内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方【中小企業向け】
社内の情報が外に出る原因は、外部からのサイバー攻撃だけではありません。自社の従業員や退職者が、正規の権限を使って情報を持ち出す「内部不正」は、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編で第7位、11年連続11回目の選出となっている定番の脅威です。
しかも、警察庁が2026年3月に公表した統計では、2025年（令和7年）の営業秘密侵害事犯の検挙件数は38事件で、前年から16事件（72.7％）増加し、公表されている過去10年の中で最も多い水準になりました。雇用の流動化が進むなか、「転職・独立するときに情報を持っていく」という行為が現実に立件されています。
先に結論をお伝えします。内部不正対策の要は「USBメモリを禁止すること」ではありません。実際の検挙事例を見ると、持ち出しに使われたのは自分宛のメール、複合機からの紙の印刷、自分の携帯電話への入力でした。USBを塞いだだけでは、これらは1つも止まりません。
本記事では、中小企業の経営者・情報システム担当者の方に向けて、内部不正の実際の手口／持ち出し経路ごとの対策／不正競争防止法で会社が守られるための条件／必要な費用と補助金までを、公的機関の一次情報にもとづいて整理します。
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策
内部不正による情報漏えいとは？
内部不正による情報漏えいとは、従業員・元従業員・派遣社員・委託先の担当者など、正規のアクセス権を持つ人が、その権限を使って情報を外部に持ち出したり、消去したりすることを指します。
外部からの攻撃と決定的に違うのは、「不正アクセス」として検知されにくい点です。IDとパスワードは本人のもので、アクセスした資料も普段の業務で見ているものです。ログの上では正規の操作として記録されるため、本人が辞めて、取引先が競合に切り替わって、はじめて気づくというケースが後を絶ちません。
なお「内部不正」には、悪意のある持ち出しだけでなく、ルールを知らずにやってしまう持ち出し（帰宅後に作業するため自分のメールに送る、私物のクラウドストレージに置く）も含まれます。実は件数としてはこちらのほうが多く、対策も別々に考える必要があります。
| 項目 | 外部からのサイバー攻撃 | 内部不正 |
|---|---|---|
| 誰がやるか | 社外の第三者（攻撃者） | 従業員・退職者・委託先など内部の人 |
| 使う権限 | 盗んだ認証情報や脆弱性 | 本人に与えられた正規の権限 |
| 検知のしやすさ | 不審な通信や挙動として検知しやすい | 正規操作に見えるため非常に気づきにくい |
| 発覚のきっかけ | 端末の異常・身代金要求・外部通報 | 退職後の取引先流出・内部通報・監査 |
| 主な防御手段 | EPP／EDR・ファイアウォール・多要素認証 | 操作ログ・持ち出し経路の制御・権限最小化・教育 |
なぜ今、内部不正が問題になっているのか？
理由は大きく3つあります。件数が実際に増えていること／情報が持ち出しやすい形になったこと／人の出入りが増えたことです。
① 営業秘密侵害の検挙件数が過去10年で最多になった
警察庁生活安全局が2026年3月に公表した「令和7年における生活経済事犯の検挙状況等について」によると、2025年（令和7年）の営業秘密侵害事犯の検挙事件数は38事件。前年（22事件）から16事件、率にして72.7％の増加です。公表されている過去10年の推移を見ると、これまでの最多は2022年の29事件でしたので、それを大きく上回りました。
| 年 | 2020年 （令和2年） |
2021年 （令和3年） |
2022年 （令和4年） |
2023年 （令和5年） |
2024年 （令和6年） |
2025年 （令和7年） |
|---|---|---|---|---|---|---|
| 検挙事件数 | 22 | 23 | 29 | 26 | 22 | 38 |
| 相談受理件数 | 37 | 60 | 59 | 78 | 79 | 74 |
出典：警察庁生活安全局「令和7年における生活経済事犯の検挙状況等について」（2026年3月公表）。単位は事件・件。
同資料は、営業秘密侵害事犯について「転職・独立時に営業秘密に関する情報を持ち出す事犯が多くみられる」と明記しています。また相談受理件数は74件で前年から微減したものの、「雇用の流動化や外国への技術情報流出の懸念等により、社会的関心はさらに高まっており、警察への相談件数は高止まりしている」としています。
② 「漏えいを認識している会社」が5年で7倍近くに増えた
IPAが2025年8月に公表した「企業における営業秘密管理に関する実態調査2024」報告書では、過去5年以内に営業秘密の漏えい、またはその可能性を認識している企業の割合は35.5％でした。2020年度の前回調査では5.2％でしたので、約30ポイントの増加です。同時に「わからない・認識できていない」が16.5％から9.7％へ減っており、「漏れていることに気づける会社が増えた」という側面もあります。
漏えいのルートを見ると、外部からのサイバー攻撃等に起因するものが36.6％（前回8.0％）で最多ですが、現職従業員等のルール不徹底が32.6％、金銭目的等の動機による内部不正が31.5％、誤操作・誤認が25.4％と、内部に起因するものを合わせると外部要因を上回ります。
漏えいした情報の種類は、製造ノウハウ・成分表等が61.5％、顧客情報が60.1％、生産プロセス等が57.2％。「うちには盗まれるような技術はない」という会社でも、顧客リストは確実に持ち出しの対象です。
③ データが「持ち出しやすい形」になった
紙の資料をコピーして持ち出すには物理的な手間がかかりました。しかし現在は、顧客リストも図面も見積書も、クラウド上のファイル1つです。テレワークが定着し、自宅から会社のデータにアクセスするのが日常になったことで、「持ち出し」と「通常業務」の見分けがつきにくくなりました。
ここが落とし穴：中小企業では「社員は家族のようなもの」「うちに限って」という前提で対策が後回しになりがちです。しかし警察庁の検挙事例に挙がっているのは、精密金型メーカー、介護サービス事業者、ぱちんこ店といった、いわゆる「普通の会社」です。業種や規模は関係ありません。
実際にどんな手口で持ち出されている？
ここが本記事でもっともお伝えしたい部分です。警察庁の同資料に掲載されている、2025年（令和7年）に検挙された営業秘密侵害の具体的な事例を見てみます。3件とも「元社員・元従業員」による、在職中の持ち出しでした。
| 項目 | 事例① 精密金型メーカー |
事例② 介護サービス事業者 |
事例③ ぱちんこ店 |
|---|---|---|---|
| 持ち出した人 | 元社員の男性（57）ら | 元社員の女性（46） | 元従業員の男性（33）ら |
| 持ち出した情報 | 営業秘密である金型図面のファイル | 介護サービス利用者に係る情報 | 回胴式遊技機に関する設定情報 |
| 持ち出しの手段 | 会社から貸与されたPCを操作し、 自分が使うメールアドレス宛に ファイルを添付して送信 |
会社のPCを操作し、 複合機から紙で印刷 |
設定情報を 自分の携帯電話に入力 |
| その後 | 中国に所在する法人にメールで開示 | （領得で検挙） | 知人にメールで送信して開示 |
| 検挙 | 2025年10月（兵庫） | 2025年1月（青森） | 2025年10月までに（宮崎） |
出典：警察庁生活安全局「令和7年における生活経済事犯の検挙状況等について」（2026年3月公表）の検挙事例より要約。
3件の共通点：USBメモリが1件も使われていません。使われたのは自分宛のメール・複合機での紙の印刷・自分の携帯電話への入力です。「USBメモリの利用を禁止したので内部不正対策は済んでいる」という状態では、この3件はいずれも防げません。対策は経路ごとに用意する必要があります。
もう1点、見落としてはいけないのが「持ち出しはすべて在職中に行われている」ことです。退職日にアカウントを止めるのは必須の対策ですが、それだけでは間に合いません。辞める意思を固めてから退職を申し出るまでの期間にデータは動きます。
▶ 関連記事：退職者のアカウント、ちゃんと削除していますか？情報漏洩リスクを解説
情報の持ち出し経路にはどんなものがある？
内部不正対策を考えるときは、製品名から入らず、「自社ではどの経路が空いているか」から考えるのが近道です。主な経路と、それぞれに効く対策を整理します。
| 持ち出し経路 | 具体的なやり方 | 有効な対策 | 優先度 |
|---|---|---|---|
| ① USB・外付けドライブ | USBメモリやSDカード、外付けHDDにコピーする | 記録メディア制御（禁止／読み取り専用／申請制）、接続ログの取得 | 高 |
| ② 自分宛のメール送信 | 会社のメールから個人のフリーメール宛に添付して送る | メール送信の一時保留・上長承認、送信ログ、宛先ドメイン制限 | 最優先 |
| ③ クラウドストレージへのアップロード | 個人のGoogle ドライブやDropboxに上げる | Webフィルタリングでのアップロード制御、シャドーIT検知 | 最優先 |
| ④ 紙への印刷 | 複合機・プリンタで印刷して持ち帰る | プリントログの取得、部門別の印刷枚数集計、持出し時の申請ルール | 高 |
| ⑤ スマホでの撮影・入力 | 画面をスマホで撮る、手で入力し直す | 完全な技術的遮断は困難。持込ルール・教育・監査ログでの抑止 | 中 |
| ⑥ 私物PC・私物端末での作業 | 自宅の私物PCに会社データをコピーして作業する | IT資産管理での未管理端末検知、BYODルール、クラウド側のアクセス制御 | 高 |
| ⑦ 退職者アカウントの継続利用 | 退職後も有効なIDでログインしてダウンロードする | 退職日当日のアカウント無効化、IDaaSでの入退社連動、棚卸し | 最優先 |
②③⑦を「最優先」としたのは、コストをかけずに実害が最も大きくなる経路だからです。メールとクラウドは大量のデータを一瞬で外に出せますし、退職者アカウントは会社側が完全に気づけません。一方、⑤のスマホ撮影は技術だけで止めることが難しく、ルールと教育で抑止するのが現実的です。
▶ 関連記事：DLPとは？仕組み・主要機能・中小企業の選び方を徹底解説
内部不正はなぜ起きてしまうのか？
不正の研究では、「動機」「機会」「正当化」の3つが揃ったときに不正が起きると説明されます（不正のトライアングル）。内部不正対策で会社が確実にコントロールできるのは、このうち「機会」です。
| 要素 | 中小企業でよくある状況 | 会社が打てる手 |
|---|---|---|
| 動機 | 待遇や評価への不満、転職先での手土産、独立の準備、金銭的な困窮 | 面談・評価の透明化。ただし完全には消せない |
| 機会 | 全社員が全フォルダを見られる。ログを取っていない。USBもクラウドも自由 | 権限の最小化・ログ取得・経路の制御。ここが対策の主戦場 |
| 正当化 | 「自分が作った資料だから自分のもの」「みんなやっている」「バレない」 | 就業規則・誓約書・教育で「これは犯罪になる」と明示する |
言い換えると、「人を疑う」のではなく「疑わなくてよい仕組みを作る」のが内部不正対策です。ログを取っていること・持ち出し経路が塞がれていることを社員に周知するだけでも、「バレない」という正当化が成立しなくなり、抑止力として働きます。
情報を持ち出されたら、法律ではどうなる？
顧客リストや図面を持ち出された場合、不正競争防止法の「営業秘密侵害」にあたる可能性があります。刑事罰は決して軽いものではありません。
| 対象 | 国内での使用等 | 海外での使用等 |
|---|---|---|
| 個人（持ち出した本人） | 10年以下の拘禁刑 または2,000万円以下の罰金 （併科あり） |
10年以下の拘禁刑 または3,000万円以下の罰金 （併科あり） |
| 法人（受け取った会社等） | 5億円以下の罰金 | 10億円以下の罰金 |
※不正競争防止法にもとづく営業秘密侵害罪の法定刑。刑事罰とは別に、民事上の損害賠償請求・差止請求も可能です。個別事案の適用可否は弁護士等の専門家にご確認ください。
顧客リストには、もう1つ別の罪がある
持ち出されたのが顧客名簿や会員リストのような個人情報データベースだった場合、不正競争防止法とは別に、個人情報保護法の「個人情報データベース等不正提供罪」が適用され得ます。従業者などが不正な利益を図る目的で個人情報データベース等を提供したり盗用したりした場合が対象で、法定刑は個人が1年以下の拘禁刑または50万円以下の罰金、法人には1億円以下の罰金です。
実務上、これは重要な逃げ道になります。共有フォルダに置きっぱなしで「営業秘密」の要件を満たせなかった顧客リストでも、個人情報データベースであればこちらで問える可能性があるためです。とはいえ、どちらで争うにしても「誰がいつ持ち出したか」を示す記録が必要である点は変わりません。
ただし「営業秘密」と認められる3つの条件がある
ここが中小企業にとって最大の落とし穴です。持ち出された情報が法律上の「営業秘密」と認められなければ、不正競争防止法では保護されません。経済産業省の「営業秘密管理指針」では、次の3要件がすべて必要とされています。
| 要件 | 意味 | 満たせていない典型例 |
|---|---|---|
| 秘密管理性 | その情報が秘密として管理されていること | 誰でも開ける共有フォルダに置いてある。「マル秘」の表示もアクセス制限もない |
| 有用性 | 事業活動にとって有用な情報であること | 事業と無関係な情報、違法行為に関する情報 |
| 非公知性 | 公然と知られていないこと | 自社サイトやカタログですでに公開している情報 |
「持ち出されたこと」より先に問われるのは「秘密として管理していたか」です。全社員が自由に閲覧・コピーできる状態のまま置かれていた顧客リストは、秘密管理性を満たさないと判断され、法的な保護を受けられないおそれがあります。内部不正対策としてアクセス制御とログを整えることは、そのまま「法律で守ってもらうための準備」でもあります。
「秘密管理性」を満たすには何をすればいい？
「鉄壁の管理」が求められるわけではありません。営業秘密管理指針は「営業秘密が競争力の源泉となる企業、特に中小企業が増加しているが、これらの企業に対して『鉄壁の』秘密管理を求めることは現実的ではない」としており、規模に応じた合理的な管理で足りるという考え方をとっています。
ポイントは「会社が秘密として扱う意思を、従業員がはっきり分かる形で示せているか」です。具体的には次のような措置が該当します。
- 秘密情報を置く共有フォルダを分け、アクセスできる人を業務上必要な人だけに限定する
- ファイル名やフォルダ名、書類に「社外秘」「関係者限り」といった表示を付ける
- 就業規則や情報管理規程に、秘密情報の範囲と取扱いルールを明記する
- 入社時・退職時に秘密保持誓約書を取得する
- 誰がいつ何を開いたかをログとして記録する
2025年3月改訂で、クラウド・テレワーク・生成AIの扱いが明確になった
経済産業省の「営業秘密管理指針」は2025年（令和7年）3月31日に改訂され、働き方やITの変化を踏まえた記述が追加されました。中小企業に関係の深いポイントは次のとおりです。
| 論点 | 改訂で明確になったこと |
|---|---|
| テレワーク | 自宅など施設外で営業秘密に触れる機会が増えている実態を踏まえた記述が加わり、派遣労働者や兼業・副業従事者も対象に含まれることが明確化された |
| 外部クラウドの利用 | 外部のクラウドに営業秘密を保管しても、秘密として管理されていれば秘密管理性は失われない。ID・パスワードの設定程度の技術的管理措置で足りる場合があるとされた |
| 生成AIの利用 | 秘密管理された情報を生成AIに利用し、その後AI生成物として出力されることがあっても、それだけで秘密管理性が否定されるわけではないとされた |
| ダークウェブへの流出 | 第三者のハッキング等により営業秘密がダークウェブに公表されたとしても、それだけで非公知性が失われるわけではないとされた |
| 情報セキュリティとの関係 | 情報セキュリティで求められる措置の水準に達していなくても、秘密管理措置としては認められ得ることが明確化された |
「クラウドに置いたら営業秘密ではなくなるのでは」「生成AIに読ませたら終わりでは」という不安は、指針上は否定されています。クラウド活用を止める必要はなく、アクセス制限とログという当たり前の管理を整えることが答えになります。
▶ 関連記事：生成AI業務利用ガイドラインの作り方｜ChatGPT・Copilotの情報漏洩リスクと社内ルールの実装手順
個人情報が含まれていたら報告義務はある？
あります。しかも内部不正は、報告義務のなかでもっとも条件が厳しい類型にあたります。
個人情報保護法では、「不正の目的をもって行われたおそれがある個人データの漏えい等」は、対象が1人分であっても個人情報保護委員会への報告と本人への通知が必要です。従業員が意図的に顧客情報を持ち出した場合は、まさにこの類型に該当します。
| 報告 | 期限 | 内容 |
|---|---|---|
| 速報 | 速やかに（おおむね3〜5日以内） | その時点で把握している範囲を報告する |
| 確報 | 60日以内（不正の目的による場合） | 原因や被害範囲を含めた確定的な内容を報告する |
| 本人への通知 | 速やかに | 困難な場合は公表＋問い合わせ窓口の設置などの代替措置 |
確報では「原因」を書く必要があります。操作ログが残っていなければ、誰が・いつ・どのデータを持ち出したのかを特定できず、確報の欄が埋まりません。ログの取得は、内部不正の抑止だけでなく、法令上の義務を果たすための前提でもあります。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行のサイバー対処能力強化法
技術的な対策は何から始めればいい？
すべてを一度に導入する必要はありません。費用対効果と、事故が起きたときのダメージの大きさから並べると、次の順番になります。
| 優先度 | やること | 効果 | 費用の目安 |
|---|---|---|---|
| 1 | アクセス権限の棚卸し（誰がどのフォルダを見られるか整理する） | 「機会」を直接減らせる。秘密管理性の根拠にもなる | 0円（社内作業） |
| 2 | 退職日当日のアカウント無効化を手順化する | 退職者による継続アクセスを遮断できる | 0円〜 （IDaaS導入時は月300円台〜／ID） |
| 3 | PCの操作ログを取得する（IT資産管理ツール） | 抑止・検知・立証のすべてに効く。最も費用対効果が高い | 月400〜600円／台程度 |
| 4 | USB等の記録メディアを制御する | 大量コピーの経路を塞げる | 上記ツールに含まれる〜月160円／台程度 |
| 5 | Webのアップロードを制御する（Webフィルタリング） | 個人クラウドへの持ち出しとシャドーITを止められる | 月500〜600円／ユーザー程度 |
| 6 | メール送信を一時保留し、上長が確認する | 自分宛メールでの持ち出しと誤送信を同時に止められる | 月100〜300円／ユーザー程度 |
※金額はいずれも税別の目安です。契約台数・契約年数・オプション構成により変動します。
1と2は費用がかかりません。まずここから着手し、そのうえで「うちはどの経路が空いているか」に応じて3以降を足していくのが、情報システム担当者が1〜2名という体制でも続けられる進め方です。
内部不正対策に使える製品を比較すると？
アーデントで取り扱っている製品のうち、内部不正対策に直結するものを比較します。1つの製品ですべての経路を塞げるわけではなく、「どの経路を止めたいか」で選ぶのがポイントです。
| 項目 | LANSCOPE エンドポイントマネージャー |
ISM CloudOne | i-FILTER@Cloud | クラウドメール セキュリティ |
|---|---|---|---|---|
| 提供元 | エムオーテックス | クオリティソフト | デジタルアーツ | アーデント取扱サービス |
| 主に塞げる経路 | USB・紙印刷・ファイル操作 | USB・クラウド・Web・ファイル操作 | クラウドアップロード・シャドーIT | 自分宛メール・添付ファイル |
| 操作ログ | ◎ ログオン／ファイル操作／Webアクセス／プリント／USB接続など。 標準2年保存（オプションで最大5年） |
◎ 10種類以上。 検索90日／DB保存365日／アーカイブ12か月 |
△ Webアクセスログ中心 | △ メール送受信ログ中心 |
| デバイス制御 | ◎ 記録メディアを禁止／読取専用／許可で制御 | ◎ 申請ワークフロー付き（一時的な許可が可能） | − | − |
| Web／クラウド制御 | ○ Webフィルタリングはオプション | ○ URLフィルタ（オプション）＋シャドーIT検知 | ◎ ホワイト運用。アップロードを操作単位で制御 | − |
| メール送信の制御 | − | − | − | ◎ 一時保留・上長承認・BCC強制変換・添付の暗号化／分離 |
| 料金（税別・目安） | 初期30,000円／契約 ベーシック 月500円／台 （ライトB＝ログ特化 月400円／台） |
初期30,000円 基本機能 月360〜600円／台 外部デバイス制御〜160円／操作ログ〜420円 |
標準サービス 月600円〜／ユーザー 有害情報対策版 月500円〜 （10ユーザー以上・年間契約） |
添付暗号化・分離 月100円／ユーザー 誤送信対策＆審査 月200円／ユーザー （最低50アカウント＋初期費用） |
| こんな会社に | PCの操作ログとUSB制御をまず整えたい | 資産管理・脆弱性診断もまとめたい | 個人クラウドへの持ち出しを止めたい | メール経由の持ち出しと誤送信を止めたい |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
※価格は各社の標準価格にもとづく参考値（税別）です。契約数・契約年数・オプションにより変動しますので、正式なお見積りはアーデントまでお問い合わせください。
1つ選ぶなら、まずは操作ログとUSB制御を持つIT資産管理ツール（LANSCOPE または ISM CloudOne）です。内部不正対策では「止める」と同じくらい「記録が残っている」ことが重要で、記録は抑止・検知・立証の3つに同時に効くためです。
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方
▶ 関連記事：Webフィルタリングソフト比較｜法人向けおすすめ製品と選び方・料金相場
ルールと教育はどこまでやればいい？
技術だけでは、⑤のスマホ撮影のような経路は止まりません。IPAの「組織における内部不正防止ガイドライン」（第5版）は、基本方針・資産管理・技術的管理・職場環境・事後対策など10の観点から対策を示し、付録として33項目のセルフチェックシートを用意しています。第5版では、テレワークの広がりや雇用の流動化を踏まえた対策のほか、退職予定者が秘密保持誓約書の提出を拒否するケースを想定した対策、AIによるふるまい検知を適用する際の留意点、従業員の人権・プライバシーへの配慮が追記されています。
秘密保持誓約書は「入社時」と「退職時」の2回
- 入社時：秘密情報の範囲と、退職後も守秘義務が続くことを明記して取得する
- 退職時：返却・削除すべきデータを列挙し、持ち出していないことを確認して取得する
- 拒否された場合に備える：就業規則に守秘義務を定めておけば、誓約書がなくても義務の根拠になり得ます。拒否されたこと自体を記録し、権限の早期停止など別の手段でリスクを下げます
「ログを取っている」と伝えることが最大の抑止になる
操作ログは、こっそり取るものではありません。就業規則や社内周知で「業務端末の操作ログを取得している」と明示することが、プライバシー配慮の観点からも、抑止効果の観点からも正解です。「バレない」という前提が崩れれば、不正のトライアングルの「正当化」が成立しなくなります。
あわせて、標的型メール訓練やeラーニングで「これは犯罪になる」「会社はこう対応する」を定期的に伝えます。アーデントで取り扱うセキュリオは、eラーニングと標的型メール訓練をまとめて実施でき、50名以下で月18,000円、50名超は1ユーザー月360円から（初期費用100,000円・いずれも税別）です。
気づくのは、たいてい「人」から
内部不正は、ツールのアラートより先に周囲の社員が違和感に気づくことが多い脅威です。「あの人が退職前にやたら資料を印刷している」「取引先から妙な話を聞いた」といった情報が上がってくる経路があるかどうかで、発覚の早さは大きく変わります。
公益通報者保護法では、従業員が301人以上の事業者に内部通報体制の整備が義務づけられており、300人以下の中小企業は努力義務とされています。義務でなくても、「誰に言えばよいか」と「言った人が不利益を受けない」の2点を社内に明示しておくだけで、窓口として機能し始めます。社長直通でも、顧問の社会保険労務士経由でも構いません。
▶ 関連記事：セキュリティ教育ツール徹底比較｜セキュリオ vs Sophos Phish Threat vs MudFix
退職時には何をチェックすればいい？
退職は、内部不正のリスクがもっとも高まるタイミングです。退職の申し出があった時点から次の手順を回してください。
| タイミング | やること | 担当 |
|---|---|---|
| 退職の申し出を受けた直後 | 利用中のシステム・クラウドサービス・共有フォルダの権限を洗い出す。 業務に不要な権限をこの時点で外す |
情報システム・上長 |
| 退職日の1〜2週間前 | 操作ログを確認する（大量のファイルコピー、私物クラウドへのアップロード、深夜の印刷など普段と違う動きがないか） | 情報システム |
| 退職日の3日前まで | 業務データの引き継ぎを完了させ、個人フォルダの中身を上長が確認する | 上長・後任者 |
| 退職日当日 | 全アカウントを無効化する（メール・グループウェア・クラウド・業務システム・VPN・SaaS）。 秘密保持誓約書を取得する。社用端末・USB・書類・入館証を回収する |
情報システム・総務 |
| 退職日の翌営業日 | 無効化の完了を確認する。個人端末に会社データが残っていないか申告を受ける | 情報システム |
ログは、あとからさかのぼって取得することができません。退職の申し出を受けてから操作ログツールを導入しても、それ以前の持ち出しは記録に残っていません。内部不正対策でログの整備を最優先に挙げているのは、この一点に尽きます。
持ち出しが疑われたらどうすればいい？
「持ち出されたようだが、証拠がない」という状態は、中小企業でもっとも多い相談です。刑事告訴も損害賠償請求も、誰がいつ何を持ち出したかを示せなければ成立しません。
- 対象の端末を触らない・初期化しない。次の担当者に貸し出したり、初期化して再利用すると証拠が消えます。電源を切って保管します
- ログを保全する。操作ログ、メール送受信ログ、クラウドサービスの監査ログ、入退室記録を、上書きされる前にエクスポートします
- 事実を時系列で記録する。いつ誰が何に気づいたか、取引先から何を聞いたかを日付入りで残します
- 専門家に相談する。法的対応は弁護士、端末の解析はフォレンジック調査の専門会社へ。持ち出された情報に個人データが含まれる場合は、報告期限との関係で早期の判断が必要です
- 並行して穴を塞ぐ。同じ権限を持つ他の社員のアクセス権を見直し、同じ経路が空いたままになっていないか確認します
ログを「証拠」として使うために必要なこと
ログは、ただ取っていればよいというものではありません。いざ責任を追及する場面で使えるようにするには、次の点を平時から整えておく必要があります。
- 取得していることを事前に周知しておく：就業規則や社内規程に明記し、社員に知らせておきます。無断で取得した記録は、労務上の問題を招くおそれがあります
- 保存期間を業務の実態に合わせる：内部不正は「辞めてから半年後に発覚する」ことが珍しくありません。製品の初期設定が90日や1年のままだと、必要な時期のログがすでに消えている場合があります
- 管理者本人が書き換えられない状態にする：ログを保管するサーバーやクラウド側でアクセス権を分け、「誰でも消せる」状態にしないことが、記録の信頼性につながります
- 取り出す手順を先に確認しておく：いざというときに「エクスポートの仕方が分からない」では間に合いません。導入時に一度、実際に書き出して保存できることを確かめておきます
端末の解析にかかる費用も把握しておきましょう。アーデントのマルウェア感染調査サービスは300台まで298,000円、500台まで498,000円（税別）、詳細レポートは別途500,000円です。
費用を比べてみてください。PC30台の会社が操作ログを取る費用は、月500円／台なら年間18万円です。一方、事故が起きてから端末を調べる費用は298,000円からで、しかもログが残っていなければ「何を持ち出されたか分からない」という結論しか出ません。予防にかける費用のほうが安く、かつ結果が残ります。
▶ 関連記事：情報漏洩が発覚したら？取引先・顧客への報告手順と注意点
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較
費用はどれくらいかかる？補助金は使える？
従業員30名の会社を例に、年間の目安を整理します。
| 対策 | 30名（30台）での年間費用の目安（税別） |
|---|---|
| アクセス権限の棚卸し・規程整備 | 0円（社内作業） |
| 操作ログ＋USB制御（IT資産管理ツール） | 初期30,000円＋月500円×30台×12か月＝約21万円 |
| Webアップロード制御（Webフィルタリング） | 月600円×30ユーザー×12か月＝約21.6万円 |
| メール送信の一時保留・上長承認 | 月200円×50アカウント×12か月＝約12万円＋初期費用 ※最低50アカウントからの契約 |
| セキュリティ教育（eラーニング＋メール訓練） | 初期100,000円＋月18,000円×12か月＝約31.6万円 |
| （参考）事故後の端末調査 | 298,000円〜＋詳細レポート500,000円 |
まず操作ログとUSB制御だけに絞れば年間20万円台、月あたりでは2万円弱です。これは「社員1人の残業数時間分」程度の水準で、顧客リストが競合に渡ったときの損失と比べれば、判断は難しくありません。
デジタル化・AI導入補助金で費用を抑えられます
ここで挙げたIT資産管理ツール・Webフィルタリング・メールセキュリティ・セキュリティ教育ツールは、デジタル化・AI導入補助金（旧・IT導入補助金）の対象となるケースが多いソフトウェアです。補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件により最大5分の4）で、交付申請にあたってはSECURITY ACTION の自己宣言IDとGビズIDが必要です。
注意：補助金は交付決定前に発注・契約・支払いをしたものは対象外です。「先に導入して、あとから申請する」ことはできません。また補助率・上限額・対象要件は年度や公募回によって変わりますので、必ず最新の公募要領をご確認のうえ、支援事業者や専門家にご相談ください。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
よくある質問（Q&A）
Q. 従業員が10名程度の会社でも、内部不正対策は必要ですか？
A. 必要です。むしろ小規模な会社ほど、1人の社員が見られる情報の範囲が広く、持ち出されたときの打撃が大きくなります。警察庁の2025年の検挙事例にも、介護サービス事業者やぱちんこ店といった、いわゆる大企業ではない事業者が含まれています。まずは費用のかからない「アクセス権限の棚卸し」と「退職日当日のアカウント無効化の手順化」から始めてください。
Q. 社員のPC操作ログを取るのは、プライバシーの侵害になりませんか？
A. 業務端末の業務利用に関するログを、目的を明示したうえで取得する分には、一般に問題ないと考えられています。重要なのはこっそり取らないことです。就業規則や社内規程に「業務端末の操作ログを取得する」と明記し、社員に周知してください。IPAの内部不正防止ガイドライン第5版でも、従業員の人権・プライバシーへの配慮が求められています。周知することは抑止効果にも直結するため、隠すメリットはありません。個別の労務上の判断は社会保険労務士や弁護士にご確認ください。
Q. USBメモリの利用を禁止していれば十分ではないですか？
A. 十分ではありません。警察庁が公表した2025年の検挙事例3件では、USBメモリは1件も使われておらず、自分宛のメール送信・複合機での紙の印刷・自分の携帯電話への入力という手段が使われていました。メール送信の制御、クラウドへのアップロード制御、プリントログの取得まで含めて、経路ごとに手当てする必要があります。
Q. 秘密保持誓約書を結んでいれば、法的に守られますか？
A. 誓約書は重要ですが、それだけでは足りません。不正競争防止法で「営業秘密」として保護されるには、秘密管理性・有用性・非公知性の3要件を満たす必要があり、とくに秘密管理性が争点になります。誰でも開ける共有フォルダに置いたままでは、秘密として管理していたと認められないおそれがあります。アクセス制限・「社外秘」表示・ログの取得といった実際の管理状況をあわせて整えてください。
Q. 退職者が持ち出したようですが、証拠がありません。どうすればよいですか？
A. まず、対象の端末を初期化したり他の社員に貸し出したりせず、電源を切って保全してください。次に、メールの送受信ログやクラウドサービスの監査ログなど、上書きされる前に取得できる記録をエクスポートします。そのうえで、法的対応は弁護士に、端末の解析はフォレンジック調査の専門会社にご相談ください。ただし操作ログは過去にさかのぼって取得できません。今回の件が解決してもしなくても、同じことを繰り返さないためにログの取得を始めることをおすすめします。
Q. 持ち出された情報に顧客の個人情報が含まれていました。届け出は必要ですか？
A. 必要です。従業員による意図的な持ち出しは「不正の目的をもって行われたおそれがある漏えい等」に該当し、対象が1人分であっても個人情報保護委員会への報告と本人への通知が必要になります。速報は速やかに（おおむね3〜5日以内）、確報は60日以内です。確報では原因を記載する必要があるため、ログが残っているかどうかが実務上の分かれ目になります。
Q. 情報システムの担当者がいませんが、運用できますか？
A. できます。ここで挙げたIT資産管理ツールやWebフィルタリングはクラウド型で、サーバーの構築や保守が不要です。設定はブラウザの管理画面から行い、初期のポリシー設計はアーデントが代行します。「毎月ログを全部見る」といった運用は現実的ではないため、普段と違う操作があったときだけ通知が届く設定にしておき、通知が来たときだけ確認する形をおすすめしています。
まとめ｜「疑わなくてよい仕組み」を先に作る
内部不正による情報漏えいは、IPAの10大脅威2026で第7位、11年連続で選ばれ続けている脅威です。
警察庁の統計では、2025年の営業秘密侵害事犯の検挙件数は38事件と前年比72.7％増で、公表されている過去10年で最多となりました。
そして検挙事例に共通していたのは、USBメモリではなく、自分宛のメール・複合機での紙の印刷・携帯電話への入力という、どの会社にもある経路が使われていたことです。
まず取り組むべきは、費用のかからないアクセス権限の棚卸しと退職日当日のアカウント無効化の手順化。
そのうえで、操作ログの取得を軸に、自社で空いている経路（USB・クラウド・メール・印刷）を順に塞いでいきます。
ログは抑止・検知・立証の3つに同時に効き、あとからさかのぼって取得することはできません。
同時に、共有フォルダの整理と「社外秘」の表示は、不正競争防止法で会社が守られるための秘密管理性の裏づけにもなります。
PC30台なら、操作ログとUSB制御で年間20万円台から始められ、デジタル化・AI導入補助金の対象となるケースもあります。
アーデントでは、現状のヒアリングから製品の選定、補助金申請のサポート、導入後の運用支援までワンストップでお手伝いしています。「何から手を付ければよいか分からない」という段階でも構いませんので、お気軽にご相談ください。
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策
▶ 関連記事：情報漏洩対策ソフト（DLP）の費用はいくら？料金相場と製品比較・補助金で抑える方法
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト