着服と横領の違いとは？

情報セキュリティの観点から見ると、企業内で発生する着服や横領は、外部からのサイバー攻撃と並んで深刻なリスクとなります。

特に「インサイダー脅威」と呼ばれる内部関係者による不正行為は、企業の機密情報や資産を危険にさらす要因の一つです。本記事では、情報セキュリティの視点から着服と横領の違いを解説し、具体的なインサイダー事例や対策について詳しく掘り下げます。

インサイダー脅威とは？

インサイダー脅威（Insider Threat）とは、企業や組織内の従業員、元従業員、協力会社の関係者などが、意図的または偶発的に組織に損害を与える行為を指します。特に、意図的な脅威には、財務的な動機による不正行為や、個人的な不満からの報復行為が含まれます。

内部関係者は、企業のネットワークや機密情報にアクセスできる立場にあるため、不正を行いやすい環境にあります。セキュリティ担当者にとっては、外部からの攻撃だけでなく、内部犯行のリスクを適切に管理することが重要です。

セキュリティ視点での着服と横領の違い

着服とは

着服は、企業内の個人が組織の財産や情報を不正に取得し、私的に利用する行為を指します。着服は、企業の監査や管理が行き届かない場合に発生しやすく、特に以下のようなケースが見られます。

• 情報の着服: 顧客リストや営業機密を個人的に使用したり、転職先に持ち出す行為
• 資産の着服: 会社の物品（ノートパソコン、オフィス備品など）を無断で持ち帰る行為

横領とは

横領は、組織内で正式に預かっている財産を不正に取得し、自分のものとする行為です。情報セキュリティの観点からは、特に以下のような横領が問題になります。

• データ横領: 企業の機密情報や顧客データを、第三者に販売したり、競合企業に提供する行為
• 資金横領: 経理担当者が企業の資金を私的に流用するケース

企業のインサイダー事例

日本企業では以下のようなインサイダーの事例があります。

ソフトバンク元社員による営業機密の持ち出し事件

2022年、ソフトバンクの元社員が、同社の営業機密情報を持ち出し、転職先のライバル企業に提供したとして、不正競争防止法違反の容疑で逮捕されました。この事件では、従業員のアクセス権管理が不十分であったことが問題視され、企業がどのように情報の持ち出しを防ぐべきかを考えさせる契機となりました。

三菱UFJ銀行の内部関係者による顧客情報漏洩事件

三菱UFJ銀行では、2019年に元行員が大量の顧客情報を不正に持ち出し、第三者に販売したことが発覚しました。金融機関において、顧客情報は最大の資産の一つであり、厳格な管理が求められます。本件は、銀行内部での情報保護体制の脆弱性を浮き彫りにしました。

ベネッセの個人情報流出事件

2014年、ベネッセの委託先で勤務していた従業員が、約3500万件に及ぶ顧客情報を持ち出し、名簿業者に売却していたことが判明しました。企業が外部委託を行う際に、情報管理の徹底が求められることを示した代表的な事例です。

楽天の社員による内部情報持ち出し事件

楽天の元社員が、退職時に競合企業に転職する際、社内の営業データを持ち出したとして問題になりました。企業の知的財産や営業戦略が外部に流出するリスクを防ぐため、アクセスログの監視強化や内部監査が不可欠であることが示されました。

NTTドコモの内部不正アクセス事件

NTTドコモでは、社員がシステム管理権限を悪用し、顧客情報に不正アクセスしていたことが判明しました。このようなケースでは、管理者権限の適切な割り当てと、不審なアクセスログの監視が必要になります。

インサイダー不正を防ぐ対策

インサイダー脅威を防ぐためには、以下のように企業の情報セキュリティ体制を強化し、従業員の監視を適切に行うことが重要です。

リスクアセスメントの実施

まずは、どこにリスクが潜んでいるかを把握・特定するためにリスクアセスメントを実施することが求められます。企業内の情報セキュリティリスクを洗い出し、特にインサイダー不正の可能性が高い領域を特定すると同時に、過去のインシデントを分析し、脆弱なポイントを明確にします。

アクセス権限の管理

従業員の職務範囲に応じた最小限のアクセス権限を設定するだけではなく、役職や業務内容に変化が生じた場合にアクセス制御を見直すことが必要です。また、定期的にアクセスログやデータの持ち出し履歴を監査すると同時に、AIや機械学習を活用した異常検知システムの導入を検討することも有効です。

データ漏洩対策の強化

DLP（Data Loss Prevention）ツールを導入し、機密情報の外部持ち出しを防止することで、USBメモリや外部ストレージの使用を制限します。

内部通報制度の整備

不正行為を早期に発見するため、匿名で報告できるホットラインを設置すると同時に、内部監査チームを強化し、従業員の行動を適切に監視することで、大きなインシデントになる前に防ぐことが必要です。

従業員教育と意識向上

eラーニング導入等、定期的なセキュリティ研修を実施し、インサイダー脅威の危険性を周知します。

まとめ

インサイダーによる着服や横領は、企業の資産や情報を危険にさらし、甚大な損害を引き起こす可能性があります。情報セキュリティ担当者は、外部からの攻撃だけでなく、内部犯行に対する監視と管理を徹底する必要があります。

特に、アクセス権限の管理、データ漏洩対策、内部通報制度の整備、従業員教育等を組み合わせることで、企業内でのインサイダー不正のリスクを低減できます。企業が継続的にセキュリティ対策を強化し、不正行為を許さない環境を構築することが求められます。