響などに応じて設計します。
ガイドラインでは、安全管理措置を組織的、人的、物理的、技術的な観点などに分けています。企業では、製品導入だけでなく、責任者、規程、教育、入退室、権限、ログまで含めて確認します。
組織的な情報漏洩対策
ツール導入より先に、管理責任と運用ルールを決めます。
- 情報管理責任者を決める
- 個人データ・機密情報を扱う部署を把握する
- 情報の取得、利用、保存、共有、廃棄のルールを定める
- アクセス権を付与・変更・削除する責任者を決める
- 例外申請の承認フローを作る
- 定期的な自己点検・監査を行う
- 情報漏洩の兆候を把握した場合の報告経路を決める
- インシデント対応チームと経営層へのエスカレーション条件を決める
600～3,000人規模の企業では、システム単位でアカウント管理者が異なり、退職者や異動者の権限が残ることがあります。人事異動情報とID管理を連携し、不要権限を定期的に棚卸しできる状態にします。
人的な情報漏洩対策
人的対策は、全社員へ同じ研修を年1回実施するだけでは不十分な場合があります。業務ごとに事故の起き方が異なるためです。
営業部門ではメール誤送信やファイル共有、開発部門ではソースコードやクラウド、管理部門では人事・給与データ、情報システム部門では特権アカウントの取り扱いが主な確認対象になります。
実施項目の例は次のとおりです。
- 入社時の情報管理教育
- 定期的なセキュリティ教育
- 標的型攻撃メール訓練
- 管理者・開発者向けの権限管理教育
- 外部クラウド・生成AIの利用ルール
- 私物端末・私物メールへの送信禁止
- 退職時の秘密保持・情報返還確認
- インシデントを発見したときの通報手順
内部不正については、IPAの「組織における内部不正防止ガイドライン」も、基本方針、資産管理、技術的管理、職場環境、事後対策などの観点から対策を示しています。
物理的な情報漏洩対策
紙、PC、USBメモリ、スマートフォンなどの物理媒体も漏洩経路になります。
- サーバールームや重要区域の入退室管理
- 来訪者の記録
- PCの施錠・盗難対策
- ディスク暗号化
- USBメモリ等の利用制限
- 書類の保管・廃棄ルール
- 廃棄するHDD・SSDのデータ消去
- 在宅勤務時の覗き見・印刷・保管ルール
個人情報保護委員会も、個人データを取り扱う区域の入退室管理や、機器・電子媒体の盗難・紛失を防ぐ措置を安全管理措置の例として示しています。
技術的な情報漏洩対策
技術対策は、一つの製品ですべてを防ぐのではなく、「入口」「端末」「ID」「データ」「ログ」を分けて設計します。
アクセス権を最小化する
一般社員が業務上不要な顧客データや機密情報へアクセスできない状態にします。
- RBAC等による権限分離
- 特権IDと一般IDの分離
- 共有アカウントの廃止・削減
- 定期的な権限棚卸し
- 退職・異動時の即時変更
「読める人を減らす」だけでなく、「誰が読んだかを追える」状態にします。
MFAを適用する
メール、VPN、クラウド、管理者画面など、外部からアクセスできるサービスではMFAを基本とします。
委託先や一時利用アカウントだけMFAの例外になっていないかも確認します。
OS・ソフトウェア・機器を更新する
脆弱性が放置された公開システムやVPN機器は、不正アクセスの入口になります。
資産台帳と脆弱性情報を紐付け、インターネット公開機器や認証基盤など、攻撃された場合の影響が大きいものから修正します。
EDRで端末の侵害を検知・調査する
アンチウイルスだけで侵入を完全に防ぐ前提を置かず、端末上の不審な挙動を検知し、隔離・調査できる体制を検討します。
EDRの役割は「EDRとは？意味やウイルスソフトやUTMとの違いを解説」で整理しています。
DLPで機密データの持ち出しを制御する
DLPは、個人情報や機密情報などのデータを識別し、メール、USB、クラウドアップロードなどの経路を監視・制御します。
DLPだけで内部不正を防止できるわけではありませんが、大量コピーや禁止先への送信を検知する仕組みとして利用できます。
DLPの導入判断は「DLPとは？情シス担当が押さえるべき仕組み・機能・導入判断の全知識」も参考になります。
ログを保存して調査できる状態にする
情報漏洩が発覚した後にアクセスログが残っていなければ、「誰が、いつ、どの情報へアクセスしたか」を確認できません。
少なくとも次のログの保存状況を確認します。
- 認証ログ
- VPN・リモートアクセスログ
- クラウド監査ログ
- ファイルアクセスログ
- 管理者操作ログ
- EDRログ
- メール送受信ログ
- DLPアラート
保存期間は、インシデント発覚までの時間を想定して決めます。
クラウド・SaaSからの情報漏洩を防ぐ
クラウドでは「サービス自体が安全か」だけでなく、自社の設定と権限管理が事故の原因になります。
- 外部共有リンクを誰でも作成できないか
- 「リンクを知っている全員」への公開を許可していないか
- 管理者権限が過剰に付与されていないか
- 退職者アカウントが残っていないか
- APIキーやアクセストークンを管理できているか
- 監査ログが有効になっているか
- サービス間連携アプリの権限を把握しているか
生成AIへの情報入力もクラウド利用の一つとして管理します。AI利用時の情報管理は「AIセキュリティとは？生成AI・AIシステムのリスクと企業のセキュリティ対策を解説」で整理しています。
委託先からの情報漏洩を防ぐ
個人情報保護法では、個人データの取扱いを委託する場合、委託先に対する必要かつ適切な監督が定められています。
契約書に「適切なセキュリティ対策を行う」と書くだけでは、実態を確認できません。
委託前・契約時・運用中に次を確認します。
- どの情報を渡すか
- どのシステムへアクセスさせるか
- 委託先アカウントにMFAを適用するか
- 再委託を認めるか
- データを保存する国・地域
- インシデント時の連絡期限
- ログを提供できるか
- 契約終了後のデータ削除方法
- 定期監査・報告の方法
委託先に渡すデータ自体を必要最小限にすることも対策になります。
情報漏洩が発生した場合の対応
情報漏洩が疑われる場合は、原因究明と並行して被害拡大を止めます。
個人情報保護委員会は、漏えい等事案が発覚した場合の対応として、内部報告と被害拡大防止、事実関係の調査、影響範囲の特定、再発防止策などを示しています。
実務では次の順に進めます。
- インシデント責任者へ報告する
- 不正アカウントの停止、端末隔離、公開設定変更などで拡大を止める
- ログや端末などの証拠を保全する
- 漏洩した情報と対象者を特定する
- 原因と侵入経路を調査する
- 法令・契約上の報告義務を確認する
- 本人、取引先、監督機関への連絡を行う
- 恒久対策を実施する
個人情報保護法上の報告対象事態に該当する場合、個人情報保護委員会は、速報について発覚から概ね3～5日以内、確報について原則30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。
すべての情報漏洩が同じ報告義務になるわけではないため、漏洩した情報の種類、件数、暗号化状況、不正利用のおそれなどを確認します。
情報システム部門が確認したいチェックリスト
- 個人情報・機密情報の保存場所を把握しているか
- 情報の重要度に応じた分類ルールがあるか
- 権限の付与・変更・削除を管理しているか
- 管理者アカウントを一般業務と分離しているか
- 外部アクセスへMFAを適用しているか
- 退職者・異動者の権限を速やかに変更しているか
- PC・スマートフォンの暗号化を確認しているか
- OS・VPN・ネットワーク機器の更新状況を把握しているか
- クラウドの外部共有設定を定期確認しているか
- USB・メール・Webアップロードなどの持ち出し経路を把握しているか
- 委託先アカウントと再委託先を管理しているか
- 認証・クラウド・ファイル操作・EDRのログを調査可能な期間保存しているか
- 情報漏洩時の社内連絡先と初動手順を文書化しているか
- 個人情報保護委員会への報告要否を判断する担当部署が決まっているか
まとめ
情報漏洩対策は、不正アクセスだけを対象にすると抜けが生じます。
企業が確認する範囲は、ID、端末、クラウド、メール、USB、委託先、内部不正、生成AIまで広がっています。まず情報資産と利用者を把握し、アクセス権と認証を整理したうえで、端末監視、DLP、ログ保存などを組み合わせます。
また、予防だけではなく、漏洩が疑われた時点でアカウント停止、端末隔離、証拠保全、影響範囲特定、外部報告まで動ける体制を事前に決めておきます。
