【情報セキュリティマネジメント】内部不正のメカニズム｜不正のトライアングル・状況的犯罪予防・割れ窓理論

内部不正というと、「悪意のある従業員を見つければよい」と考えがちです。

しかし、内部不正は人の性格だけで起きるものではありません。

• 業務や生活上の強いプレッシャーがある
• 不正を実行でき、発見されにくい環境がある
• 本人が行為を自分の中で正当化できる

このような条件が重なると、不正が起こりやすくなります。

情報セキュリティマネジメント試験では、不正のメカニズムを理解するために、次の四つの考え方を扱います。

• 不正のトライアングル
• 状況的犯罪予防
• 割れ窓理論
• 防犯環境設計

この記事では、「なぜ内部不正が起こりやすくなるのか」を中心に整理します。職務分離、特権ID管理、ログ監視、退職者対策など、具体的な内部不正対策の運用は「内部不正防止」で詳しく扱います。

先に結論：人物ではなく、不正が起こりやすい条件を見る

最も重要なのは、内部者を性格や印象だけで疑うことではありません。

業務、権限、監視、職場環境、組織規範の中に、不正を起こしやすくする条件がないかを確認します。

1．不正のトライアングル

不正のトライアングルは、不正が発生する背景を、次の三要素から整理する考え方です。

1. 機会
2. 動機
3. 正当化

SGシラバスでは、この三要素を「機会・動機・正当化」と表記しています。達成困難なノルマや金銭的事情などのプレッシャーは、「動機」の背景として事例に現れることがあります。

三要素は、次のような内心と環境の組合せとして理解できます。

• 「自分なら実行できる」「見つからない」：機会
• 「お金が必要だ」「失敗を隠したい」：動機
• 「後で戻せばよい」「会社のためだ」：正当化

令和7年度のSG公開問題では、「不正が発生する際には不正のトライアングルの3要素全てが存在すると考えられている」という前提で、三要素の説明が問われました。

ただし、このモデルは人物の性格診断や、不正を行ったと断定するための証拠ではありません。実務では、本人の内面にある動機や正当化を外部から完全に把握できない場合もあります。

SGでは「機会・動機・正当化」の三要素を正確に識別し、実務では人物を決め付けるためではなく、対策すべき条件を整理する枠組みとして扱います。

2．動機：不正へ向かわせる事情・圧力

動機は、不正へ向かわせる事情や目的です。強いプレッシャーが、その背景になる場合があります。

例

• 金銭的な困窮
• 達成が困難な売上目標
• 人事評価や処分への不安
• 業務上の失敗を隠したいという気持ち
• 職場や待遇への強い不満
• 上司からの過度な要求
• 個人的な恨みや報復感情
• 退職・転職時に情報を持ち出したいという考え

動機は、金銭目的だけではありません。

例えば、売上実績の改ざん、ミスの隠蔽、組織への報復、退職前の顧客情報持出しなどにも、それぞれ異なる動機・プレッシャーがあります。

動機を減らす対策の方向

• 過度な目標・業務負担を見直す
• 不満や悩みを相談できる窓口を設ける
• 公平な評価・処遇を行う
• 上司と部下のコミュニケーションを改善する
• 強いプレッシャーや孤立の兆候を把握する

相談窓口を設置するだけでは十分ではありません。利用者が不利益を恐れず相談でき、適切な部門へつながる運用が必要です。

3．機会：実行でき、発見されにくい環境

機会は、不正を実行でき、発見されにくい業務・技術・物理環境です。

「機会」は、ソフトウェアの脆弱性だけを意味しません。

例

• 一人が申請、承認、実行、照合まで行える
• 業務に必要な範囲を超える権限がある
• 共用IDを使っており、実行者を特定できない
• 重要操作のログを取得していない
• ログは取得しているが誰も確認していない
• 大量の情報を自由にダウンロードできる
• 印刷物・USBメモリ・クラウドへの持出しを管理していない
• 異動・退職後もアカウントや権限が残っている
• サーバ室、書庫、執務区域へ自由に出入りできる
• 例外処理が記録・承認されていない

機会を減らす対策の方向

• 申請者と承認者を分ける
• 職務と権限を分離する
• 必要最小限の権限にする
• 個人ごとのアカウントを使用する
• 重要操作のログを取得し、実際に確認する
• 異常なダウンロード・アクセスを監視する
• 入退室・媒体・印刷物を管理する
• 異動・退職時に権限を速やかに見直す

試験では、職務分離やログ監視が「機会」を減らす代表的な対策として問われます。

ただし、ログを保存するだけでは発見可能性は高まりません。誰が、どの頻度で、何を確認し、異常時にどう対応するかまで定める必要があります。

4．正当化：自分の行為を許されるものとして説明する

正当化は、本人が不正行為を、自分の中で許される行為として理由付けすることです。

例

• 「会社から正当に評価されていないので、この程度は当然だ」
• 「一時的に借りるだけで、後から戻す」
• 「誰も困らない」
• 「皆も同じことをしている」
• 「会社の売上のために行った」
• 「上司も知っているはずだ」
• 「明確に禁止されていなかった」
• 「この程度の規則違反はいつも黙認されている」

正当化は、不正だと認識していないことだけを意味しません。

不正だと分かっていても、自分に都合のよい理由を作り、心理的な抵抗を弱める場合があります。

正当化を減らす対策の方向

• 禁止行為と正しい手順を明確にする
• 倫理・コンプライアンス教育を行う
• 経営層・管理者が方針を言葉と行動で示す
• 例外を安易に黙認しない
• 違反へ公平・一貫して対応する
• 誤りを報告しやすい組織文化を作る

規程を作成するだけでは、正当化を十分に抑えられません。

経営層や管理者自身が規程を守らず、「成果のためなら例外も仕方ない」という態度を示せば、従業者の正当化を助ける可能性があります。

5．対策が三要素のどこへ働くか

問題では、示された対策が三要素のどれへ最も直接働くかを判断します。

一つの対策が複数の条件へ影響する場合もある

対策と三要素が、常に完全な一対一で対応するわけではありません。

例えば、ログ監視を実施し、その事実を従業者へ適切に周知すると、発見される可能性を意識させるため、主として「機会」を減らす方向に働きます。また、組織がルール順守を重視していることを示す効果も期待できます。

ただし、「見つからないから実行できる」という認識は、正当化よりも「機会」に近い考え方です。「会社のためだから許される」「皆もしている」といった理由付けが「正当化」です。

科目Bでは、問題文の目的と直接的な効果を読み、最も中心となる要素を選びます。

6．状況的犯罪予防：不正を行いにくい状況へ変える

状況的犯罪予防は、人の内面を完全に変えようとするのではなく、犯罪・不正を実行しにくい状況へ環境を変える考え方です。

IPAの「組織における内部不正防止ガイドライン」では、内部不正防止の基本原則を次の五つに整理しています。

1．犯行を難しくする

不正を実行する手間・難しさを増やします。

• 一人で重要処理を完結できないようにする
• 権限を必要な範囲へ限定する
• 重要情報や区域へのアクセスを制御する
• 持出し手順を厳格にする

2．捕まるリスクを高める

不正が発見される可能性を高めます。

• 操作ログを取得・確認する
• 異常なアクセス・持出しを監視する
• 承認・照合を行う
• 入退室を記録する

監視しているように見せるだけでなく、記録を実際に確認し、異常時に対応することが必要です。

3．犯行の見返りを減らす

不正によって得られる利益・価値を小さくします。

• 重要情報を暗号化する
• 一度に取得できる情報量を限定する
• 持ち出した情報を利用しにくくする
• 不正取得された権限・情報を速やかに失効させる

4．犯行の誘因を減らす

不正へ向かわせるきっかけ・プレッシャーを減らします。

• 過度な目標・業務負担を見直す
• 不満や悩みを相談できるようにする
• 不公平感・孤立を放置しない
• 職場内の対立を適切に解決する

5．犯罪の弁明をさせない

本人が不正を正当化する理由を減らします。

• 禁止事項と正しい手順を明確にする
• 情報の取扱いルールを教育する
• 例外を安易に黙認しない
• 経営層・管理者もルールを守る

不正のトライアングルとの関係

状況的犯罪予防の五原則と、不正のトライアングルは別の枠組みです。完全な一対一対応として暗記するのではなく、次のような関係を学習上の目安にします。

この表は、IPAが五原則を不正のトライアングルへ公式に一対一対応させたものではありません。二つの枠組みを混同しないための学習上の整理です。

具体的な職務分離、監視、退職者管理、通報制度などの運用は「内部不正防止」で扱います。

7．割れ窓理論：小さな乱れや違反を放置しない

割れ窓理論は、軽微な違反や環境の乱れを放置すると、「ここは管理されていない」「規範を守らなくても問題にならない」という認識が広がり、規範違反が拡大しやすくなると捉える考え方です。

職場での例

• パスワードを付箋へ書く行為を黙認する
• 共用IDの利用を放置する
• 無許可のUSBメモリを注意しない
• 入退室カードの貸借を見逃す
• 情報持出しの例外を記録しない
• 机上に重要書類を放置しても誰も対応しない
• 承認を後回しにする慣行を黙認する

小さな違反が続くと、

• 規程が形骸化する
• 発見・処分されるという認識が弱まる
• 「皆もしている」という正当化が生まれる
• 管理者が監視していないという機会認識が強まる

可能性があります。

誤解してはいけない点

割れ窓理論は、次を意味するものではありません。

• 軽微な違反があれば、必ず重大な不正が起こる
• 全ての小さなミスを重大な不正として処分する
• 厳罰化だけで組織規範を改善できる
• 違反の兆候がある人物を不正者と断定する

重要なのは、現実的で分かりやすいルールを整備し、正当な例外手続を設け、違反・乱れを放置せず、公平かつ一貫して対応することです。

8．防犯環境設計：物理環境から不正の機会を減らす

防犯環境設計は、建物、設備、動線、区域などの物理的な環境を工夫し、犯罪や不正が起こりにくい環境を形成する考え方です。

英語ではCPTED（Crime Prevention Through Environmental Design）と呼ばれます。

防犯環境設計の具体的な整理には資料によって表現の幅があります。国土交通省の防犯設計指針では、代表的な基本原則として、監視性の確保、領域性の強化、接近の制御、被害対象の強化・回避が示されています。

監視性を確保する

周囲から活動を確認しやすくし、死角を減らします。

• 重要区域の出入口を確認しやすい配置にする
• 高い棚や放置物で死角を作らない
• 必要に応じて照明や監視設備を利用する

領域性を強化する

誰が利用する区域なのかを明確にし、管理されている場所だと分かるようにします。

• 来訪者区域と執務区域を分ける
• 区域の用途や利用者を明確にする
• 来訪者の待機場所や移動範囲を定める
• 放置物や廃棄物をためず、管理状態を維持する

接近を制御する

重要区域や情報資産へ近づく経路を限定します。

• サーバ室・書庫への出入口や動線を限定する
• 一人ずつ認証して入室させる
• 来訪者を担当者が案内する
• 使用していない出入口を適切に管理する

被害対象を強化・回避する

狙われる対象そのものを守り、容易に利用・持出しできないようにします。

• 重要区域の扉・錠などを適切に管理する
• 重要媒体や機器を施錠して保管する
• 不要な重要情報を放置しない
• 故障した防犯設備を放置せず保守する

SGでは、防犯環境設計という用語を、不正の機会を物理環境から減らす考え方として識別できることが重要です。建築・都市防犯の詳細な設計基準まで暗記する必要はありません。

9．四つの考え方を区別する

• 不正のトライアングル：なぜ不正が起こりやすいか
• 状況的犯罪予防：不正を行いにくい状況へどう変えるか
• 割れ窓理論：小さな乱れの放置が規範へどう影響するか
• 防犯環境設計：物理環境によって犯罪・不正の機会をどう減らすか

10．事例から三要素を切り分ける

次の事例を考えます。

営業担当者は、達成困難な目標を課されていた。顧客データを承認なしで大量にダウンロードでき、操作ログも確認されていなかった。担当者は「会社の売上を守るためなら、少しくらいルールを外れてもよい」と考え、顧客データを私物端末へ保存した。

この場合、倫理研修だけでは正当化へ働きかけても、過大な権限と監視不足という機会が残ります。

一方、権限を制限するだけでは、過度な目標や職場への不満が残る可能性があります。

内部不正対策は、三要素の一方向だけでなく、業務・権限・監視・職場環境・規範へ複数の方向から行います。

11．兆候だけで人物を不正者と断定しない

内部不正対策では、異常なアクセス、勤務状況の変化、ルール違反などが兆候として確認される場合があります。

しかし、兆候は不正の証明ではありません。

• 業務上の正当な理由がある
• システム設定・権限設計に問題がある
• 操作ログの記録が誤っている
• アカウントが第三者に不正利用されている
• ルールや手順が現場へ適合していない

可能性もあります。

調査では、客観的な事実を保全し、定められた手順に従って公平に確認します。

また、ログ監視や従業者モニタリングは、目的、対象、権限、保存期間、利用方法などを規程で明確にし、プライバシー・人権へ配慮して実施します。

よくある取り違え

科目Bでの判断手順

1. 不正を実行できる機会があるか

過大な権限、一人での完結、共用ID、ログ未確認、物理的な自由などを確認します。

1. 動機が示されているか

金銭、目標、評価、不満、隠蔽、報復などを確認します。

1. 本人の正当化が示されているか

「会社のため」「皆もしている」「後で戻す」などの理由付けを確認します。

1. 対策が最も直接どの要素へ働くか確認する

相談・負担軽減、職務分離・監視、方針・教育を仕分けます。

1. 状況的犯罪予防のどの方向か確認する

難しくする、見つかりやすくする、見返り・誘因・弁明を減らす、のどれかを見ます。

1. 小さな違反・環境の乱れが放置されているか確認する

その点が中心なら割れ窓理論です。

1. 監視性・領域性・接近制御など物理環境の問題か確認する

建物や動線、区域、設備から犯罪・不正の機会を減らすなら防犯環境設計です。

1. 兆候だけで人物を断定していないか確認する

客観的な調査、公平な手続、プライバシーへの配慮が必要です。

まとめ

• 内部不正は、人物の性格だけでなく、業務・権限・監視・職場環境・規範から考える
• 不正のトライアングルは、機会・動機・正当化の三要素で不正が発生する背景を整理する
• 三要素は人物判定や、不正が必ず起こることを示す決定論ではない
• 動機には、金銭、目標、評価、不満、隠蔽、報復などがあり、プレッシャーが背景になる場合がある
• 機会には、過大な権限、職務分離不足、共用ID、監視不足、物理環境などがある
• 正当化は、不正行為を自分の中で許されるものとして理由付けすること
• 職務分離・最小権限・ログ監視は、主に機会を減らす
• 相談・業務負担の見直しは、主に動機を減らす
• 倫理方針・教育・一貫した対応は、主に正当化を減らす
• 一つの対策が複数の要素へ働く場合があるため、問題文で最も直接的な効果を判断する
• 状況的犯罪予防は、不正を実行しにくい状況へ環境を変える考え方
• IPAの内部不正防止の基本原則は、難しくする、捕まるリスクを高める、見返りを減らす、誘因を減らす、弁明をさせない、の五つ
• 割れ窓理論は、小さな乱れ・違反の放置が規範の弱体化へつながる可能性を考える
• 割れ窓理論は、小さな違反の一律厳罰化や、重大不正が必ず起こるという意味ではない
• 防犯環境設計は、監視性、領域性、接近制御、被害対象の強化・回避などを組み合わせる
• 内部不正の兆候は証拠そのものではなく、公平な手順による調査が必要
• 科目Bでは、三要素、対策の直接的な効果、小さな違反の放置、物理環境を切り分ける

関連記事

• C1-T02：情報資産・脅威・脆弱性・リスク
• C3-T02：情報セキュリティポリシーと諸規程
• C5-T05：物理的対策
• C5-T06：アクセス制御と権限管理
• C5-T09：ログ管理と監視
• C6-T04：証拠保全とデジタルフォレンジックス
• C6-T05：原因分析と再発防止
• C7-T07：情報セキュリティ教育と訓練
• C7-T08：内部不正防止
• C8-T05：サイバー犯罪に関する法律
• C8-T10：技術者倫理と情報の信頼性

参考資料・基準日

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• IPA「組織における内部不正防止ガイドライン 第5版」
• IPA「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問4
• 国土交通省「防犯に配慮した共同住宅に係る設計指針」

記事最終確認日：2026年8月7日

関連する問題

• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第6問〜第10問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 一問一答 第16問〜第20問

---