情報漏洩（漏えい）とは？リスクと企業で行うべき対策を解説！

情報漏洩（漏えい）に関する法律

情報漏洩、特に個人情報の漏洩については、2005年4月に施行された「個人情報保護法」により、ルールや罰則などが定められています。近年のデジタル化されたサービスの普及などに伴い、個人情報や検索履歴などの個人に関わるデータをサービスで使用する機会が増え、利便性が高まると同時に個人の利益損失につながる危険性も高まってきました。

そのため、個人情報保護法は2005年4月に施行されてから何度か改正が行われ、情報の取り扱いについても徐々に厳格化されています。2015年の改正では、個人情報を取り扱う全ての事業者に、入退室管理や個人データの盗難の防止などの物理的安全管理措置を講じることが義務付けられました。

ガイドラインでは、情報漏洩の防止の観点から、物理的安全措置について以下の項目を講じなければならないと明示されています。

※出典：個人情報の保護に関する法律についてのガイドライン｜個人情報保護委員会

漏洩（漏えい）しやすい情報

企業内で様々な情報を取り扱うなかで、特に外部要因／内部要因を問わず漏洩しやすい情報には、個人情報や顧客情報などはそれぞれ重複する部分もありますが、ここでは一般的に使用される用語として以下の3つを紹介します。

機密情報の漏洩（漏えい）

機密情報の漏洩が起きた場合は、自社の事業運営に大きな影響をもたらすリスクがあります。例えば、自社の営業戦略や自社で開発中の製品情報が流出してしまうと、他社から営業方法や発売予定の製品において先手を打たれたり、真似される可能性があるでしょう。また他社からは「情報セキュリティ対策が不十分な企業」として、信用を落とすことが考えられます。

個人情報や顧客情報の漏洩（漏えい）

従業員や顧客に関わる情報の漏洩が起きた場合は、自社だけでなく他社／顧客にも影響をもたらすリスクがあります。具体的には、個人情報や顧客情報が第三者に知られることで、無断で悪用され従業員や顧客にも被害が及び、従業員や顧客から損害賠償を請求されるリスクもあります。また顧客だけでなく社会からも信用を失うことで、会社の経営にも大きく影響を与えます。

情報漏洩（漏えい）が起きた際に行うべき対策

万が一、情報漏洩が起きた場合、企業は個人情報保護法に準じて迅速かつ適切に処理しなければなりません。情報漏洩への対応には、多くの従業員が対応業務に追われ、通常業務に支障をきたす可能性もあります。

しかし情報漏洩への対応を怠ると、事態のさらなる悪化にも繋がるため、どんな業務よりも最優先で対応しなければなりません。情報漏洩が起きた場合は、主に以下の内容を迅速かつ適切に対応することが大切です。

セキュリティソフトの導入・更新

情報漏洩の原因の一つとして、パソコンなどデジタル端末の不正動作により情報を窃取することを目的としたマルウェアとよばれるソフトウェアがあります。受信したメール内でのリンクや添付ファイル、企業のWebサイトや社内ネットワークへの不正なアクセスなどを通じて、不正に情報を取得したり悪意あるウィルスに感染させるといった手口です。

これらは、一見すると無害のように見えるリンクやファイルに偽装してる場合もあるため、日頃から注意しましょう。不正アクセスやマルウェアなどの対策には、パソコンなどデジタル端末へのセキュリティソフトの導入が有効です。また不正アクセスなどのサイバー攻撃は、年々手法が巧妙になっているため、セキュリティソフトを定期的に更新し、最新の状態にすることでセキュリティを維持できます。

メール誤送信を防止するための仕組化

情報漏洩の内部要因には、ヒューマンエラーが起因する場合も多くあります。例えば、「メールの宛先を誤って入力し無関係の相手に機密情報や個人情報を送信してしまう」といったケースです。メールの誤送信を防止するには、メール送信前に宛先の確認を目視だけで行うだけでは不十分です。

さらなる対策として、送信前に不備などがないかチェックしてアラートを出してくれる機能を活用し誤送信を防止する対策がおすすめです。重要なファイルを添付する時は、添付ファイルにパスワードを設定したり、スパムメールなどを防止するためにフィルタリング機能を設定するなども効果的です。

セキュリティに対する社内体制の強化

社内で情報を取り扱う端末には、パソコンをはじめ、スマホやタブレットなど持ち運び可能なものも含まれます。さらに外付けハードディスクやUSBメモリなどの記憶媒体もあります。情報漏洩を防止するには、これら端末の取り扱いや管理にも注意が必要です。

対策として、デジタル端末や機密情報などのデータへのアクセス権限を関係者のみ個別に割り当て、特定の人しか閲覧や操作ができない設定にすれば不特定多数の人がアクセスできないためセキュリティ対策になります。また企業が従業員に支給しているデジタル端末を遠隔操作でロックできるツールの導入や、社外に持ち出せる端末を限定するといった方法も、セキュリティ対策に繋がります。さらに、社内ネットワークへの不正なアクセスを防ぐために、通信を暗号化するなどの対策も有効です。

従業員への定期的なセキュリティ教育

情報漏洩はヒューマンエラーによって発生するケースが多くあります。これを防ぐには、日常から機密情報や顧客情報を取り扱う従業員一人ひとりのセキュリティに対する意識の向上も欠かせません。社内で情報セキュリティに関する研修を定期的に実施するなど、セキュリティ教育による全社的な意識の底上げに努めましょう。

オフィス／エリアごとの入室制御などの物理的対策

部外者による不法侵入などを通じた情報漏洩を防止するために、物理的なセキュリティ対策も必要です。不正侵入は社外だけでなく、社内の従業員や関係者によって行われる可能性もあります。そのため情報漏洩を防止するには、個人情報を保管している部屋などに特定の人物のみが入退室できるようにする対策も重要です。

具体的な方法としては、入退室管理システムの導入があります。入退室管理システムは、暗証番号やICカードなど鍵の代わりとなるデバイスを使ってドアの開閉を行います。Web管理ツールなどから特定の人物や利用可能な日時を細かく設定し、鍵の解錠権限も付与できるため、セキュリティを強化したいエリアごとに入退室の制御ができます。

またオートロック機能を活用することで、ドアが閉じると自動的に施錠されるため、鍵の閉め忘れ防止にもなり、不法侵入されるリスクが軽減されます。ほかにも、入退室のデータが履歴／ログで記録されるため「いつ」「どこで」「だれが」入退室したかをWeb管理ツールや専用アプリですぐに確認できます。

万が一、情報漏洩が起きた場合も、入退室履歴のデータを活用してその場に誰がいたのかスムーズに特定できるとともに、不正な情報窃取への抑止力にもなるでしょう。

金融機関並みのセキュリティを実現

Akerunには金融機関でも使われている、高度な通信暗号化システムを採用しています。また、ドアを開閉した際に一度使用した通信信号は二度と使用しない、といった高度なセキュリティを実現する特許も取得するなど、オフィス内のセキュリティレベルが高いエリアでも、安全性の高い入退室管理システムとして利用できます。

定期的なアップデート

Akerunの機能は、クラウドサービスとして提供されるため、使用されているソフトウェアのメンテナンスや更新が提供企業側で定期的に行われます。利用者自身で行わず自動で常に最新の状態で使用できるため、安心して継続利用できます。

また、第三者機関によるセキュリティチェックも定期的に行っているため、一定のセキュリティレベルを維持しているのも特徴です。専門の情報システム担当者がいない企業でも、円滑かつ簡単に運用が可能で、ISMSやPマークの取得にも貢献するセキュリティ対策の一つとも言えるでしょう。

APIを使って勤怠管理システムと連携も可能

APIを使って入退室履歴のデータを他の業務システムやクラウドサービスに利用できる点も、Akerunのメリットです。例えば、クラウド型の勤怠管理システムとの連携により、Akerunの入退室履歴のデータを勤怠管理システムの打刻情報として自動連携できるため、労務管理や給与計算業務を効率化できます。

他にも、Akerunは会員管理システムや決算システム、受付システムなど、バックオフィスで利用される様々なシステムとも連携可能です。セキュリティ対策とバックオフィス業務の効率化を同時に実現することで、企業の様々な課題解決に貢献します。