情報漏えいとは、「保護するべき情報が外部に流出すること」です。また、情報漏えいにおける“情報”は、主に個人情報や顧客情報、機密情報などを指します。例えば、以下のような情報です。

個人情報	・氏名 ・年齢 ・連絡先 ・住所 ・生年月日 ・顔写真 ・パスポート番号 ・基礎年金番号 ・免許証番号 ・マイナンバー ・顔認証データ ・指紋認証データ　など
顧客情報	・顧客名簿 ・取引先情報 ・クレジットカード番号 ・問い合わせ履歴 ・購買履歴 ・アカウント情報　など
機密情報	・接客マニュアル ・設計図面 ・製造方法　など

また、公共性の高い情報として、行政機関が管理する情報（住民情報や国防に関わる情報など）も、漏えいしてはならない情報です。

現代社会ではデジタル化が進み、個人情報をはじめとした「漏洩させてはならない情報」に、デジタル情報も含まれるようになりました。これら情報が外部に漏えいした場合、個人の権限や利益、企業への信頼を喪失するリスクが高まります。

情報漏えいに関連する法律と規制

日本国内での個人情報漏えいに関しては、主に「個人情報保護法（正式名称：個人情報の保護に関する法律）」が適用されます。企業や組織は個人情報の適切な管理を行い、漏えいを防ぐ義務を定めたものです。2003年5月に制定された「個人情報保護法」は、2005年4月に全面施行され改正を重ねてきました。

例えば、個人情報の収集における利用目的の明示や、個人情報保管中の安全管理措置、個人情報を第三者へ提供する際の制限事項など、細かな規定があります。また、民間事業者から情報漏えいが発生した場合は、以下のように「漏えい等報告の義務化」が明示されています。

企業として、情報漏えいに対する法律や規制をしっかりと理解しておかなければなりません。情報漏えいは、企業において経済的損失や法的リスクを招く可能性も高いため、万全な情報漏えい対策が不可欠です。

※「個人情報保護法」の内容については、2024年11月時点のものです。

情報漏えいはなぜ起こるのでしょうか。ここでは、主な3つの原因について見ていきましょう。

外部からの情報漏えい

外部からの情報漏えいは、主にサイバー攻撃によって起こります。企業のデータベースやストレージなどに侵入され、データを盗まれてしまうなどが主な漏えいの原因です。例えば、以下のようなケースが挙げられます。

・ウイルス感染
・不正アクセス
・フィッシング詐欺
・セキュリティの脆弱性の悪用

東京商工リサーチの調べによると、ウイルス感染や不正アクセスは、2022年の情報漏えい・紛失事故原因の55.1％と最多です。サイバー攻撃は巧妙化し、クラウドサービスの脆弱性や、IoTデバイスを狙った攻撃も増えています。DX化により、外部からの侵入経路が増えているのです。また、BYOD（個人所有のデバイスの業務利用）の管理不備もリスクを高めます。そのため、企業は多層防御でセキュリティレベルを上げ、定期的な脆弱性チェックを行う必要があります。

人為的ミスによる情報漏えい

人為的ミスは過失による情報漏えいで、原因の中でも発生頻度が高く、再発も多く見られます。例えば、以下のようなケースが挙げられます。

・メールの誤送信
・データの紛失

誤った宛先へ機密情報を送信してしまったり、業務データを保存した書類やデバイスを紛失・破棄してしまったりするなど、人間のうっかりした行動が情報漏えいの原因になるのです。東京商工リサーチの調べでは、「誤表示・誤送信」が26％、「紛失・誤破棄」が15.1％という調査結果が出ています。

人為的ミスの防止は、組織全体で対策する必要があります。セキュリティに関する従業員教育を定期的に行い、一人ひとりが情報漏えいに対する意識を高めていかなければなりません。

内部不正による情報漏えい

内部不正とは、故意による情報の持ち出しや外部送信による情報漏えいです。東京商工リサーチでは、「盗難」による情報漏えいは3.0％との調査結果が出ています。従業員やパートナー企業などの内部関係者が、企業内の情報を意図的に持ち出すケースも少なくありません。例えば、機密データを転職先へ提供したり、競合他社へ個人情報を売ったりする内部不正が考えられます。

情報漏えいが発生した場合、どのようなことが起こるのでしょうか。ここでは、情報漏えいが企業に与える影響について見ていきましょう。

企業イメージとブランド価値の低下

情報漏えいの発生は、企業イメージの低下とブランド価値を損なう可能性があります。例えば、ステークホルダー（顧客や取引先など）からの信頼を失うと、取引先からの契約解除といった事態に発展することも否定できません。近年では、ニュースサイトやSNSを通じて、企業の評判が急速に損なわれることもあります。企業が受けたダメージの回復には時間がかかり、その間に競合他社に対する競争力を失うこともあるでしょう。

法的リスクと罰則

情報漏えいの規模や内容によっては、法的責任を問われるケースもあります。特に、個人情報に関しては、個人情報保護法に基づいた罰則として、行政指導が入る可能性もあるでしょう。損害を被った被害者らの集団起訴に発展することもあります。

顧客離れと利益損失

情報漏えいは、顧客との信頼関係を損なう可能性もあります。その結果、顧客離れを引き起こしてしまうかもしれません。個人情報が漏えいすれば、自社の顧客が競合他社へ乗り換えてしまうことも想定されます。企業イメージが悪くなると、新規顧客の獲得も難しくなるでしょう。離れていった顧客を取り戻すためには、企業イメージや信頼回復のためのマーケティング費用など、多額な活動費がかかり、大きな利益損失を招く可能性があります。

情報漏えいが発生すると、様々な損失を被ります。ここでは、主な経済的損失について見ていきましょう。

復旧コスト

情報漏えいが起こると、システムの復旧やデータ復元にコストがかかる可能性があります。クラウド環境や社内システムなど、復旧範囲が広ければ、対応に時間と費用が必要です。再発防止のための施策として、専門家によるセキュリティ診断や新しいソリューションの導入が必要になった場合は、新システムの構築に追加コストがかかります。情報漏えいの規模や原因によってコストは変動しますが、経済的な損失は免れません。

裁判費用や賠償金

仮に、情報漏えいが裁判に発展した場合、裁判費用や損害賠償金が企業の財務に影響を与えます。漏洩したデータと被害者の損害規模によって、賠償金が高額になることも考えられます。裁判が長引けば、裁判費用も増大するでしょう。

業務の停止や遅延による損失

情報漏えい発生時にシステムを停止し、業務遅延が発生することもあります。例えば、製品の生産ラインが止まれば、製造・出荷・納品が遅延します。また、顧客システムが停止した場合は、マーケティングなどの営業活動も停止して、企業収益の損失を招きます。停止期間が長期間に渡れば、取引先や顧客への影響も大きくなり、信頼性が低下することも考えられます。

情報漏えいによって企業が受ける影響は対外的なものだけではありません。ここでは、内部への影響についても見ていきましょう。

従業員の士気低下と離職リスク

情報漏えい発生は、従業員の士気に大きく影響する場合があります。特に、従業員の過失が原因で情報漏えいして批判を受ければ、従業員本人だけではなく、周りの従業員の業務に対するモチベーションが下がるリスクがあるのです。その結果、離職に繋がるケースもあります。組織全体に不安が広がり、業務に支障をきたしてしまうのです。

管理・監査負荷の増加

情報漏えい発生後の対応にて、管理体制やセキュリティポリシーの見直しなどを実行すると、従業員の業務負荷が増大する可能性もあります。例えば、定期的なセキュリティ監査や報告義務が課せられた場合です。通常業務の中でセキュリティポリシーを意識しながら業務を行い、報告書作成も行わなくてはなりません。管理者は、新しいポリシーに対してどのように対応すべきかといった問い合わせなどにもリソースが割かれるでしょう。

情報漏えいには様々な原因があることがわかりました。では、どのような対策が必要なのでしょうか。ここでは、情報漏えい防止の基本的な対策について見ていきましょう。

情報セキュリティポリシーの策定

情報セキュリティポリシーを企業内で策定しておくことで、組織全体が統一したルールのもとで情報管理を行えます。情報漏えいに繋がる脅威から企業資産を守るための、情報資産の分類やアクセス制御の基準、従業員の役割と責任、教育頻度などを明記することが大切です。総務省では、情報セキュリティポリシーの策定を推奨しています。

明確な指針を従業員の日常業務に適用し、セキュリティを意識した行動を取ることで、情報漏えいリスクを低減できます。情報セキュリティポリシーは定期的な見直しを行い、最新のセキュリティリスクに適応さることでセキュリティレベルを上げ続けることが大切です。

アクセス制御の強化

アクセス制御の強化により、不正アクセスなどによる情報漏えいを防ぎます。従業員がアクセスする業務システムやサーバー、クラウドサービスなどのアクセス権限を最小権限に制限することで、データ流出を防ぐのです。管理者アカウントについても、過剰に権限を付与しすぎないように注意しなければなりません。また、アクセスログを収集して監視することで、不正アクセスやシステム内での異常な行動を早期に検知できます。例えば、ゼロトラストモデルを取り入れることで、強固なアクセス制限の実現が可能です。

ゼロトラストについては、【「ゼロトラスト」の記事】にて解説していますので、あわせてご覧ください。

セキュリティ対策ソフトの導入

セキュリティ対策ソフトの導入は、企業内外からの情報漏えいに繋がるリスクを軽減するための基本的な手段です。セキュリティ対策ソフトは不正プログラムの侵入を検知する機能を持っており、ウイルスやマルウェアをリアルタイムで検出・駆除します。定期的なアップデートで最新のセキュリティを保つことが大切です。また、従来のセキュリティ対策ソフトでは対応できない不審な挙動の検知・監視などに、EDR（Endpoint Detection and Response）ツールを併用すると良いでしょう。

暗号化技術の導入

暗号化の技術は、仮にデータが流出した際にも第三者からのデータ閲覧を防ぎます。暗号化は、保存データや通信に導入することが大切です。保存データをAES暗号で保護すれば、不正アクセスやデバイスの紛失による情報漏えいリスクを低減できます。また、通信をSSL/TLSで暗号化することで、ネットワーク上でのデータ盗聴や改ざんを防ぐことができます。暗号化技術は、情報漏えいが起きた際の最後のセキュリティ対策として重要な役割を果たすものです。

従業員教育と意識向上

従業員教育によるセキュリティ意識の向上は、ヒューマンエラーによる情報漏えいを防ぐために不可欠なものです。例えば、フィッシング詐欺の手口をしっかりと理解していれば、不審なメールやリンクを開くことはありません。また、適切なパスワード管理の方法を教育することで、パスワードの使い回しの危険性も理解できます。パスワードの管理については、多要素認証の導入を前提に、その利便性と利用方法などを教育してもよいでしょう。従業員一人ひとりのセキュリティ意識を高めることが、情報漏えい対策にとって重要です。

多要素認証については、【「多要素認証」の記事】にて詳しく解説していますので、あわせてご覧ください。

仮に、情報漏えいが発生した際には何をしたらよいのでしょうか。ここでは、情報漏えい発生時の対処法について見ていきましょう。

アクセスの遮断

情報漏えいが生じた際、あるいはそのおそれがある場合には、初動としてアクセスの遮断をしましょう。例えば、社内システムへの不正アクセスを防ぐために、該当するPCやモバイルデバイス、ユーザーアカウントのアクセス権限を停止します。また、ネットワークを経由した新たな被害を防ぐために、外部からの通信を物理的（ネットワークケーブルを抜去するなど）、論理的（無線LANなどの通信機能をオフにするなど）に遮断します。情報が保存・保管されているストレージやサーバーを隔離し、サービスを停止するなどの手段も必要です。アクセス遮断の迅速な対応が、情報漏えいリスクを最小限に抑える鍵となります。加えて、情報漏えいが生じた時点から、システムやデバイスの不用意な操作は控え、アクセスログなどの証拠が消えないように配慮しましょう。

影響範囲の特定

アクセスを遮断したら、影響範囲を特定します。まず、流出した可能性のあるデータの種類や範囲を確認します。また、被害が及んだユーザーやシステム、関連デバイスの特定も進めます。システムログやアクセス履歴を徹底的に調査することが重要です。影響範囲の特定は、専門のセキュリティチームや外部のセキュリティベンダーと協力することで、調査の精度を高めることができるでしょう。

被害状況の評価と調査

影響範囲が特定できたら、被害状況の評価や調査を行います。影響を受けたデータの重要性や、漏えい経路・手段を明らかにするのです。調査は「5W1H（いつ、どこで、誰が、何を、なぜ、どうしたのか）」を基準に行うとスムーズです。調査結果を元に、法的な対処やリスクを評価し、今後の動きについて検討します。仮に、漏えいした情報が個人情報であれば、個人情報保護委員会への報告と本人への通知を行わなければならない場合もあります。報告義務があるのは、主に以下のような事案の場合です。

被害状況の評価と調査がいかに迅速に行えるかによって、データや業務環境の復旧速度も左右します。

関係者および顧客への迅速な通知と説明

情報漏えいの評価・調査の結果をもとに、影響がある顧客をはじめとしたステークホルダーへ正確な情報を報告しましょう。通知内容には、漏えいの事実と影響範囲、顧客へのリスクや今後の対策を明記してください。また、情報漏えいの規模によっては、個人情報保護委員会や監督機関への報告義務も課されますので、適切な対応をしましょう。

「漏えい等報告等の義務化」に沿った報告要件については、個人情報保護委員会事務局の「個人情報保護法改正に伴う漏えい等報告の義務化と対応について」を参考にしてください。

再発防止策の策定と実施

情報漏えいの原因を分析した上で、再発防止策を策定して実施します。例えば、以下のような再発防止策などが挙げられます。

・脆弱性を強化するためのセキュリティソフトの適用
・アクセス権限の見直し
・情報セキュリティポリシーの見直し
・従業員の再教育・研修

原因の分析に基づいた防止策を策定しましょう。第三者機関からのセキュリティ診断を受け、再発防止に必要なセキュリティ対策のアドバイスをもらい、改善精度を高めることも大切です。

また、情報漏えいによる被害者が出ている場合には、損害に対する補償などの措置を実施して、必要に応じた情報開示を行いましょう。

情報漏えいという言葉は、情報セキュリティの分野でよく使用される言葉です。中には、似たような意味を持つ用語も出てくるため、混同されることがあります。ここでは、特に混同されやすい以下の用語について見ていきましょう。

• プライバシー侵害
• 情報流出