内部不正——見過ごされがちな最大級のリスク
情報漏洩と聞くと、外部の攻撃者による不正アクセスやランサムウェア、標的型攻撃を想像しがちです。しかし実際には、情報漏洩の原因は外部からの攻撃だけではありません。従業員・退職者・委託先といった内部者による意図的な持ち出しも、漏洩件数・被害規模の両面で大きな割合を占めています。
IPA（独立行政法人情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」でも、「内部不正による情報漏えい等」は組織向け脅威の常連として上位に位置づけられ続けています。ランサムウェアやサプライチェーン攻撃といった外部脅威と並んで、内部不正が長年ランクインし続けているという事実は、この問題が一過性のものではなく、多くの組織が構造的に抱え続けているリスクであることを示しています。
内部不正が厄介なのは、それが正規の権限を持つ者による行為だという点にあります。ファイアウォールやIDS/IPS、エンドポイント保護といった「外部からの侵入」を前提とした対策では、正規にログインし、正規に業務システムへアクセスできる内部者の不正な持ち出しを防ぐことはできません。さらに、正規のアクセスであるがゆえにアラートも上がりにくく、発覚が遅れがちで、その結果として被害が大規模化しやすいという特徴があります。
法制度の面でも、内部不正を含む情報漏洩への企業の責任は年々重くなっています。改正個人情報保護法（2022年4月全面施行）では、一定の要件に該当する漏洩等が発生した場合、個人情報保護委員会への報告および本人への通知が義務化されました。あわせて法定刑も引き上げられ、違反に対する措置命令や罰則の枠組みが強化されています。「気づかなかった」「委託先の問題だった」では済まされない時代に入っているといえます。
内部不正のトライアングル（動機・機会・正当化）
不正行為の発生要因を説明する古典的な理論に「不正のトライアングル」があります。これは、①動機（金銭的困窮・処遇への不満など）、②機会（不正を実行できる環境・権限）、③正当化（「これくらい許される」という自己弁護）の3要素が揃ったときに不正が起きやすいとする考え方です。このうち、企業が技術・管理で直接コントロールできるのは「機会」です。動機や正当化は人の内面に属し、完全には制御できません。だからこそ、「機会」を技術的に減らすこと——過剰な権限を与えない、持ち出し経路を塞ぐ、行動を可視化する——が、企業にできる最も実効的な内部不正対策となります。
事案①：委託先の元派遣社員による長期間の顧客情報持ち出し
2023年に発覚した、国内大手通信グループの子会社〇〇社（コールセンター等の運営を担う）における事案は、内部不正の典型かつ最悪のパターンを示しています。この〇〇社でシステム保守を担当していた元派遣社員が、約10年間にわたって顧客情報を不正に持ち出していたことが判明しました。
持ち出された情報は約900万件規模とされ、複数の名簿業者等に売却されていたと報じられています。長期間にわたり組織的に情報が外部へ流出していたことで、被害は極めて大きなものとなりました。
手口：業務用端末から外部媒体へのコピー
手口自体は、技術的に高度なものではありませんでした。当該の元派遣社員は、システム保守業務のために正規に付与された権限を用いて業務用端末を操作し、私物のUSBメモリ等の外部媒体に顧客データをコピーして持ち出していたとされます。特別なハッキング技術ではなく、「正規のアクセス権」と「制御されていない持ち出し経路」の組み合わせによって、長期間の情報流出が可能になっていたのです。
背景として指摘された課題
- 特権的な運用権限の集中：保守担当者に、業務上必要な範囲を超えた広範なデータアクセス権が集中していた。
- 外部媒体への書き出し制御の不備：USBメモリ等への書き出しが技術的に制限されておらず、大量データのコピーが可能な状態だった。
- アクセスログ監視の形骸化：アクセスやダウンロードのログは残っていても、それを異常検知・監査に活用する運用が機能していなかった。
- 委託先要員の管理の甘さ：派遣・委託の要員に対するアカウント管理や行動監視が、発注元・委託先の双方で十分に行われていなかった。
最大の問題は「10年間気づかれなかった」こと
この事案で最も深刻なのは、持ち出しそのものよりも約10年という長期間、誰にも検知されなかったという点です。内部者による持ち出しを100%防ぐことは、権限を持つ以上、現実には困難です。しかし、大量ダウンロードや不審なデータアクセスを早期に検知できる仕組みがあれば、被害は数か月・数万件規模で食い止められた可能性が高い。検知の遅れが被害を桁違いに拡大させる——これが内部不正対策の核心です。
事案②：業務委託先の技術者による数千万件規模の漏洩
内部不正による情報漏洩の「原点」ともいえるのが、2014年に発覚した、国内大手教育サービス〇〇社の事案です。〇〇社が顧客データベースの運用を委託していた委託先の技術者が、約3,500万件にのぼる顧客情報を持ち出し、名簿業者に売却していました。漏洩件数は国内でも最大級とされ、社会に大きな衝撃を与えました。
手口：私物スマートフォンを経由したデータ転送
この技術者は、顧客データベースにアクセスできる正規の立場を悪用し、私物のスマートフォンを業務用PCに接続してデータを転送する手口で情報を持ち出していました。当時、多くの企業でUSBメモリ等への書き出し制御は意識されつつあったものの、スマートフォンをMTP/データ転送デバイスとして接続する経路までは想定・制御されていなかったことが、持ち出しを許す一因となりました。攻撃者は常に「制御されていない経路」を突いてきます。
影響：集団訴訟と多額の対応費用
この事案の影響は甚大でした。漏洩件数が国内最大級であったことに加え、多数の顧客が影響を受けたことから集団訴訟に発展し、企業はお詫びや補償を含む多額の対応費用を負担することになりました。金銭的損失にとどまらず、ブランドや顧客からの信頼への打撃も大きなものでした。
この事案が残した教訓
〇〇社の事案は、日本企業に委託先を含めた特権アクセス管理・外部デバイス制御・DLP（Data Loss Prevention／情報漏洩対策）の必要性を広く認識させる契機となりました。「自社の従業員」だけでなく、「委託先の要員」まで含めてアクセス権を設計・監視し、持ち出し経路を統制しなければ、大規模漏洩は防げない——この教訓は、10年近く経った今も色あせていません。むしろ、クラウドやリモートアクセスの普及により、統制すべき範囲はさらに広がっています。
なぜ内部不正は防げないのか——4つの構造的欠陥
上記2つの事案に共通するのは、いずれも「特殊な事故」ではなく、多くの組織が抱える構造的な欠陥が顕在化したものだという点です。内部不正が防げない背景には、典型的な4つの構造的欠陥があります。
1. 過剰な権限（最小権限の欠如）
委託先や運用担当者に、業務に必要な範囲を超えたアクセス権が付与されているケースが後を絶ちません。「運用を止めないため」「都度申請が面倒だから」といった理由で広範な権限が恒常的に付与され、本来アクセスすべきでないデータにまで手が届く状態になっています。最小権限の原則（Principle of Least Privilege）が守られていないと、不正の「機会」を自ら広げてしまうことになります。
2. 監視の欠如
誰が・いつ・何に・どれだけアクセスし、ダウンロードしたかのログが取得されていない、あるいは取得されていても監視・分析されていないケースです。ログは「取ること」自体が目的ではありません。事案①のように、大量ダウンロードや深夜の異常なアクセスを検知して初めて、ログは意味を持ちます。記録するだけで見ない運用は、実質的に監視がないのと変わりません。
3. 持ち出し経路の放置
USBメモリ等の外部媒体、私物端末の接続、個人向けクラウドストレージへのアップロード、メール添付による外部送信——これらデータの持ち出し経路が技術的に制御されていない状態です。事案②のスマートフォン接続のように、想定漏れの経路が一つでもあれば、そこが突破口になります。持ち出し経路は網羅的に洗い出し、原則として塞いだうえで、業務上必要な経路のみを承認・記録つきで開放する設計が求められます。
4. 委託先管理の甘さ
契約上のセキュリティ要件が曖昧で、要員の入退場やアカウントの発行・削除が委託先任せになっており、発注元による監査も行われていない——という状態です。「委託したから安心」ではなく、委託先の要員も自社のセキュリティ統制の対象として捉え、アカウントのライフサイクルとアクセス権を発注元が把握・管理する必要があります。事案①・②はいずれも「委託先・派遣要員」による不正であり、この欠陥が中心にありました。
内部脅威対策の実務——技術・管理・人の3側面
内部不正対策は、単一のツール導入で完結するものではありません。技術・管理・人という3つの側面から、多層的に「機会」を減らしていくアプローチが必要です。
技術：機会を物理的・論理的に減らす
- 最小権限（RBAC/ABAC）：役割ベース（RBAC）または属性ベース（ABAC）でアクセス権を設計し、業務に不要な権限を排除する。
- 特権アクセス管理（PAM）：管理者・保守担当などの特権IDを棚卸し・集中管理し、必要なときだけ権限を貸し出す（Just-In-Timeアクセス）。特権操作は記録する。
- アクセスログの記録と異常検知：大量ダウンロード・深夜アクセス・普段アクセスしないデータへの接触などをアラートとして検知する。
- 外部媒体制御・DLP：USB書き出しや私物端末接続を制御し、機微データの外部送信・アップロードを検知・ブロックする。
- ゼロトラストによるデバイス／条件付きアクセス：「誰が」だけでなく「どの端末から・どの条件で」アクセスしているかを都度検証し、未承認端末を排除する。
管理：ルールとプロセスで統制する
- 委託契約でのセキュリティ要件の明確化と監査：要求水準を契約に明記し、実際に遵守されているかを定期的に監査する。
- アカウントライフサイクル管理：入場時の適切なプロビジョニングと、退職・契約終了時の即時のアカウント無効化を確実に行う。
- 職務分掌：権限が一人に集中しないよう職務を分離し、相互牽制が働く体制をつくる。
- 定期的なアクセス権レビュー：付与済みの権限が今も必要かを定期的に棚卸しし、不要な権限を回収する。
人：動機と正当化に働きかける
- セキュリティ教育と倫理：情報の取り扱いルールと、不正が発覚した場合の帰結を継続的に教育する。
- 通報窓口：不審な行動に気づいた際に安心して報告できる内部通報の仕組みを整える。
- 過度な権限集中の回避：特定個人へのブラックボックス的な依存を避け、業務の属人化を解消する。
- 退職・契約終了プロセスの厳格化：退場時の権限回収・端末返却・データ削除の手順を定型化し、抜け漏れを防ぐ。
委託先・特権アクセスの最小権限化と可視化を実現しませんか
Net PeaceのKeyperとUPAS ZTAは、委託先・従業員のID統合管理、最小権限の実装、退職・契約終了時の確実なアカウント無効化、アクセス経路の完全可視化を一元的に支援します。まずは無料相談から。
KeyperとUPAS ZTAで実現する最小権限と可視化
Net Peaceは、内部不正対策の要となる「最小権限」と「可視化」を、2つの製品で実現します。
Keyper：IDと権限のライフサイクルを統合管理
Keyperは、FIDO2/パスキーベースのID・アクセス管理ソリューションです。委託先・従業員のIDを統合的に管理し、内部不正の「機会」を根本から減らします。
- 役割ベースの権限付与：役割（ロール）に応じて必要最小限のアクセス権のみを付与し、過剰権限を排除します。
- アクセス権の定期レビュー：付与済み権限の棚卸しを支援し、不要になった権限を確実に回収します。
- 退職・契約終了時の確実なアカウント無効化：アカウントのライフサイクルを一元管理し、退場時の無効化漏れ——事案①・②で問題となった点——を防ぎます。
- FIDO2認証による共有アカウント・なりすましの排除：フィッシング耐性の高いFIDO2認証で、共有IDの使い回しや他人へのなりすましを排除し、「誰の行為か」を確実に紐づけます。
UPAS ZTA：アクセスと持ち出し経路を完全可視化
UPAS ZTAは、IT資産管理とネットワークセキュリティ（ゼロトラスト）を実現するソリューションです。
- アクセスの完全可視化：誰が・どの端末で・どのシステムにアクセスしたかを可視化し、監視・監査の基盤を提供します。
- 未承認端末の接続遮断：私物端末など未承認のデバイスによるネットワーク接続を検知・遮断し、持ち出し経路を制御します。
- 持ち出し経路の統制：ネットワークレベルでのアクセス制御により、想定外の経路によるデータ持ち出しのリスクを低減します。
さらに、KeyperとUPAS ZTAを組み合わせることで、アクセスログの一元化による監査証跡の確保が可能になります。「誰が・いつ・どの端末で・何にアクセスしたか」を一貫して記録・可視化することで、事案①で欠けていた「早期検知」の仕組みを組織に実装できます。
内部不正は、正規の権限を悪用するがゆえに、外部攻撃対策だけでは防げません。だからこそ、最小権限・可視化・確実なアカウント管理という基本を、委託先まで含めて徹底することが不可欠です。Net Peaceでは、こうした内部脅威対策の設計から運用までを専門チームがご支援します。まずは無料相談からお気軽にお問い合わせください。