【情報セキュリティマネジメント】内部不正防止、信頼か監視かの二択ではない｜抑止・予防・検知・職務分離

2026.08.27

「うちの社員に不正をする人はいない」。事例問題でこの前提が出てきたら、どこを確認すべきでしょうか。

内部不正対策は、従業員を信頼するか、厳しく監視するかという二者択一ではありません。一人で重要処理を完結しにくくし、必要な権限だけを与え、記録を残すことが基本です。

この記事では、抑止・予防・検知の三つから対策を整理します。読み終えると、事例を見て「どの対策が不足しているか」を判断できるようになります。

先に結論：抑止・予防・検知を組み合わせる

SGシラバス Ver.4.1の技能9-3では、組織の内部不正防止ガイドラインに従い、抑止・予防・検知の各対策を実施できることが求められています。

区分 目的 代表的な対策
抑止 不正へ向かう気持ちや理由を弱める 規程・教育・警告、ログ取得の周知、相談窓口、公正な職場環境
予防 不正を実行できる機会を減らす 最小権限、職務分離、特権ID管理、持込持出管理、退職時停止
検知 異常や不正の兆候へ気づく ログ点検、異常検知、アカウント棚卸し、相談・通報窓口

一つの対策が複数の役割を持つこともあります。ログの点検は検知、ログ取得の周知は抑止にもなります。

1．状況的犯罪予防の5原則で具体策を考える

IPA「組織における内部不正防止ガイドライン 第5版」は、状況的犯罪予防を内部不正へ応用し、次の5原則を示しています。

基本原則 狙い 対策例
犯行を難しくする 実行しにくくする 最小権限、職務分離、退職者IDの削除
捕まるリスクを高める 発見・追跡されやすくする 個人認証、ログ、異常検知、定期点検
犯行の見返りを減らす 得られる利益を小さくする 暗号化、情報・媒体・出力範囲の制限
犯行の誘因を減らす 不満・ストレスなどを減らす 公正な人事評価、適正な労働環境、相談経路
犯罪の弁明をさせない 行為を正当化しにくくする 明確な規程、教育、警告、誓約

不正のトライアングルは「なぜ不正が起こりやすいか」を機会・動機・正当化から整理する枠組み、5原則は「不正を行いにくい状況へどう変えるか」を考える枠組みです。両者は関係しますが、完全な一対一対応ではありません。

例えば「犯行を難しくする」「捕まるリスクを高める」は機会を減らす方向に働きやすく、「犯行の誘因を減らす」は動機の背景、「犯罪の弁明をさせない」は正当化へ働きかけます。不正のトライアングルそのものは「内部不正のメカニズム」の記事で扱います。

2．内部者の範囲を正しく捉える

IPAガイドライン上の内部者には、経営者・役員、契約社員を含む従業員、派遣社員などが含まれます。

元役職員でも、情報システム・情報へのアクセス権を有する者や、一定の物理的アクセスが可能な職務に就いていた者は対象になり得ます。定義文では、物理的アクセスの職務について「清掃員や警備員等を除く」という注記があります。退職後に在職中に得た情報を漏えいする行為も、内部不正として扱われます。

業務委託先の要員は、この定義上の内部者と一律に同一視しません。ただし、契約中と終了時の管理は必要です。

3．職務分離と単独作業の制限で一人だけの完結を防ぐ

職務分離は、申請・承認・実行・確認など、相反する職務を別の担当者へ分ける対策です。

例えば、支払データの登録者と承認者を分け、一人で送金まで完結できないようにします。

また、IPAガイドラインは、他の役職員が不在で相互監視ができない環境での単独作業を制限することを示しています。単独作業が必要なら、必要性を確認して事前承認し、実施後に作業内容を確認できる手続を設けます。

4．特権IDは限定・承認・記録・点検で管理する

特権IDは広い操作ができるため、便利さを理由に運用担当者全員で自由に共有しません。

  1. 利用者を必要最小限に限定する
  2. 利用目的・対象・時間を申請・承認する
  3. 可能な限り利用者を識別できる認証を使う
  4. 操作ログを取得する
  5. 利用者本人以外が点検する
  6. 異動・退職時に速やかに権限を停止する

緊急用の共用IDも、貸出し・承認・利用者記録、操作ログなどで追跡可能にします。

5．アカウント棚卸しは業務実態と照合する

アカウント棚卸しでは、総数ではなく、所属・職務・権限・利用状況と業務実態を照合します。

  • 退職者・異動者のアカウントが残っていないか
  • 現在の職務に不要な権限がないか
  • 長期間利用されていない休眠アカウントがないか
  • 一時的な権限が期限後も残っていないか
  • 共用IDの利用者と管理方法が明確か

再利用に備えて不要なアカウントを有効なまま残すことも避けます。

6．持込みと持出しの両方を管理する

機密情報を扱う区域では、媒体・機器の持込みと持出しを管理し、必要に応じて申請・許可、暗号化、外部送信制御、DLPなどを組み合わせます。

持出しだけを管理しても、未承認機器の持込みが自由なら、マルウェア侵入や無断複製の経路が残ります。

7．退職・異動時は誓約だけで終えない

秘密保持誓約だけでは、アクセスや持出しを技術的に止められません。

退職・異動時には、終了時点に合わせて、

  • アカウント・特権的アクセス権の停止
  • VPN、クラウド、共有フォルダー、入館権限の無効化
  • PC、媒体、入館証、鍵、資料の回収
  • 共用認証情報、APIキー、証明書などの変更・失効
  • 業務データの返却・消去確認

を行います。

委託先要員の契約終了時にも同様の管理が必要ですが、委託終了の実施手順は「委託中の監督と終了時の措置」の記事で扱います。

8．職場環境も内部不正対策の一部

内部不正防止はアクセス制御だけではありません。

IPAガイドラインは、公平な人事評価、適正な労働環境、円滑なコミュニケーション、配置転換なども扱っています。

不公平感、過度な負担、孤立、特定業務の長期固定を放置すると、不正の誘因や発見されにくい環境につながる場合があります。技術対策と職場環境の両方を見ることが重要です。

9．異常を検知しても直ちに不正と断定しない

退職予定者が、通常扱わない大量の資料を深夜にダウンロードしていたとしても、検知時点では不正の疑いであり確定ではありません。

組織の手順に従い、ログ・対象データ等を保全し、持出しの継続有無、業務上の必要性、付与権限を確認します。必要に応じてアクセスを一時制限し、関係部門と連携します。

本人の説明だけで問題なしとせず、反対に、異常値だけで直ちに懲戒へ進むことも避けます。

10．相談・通報窓口は上司経由だけにしない

直属上司が関与している疑いがあれば、通常の報告経路だけでは相談できません。

  • 上司を経由しない社内又は外部の相談先
  • 匿名相談の取扱い
  • 報告者情報の秘密保持
  • 不利益な取扱いを防ぐ方針
  • 利益相反がある場合の担当変更
  • 調査記録と証拠の管理

などを定めます。

本記事では、IPA内部不正防止ガイドライン上の相談・通報窓口の設計に絞ります。公益通報者保護法の要件は「ガイドラインと内部統制関連法」の記事で扱います。

11．監視は目的と相当性を定める

ログ取得・監視は内部不正の抑止と検知に役立ちますが、従業員の全行動を秘密裏に無制限で監視してよいわけではありません。

監視の目的、対象、取得情報、保存、閲覧できる者、利用条件、周知方法を規程で定め、必要性・相当性、法令、就業規則、プライバシーへ配慮します。

ただし、ログの保存期間など、対策の実効性を損なう情報まで全て公開するという意味ではありません。

12．セキュリティクリアランスとneed-to-knowを区別する

セキュリティクリアランスは、重要な情報を扱わせる前に対象者の適格性を確認する考え方です。

適格性が確認されていても、職務上知る必要がなければ全ての重要情報へアクセスできるわけではありません。取扱資格、need-to-know、実際のアクセス権付与を区別します。

個別制度の詳細な手続までは扱いません。

13．科目Bでの使われ方

  1. 抑止・予防・検知が組み合わされているか
  2. 一人で重要処理を完結できる状態が残っていないか
  3. 誓約や信頼だけでアクセス管理を置き換えていないか
  4. 特権IDの利用者・承認・ログ・点検がそろっているか
  5. アカウントを職務・異動・退職と照合しているか
  6. 異常検知後に証拠保全と事実確認を並行しているか
  7. 監視が必要性・相当性を超えていないか
  8. 利害関係者を経由しない相談経路があるか

担当者としては、異常を見つけても本人へ直接問いただしたり、独断で調査を進めたりせず、記録を保全したうえで定められた窓口へ報告します。監視の範囲や対象を変える必要があると判断した場合も、目的と相当性を整理して上位者や人事・法務の担当部署へ相談します。

よくある取り違え

誤った考え方 正しい整理
内部者は在籍中の正社員だけ 契約社員・派遣社員・条件を満たす元役職員も含まれ得る
委託先要員は必ず内部者 ガイドライン上は一律に同一視せず、委託管理で統制する
職務分離は手続を遅くするため 一人で処理を完結できなくし、相互牽制を働かせる
特権IDをチーム全員で共有する 利用者を識別し、承認・ログ・点検を行う
棚卸しはアカウント数の集計 業務実態と照合して不要・過大な権限を是正する
誓約書があれば退職者IDを残せる 終了時点でアクセス手段を停止する
大量ダウンロードを検知したら直ちに懲戒 証拠保全・影響限定・事実確認を行う
監視は秘密裏・無制限に行える 目的・範囲・必要性・相当性を定める
通報は必ず直属上司を経由する 利害関係者を経由しない窓口を設ける

まとめ

  • 内部不正対策は、抑止・予防・検知を組み合わせる
  • 状況的犯罪予防の5原則と不正のトライアングルは、関係するが別の枠組み
  • 内部者の範囲はIPAガイドラインの定義に沿って判断する
  • 職務分離と単独作業の管理で、一人だけの完結を防ぐ
  • 特権ID、アカウント棚卸し、持込持出管理、退職時停止を組み合わせる
  • 公正な人事評価、労働環境、コミュニケーションも内部不正対策になる
  • 異常検知後は、不正と即断せず、証拠保全と事実確認を並行する
  • 相談窓口は利害関係者を経由しない経路を用意する
  • 監視は目的・範囲・必要性・相当性を定める

関連記事

  • 内部不正のメカニズム
  • アクセス制御と権限管理
  • ログ管理と監視
  • 委託中の監督と終了時の措置
  • ガイドラインと内部統制関連法

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • IPA「組織における内部不正防止ガイドライン 第5版」（2022年4月改訂）

関連する問題

コメント

タイトルとURLをコピーしました