企業や組織に属する人間が立場や権限を悪用して、不正に利益を得ようとしたり、報復や不満の解消として手を染めてしまうのが内部不正です。今回は内部不正の手口や被害、対策するために最低限必要なことについてご説明します。

内部不正とは

内部不正は機密情報や個人情報を漏洩させたり、非公開な情報を公開したりすることで利益を得たり、何らかの不満や報復のために「企業や組織内の情報資産」を勝手に持ち出すことを意味します。

また、内部不正が発覚しても犯人が突き止められない、被害の詳細を把握できないなど、氷山の一角しか発見できず、うやむやになってしまいがちなことも大きな課題です。

内部不正の手口

内部不正の手口として、本来であれば外部の人間が知り得ない情報にアクセスできる立場や権限を持つ内部の人間が、勝手に情報を持ち出すケースがあります。また、明確に悪意はないにせよ、うっかりミスやヒューマンエラーで外部の人間の目に触れやすいところに情報を置いてしまうケースも少なくありません。

内部不正を行う理由としては単純に利益のために情報を盗むケースもあれば、個人的な恨みや不満から、自分が過去に知り得たアクセス情報を悪用して不正に情報を盗み出すケースも存在します。

その他にも、個人的な感情を元に特定の人物の個人情報を盗み出そうする場合もあり、たとえ機密情報でなくとも業務上触れ得る個人情報がターゲットとなることもあります。

内部不正による被害

内部不正によって得られた機密情報が競合他社に渡ってしまったり、個人情報が漏洩したりすると、企業や組織として莫大な損害を被ることになります。

例えば個人情報が漏洩した場合、損害賠償として顧客やユーザーに保証の必要が生じる場合があり、また新商品やサービスに関する技術が漏れてしまうことで、競合他社との競争に負けてしまうばかりか、開発コストの回収が不可能になるリスクもあります。

何よりも社会的信用が失墜し、風評被害等によって客離れ、新規顧客の獲得が難しくなるなど、企業や組織としての活動が危うくなるリスクがあることも認識しておく必要があります。

内部不正対策に最低限必要なこと

内部不正対策で必要なのは、不正行為を行おうとする者に対し、それがハイリスクでノーリターンであることを理解させることです。

どのような形で内部不正対策すべきなのか、内部不正対策に最低限必要なポイントをいくつか見てみましょう。

システムによって不正操作を検知/発見する

内部不正する人の多くは「見つからないだろう」という考えを持っています。PC操作のログ、ファイルやディレクトリへのアクセスなど、まずはシステム面で「完全に監視、管理」することを徹底しましょう。

システム面で不正操作を検知、発見できるようになっていれば、内部不正があった場合でもどれだけの情報が盗み出されたのか、誰がアクセスしたのかも明確になります。

物理的な書類や外部ストレージの徹底管理

物理的な書類を保管する場所、サーバーを設置している部屋などの入出管理も非常に大切です。同時にUSBメモリや外部記憶装置など、物理的なデバイスをシステム的に利用できなくすることも効果的です。

基本的に内部の情報を外部に持ち出せないようにすること、外部から気軽に出入りできる場所に情報を置かないことが重要となります。

ソーシャルハッキングについての情報共有

ソーシャルハッキングは「信じているからこそ」被害を受けてしまう可能性が高くなります。例えば、トイレや食事で離席している間にパソコンを盗み見られたり、またはウイルスに感染させられてしまい、IDやパスワードを盗まれてしまう手口もあります。

ソーシャルハッキングについての情報を共有するとともに、お互いを信じる、信じないではなく、お互いが疑わないようにすむ方法を模索しましょう。単純なことですが離席する際は必ずパソコンをロックすること、目に見えるところに書類を置きっぱなしにしないことなど、当たり前のルールをしっかり守ることが大切です。

内部不正がハイリスク/ノーリターンであると理解させる

内部不正によって得られた情報を売買することで不正な利益を得る。または、個人的な欲求を満たすために内部不正を行う。どちらもまるでリターンがあるかのように感じられています。

だからこそ、内部不正は絶対に発覚すること、損はあっても利益がないことを理解させましょう。絶対にバレない、自分だけは大丈夫と思って安易な気持ちで内部不正に手を染める人もいるので、システム的に絶対に検知されること、ログが残ることが周知されているだけでも、「見つかりたくない＝犯罪をしない」という意識づけが大切になります。

内部不正できるような環境や雰囲気を作らないように

内部不正は組織内にネガティブな要素が溜まってくると起きやすくなります。内部不正が起きてしまう風潮や雰囲気を作らないこと、不満や恨みの原因をひとつひとつ解消して、内部不正をしたいと思わない環境作りに徹しましょう。

情報システム部やセキュリティ担当として、ファイルやディレクトリへのアクセスログ、PC操作のログ、物理デバイスの管理を徹底することで、社内や組織内の人間が安心、安全に業務に遂行できる体制を整えることが大切です。

まとめ：企業や組織として内部不正させないための取り組みを

内部不正は物理的なもので言えば、レジのお金を勝手に盗むことに似ています。レジのお金が1円でも減れば絶対にわかりますし、原因を追求するのは当然です。

しかし、IT資産、電子データは目に見えない、または簡単にコピーできてしまうため、発見が遅れたり、原因が特定できないことがあります。

もし、現時点で内部不正対策に不足がある、または強化したいと考えているのであれば、当社の提供する総合IT資産管理ソフトの「AssetView」の利用をご検討ください。内部不正対策だけでなく、情報漏洩対策、ウイルス対策などIT資産を守るための機能が充実しています。少しでも気になった場合はお気軽にお問い合わせ、ご相談ください。