会社のセキュリティ教科書 第7部 7-11
内部不正対策のやり方｜IPAガイドラインの10の観点と状況的犯罪予防
公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太
こんなときに役立ちます
- 内部不正を防ぐ仕組みを作りたいとき
- 退職予定者が出て、顧客リストや図面の持ち出しが心配になったとき
- 取引先のチェックシートで、アクセス権の見直しや退職時の手続きを聞かれたとき
読み終えたあと、社内でこう言えます
「退職者のIDと広すぎる権限を洗い出し、直す順番を決めました」
結論：内部不正とは、役職員や元役職員が、重要な情報を持ち出す・漏らす・消すなどの不正をすることです。情報処理推進機構（IPA）の「組織における内部不正防止ガイドライン」は、違法とまでは言えない社内規程違反も内部不正に含めています。防ぐ考え方は、人の心を変えるより不正が起きにくい環境を作る「状況的犯罪予防」です。中小企業は、権限を絞る・記録を残して見る・退職の手順を決めるの3つから始めると、少ない手間で効果が出ます。仕組みは作って終わりではなく、年に1回は点検して直します。
内部不正とは？ガイドラインの定義と範囲
IPAのガイドライン（第5版、2022年4月）は、内部不正を次のように定めています。人の動機の話は不正のトライアングルの節で扱いました。この節は、会社として仕組みをどう回すかに絞ります。
| 項目 | ガイドラインでの範囲 |
|---|
| 誰が | 経営者・役員、従業員（契約社員を含む）、派遣社員など。辞めた人も含む |
| 何を | 重要情報や情報システムの窃取・持ち出し・漏えい・消去・破壊 |
| どこまで | 違法行為に加え、違法とまでは言えない社内規程違反も含む |
| いつ | 在職中に得た情報を退職後に漏らす行為も含む |
IPAの「情報セキュリティ10大脅威 2026」（2026年1月公表）の組織編では、「内部不正による情報漏えい等」が7位でした。外からの攻撃と違い、内部の人は正規の権限で情報に触れます。そのため、ファイアウォールのような外向きの対策だけでは防げません。
IPAガイドラインの10の観点とは？
ガイドラインの対策は、10の観点・33項目に整理されています。全部を一度にやる必要はありません。次の表の右の列は、社員100人以下の会社がまず手をつける所の例です。
| 観点 | まずやること（例） |
|---|
| 基本方針 | 社長が「内部不正を許さない」方針を出し、担当者を決める |
| 資産管理 | 重要情報を決めて区別し、見られる人を業務に必要な人だけにする |
| 物理的管理 | サーバーや書類の置き場を施錠する。私物のUSBメモリの持込を制限する |
| 技術・運用管理 | 共用IDをやめる。業務メールの個人アドレスへの自動転送を禁止する |
| 原因究明と証拠確保 | 重要情報へのアクセスの記録（ログ）を残し、定期的に見る |
| 人的管理 | 入社時・退職時の誓約書。教育で規程を周知する |
| コンプライアンス | 懲戒の対象になる行為を就業規則などに書いておく |
| 職場環境 | 公平な評価、長時間労働の是正、1人だけの作業を減らす |
| 事後対策 | 起きたときの連絡先と手順を決める。通報の窓口を作る |
| 組織の管理 | 年1回、対策が回っているかを点検する |
ガイドラインの付録には、33項目に答えて自社の状況を見る「内部不正チェックシート」（Excel）があります。表の観点は、状況的犯罪予防の5つの原則（やりにくくする・やると見つかる・割に合わない・その気にさせない・言い訳させない）を具体策に分けたものです。5原則の中身は不正のトライアングルの節の表にまとめています。
仕組みを回す3つの柱：権限・記録・1人にしない
規程を作っても、日々の運用がなければ形だけになります。ガイドラインの対策のうち、運用で効くものを3つの柱にまとめます。
- 権限を絞る（最小権限）：重要情報に触れる人を、業務に必要な最小限にします。異動や退職の連絡が人事から情報システムの担当に届く流れを作り、権限の付け外しの漏れを防ぎます。定期的に一覧を見直します。
- 記録を残して見る：重要情報へのアクセスや操作のログを残し、定期的に確認します。大量のダウンロードや業務外のファイルへのアクセスがあれば、事情を確かめます。ログは改ざんや削除ができない所に保管します。
- 1人にしない（職務の分離）：1人の管理者に権限を集めず、作業報告を残して互いに確かめます。夜間や休日の単独作業は、事前に理由を承認し、事後に内容を確認します。
ガイドラインは、ログを保存していることを社員に知らせると、不正の抑止に効くとしています。一方で保存期間は、抑止の観点から社員に知らせないことが望ましいとしています。ログが、無実の社員を守る証拠にもなることを合わせて伝えると、受け入れられやすくなります。
「同じ人が同じ業務を長く担当」は要注意
ガイドラインは、特定の人が特定の業務を長く担当している場合、配置転換を考えるよう勧めています。休みが取れない、長時間残業が続く状態も、業務量を見直す対象です。小さな会社で配置転換が難しければ、休暇中に別の人が代わりに業務を見るだけでも、隠れた不正や誤りに気づくきっかけになります。
入社から退職まで、いつ何をする？
内部不正の対策は、社員が会社にいる期間の節目ごとに決めておくと、抜けが減ります。
| 節目 | やること |
|---|
| 入社時 | 秘密保持の誓約書。社内ルールと通報窓口の説明。必要な権限だけを付ける |
| 異動時 | 前の部署の権限を外す。共有フォルダやクラウドの招待も見直す |
| 在職中 | 年1回の教育。ログの定期確認。権限の一覧の見直し |
| 退職が決まったら | アクセスしていた重要情報を確かめ、退職前のダウンロードや転送をログで見る |
| 最終日 | 貸与品と入館証の回収。全IDの停止を確認。退職時の誓約書 |
たとえば社員40人の人材紹介会社では（架空の例）
求職者と取引先企業の情報を、クラウドの顧客管理システムで扱う社員40人の会社を考えます。営業担当なら誰でも全件を一覧で出力でき、退職者のIDが半年残っていたことが分かりました。この会社なら、次の順に直します。
- 顧客管理システムの出力の権限を、管理職と担当者の自分の案件だけに絞る
- 人事が退職日を決めたら、その日のうちに管理担当へ連絡が届く手順を作る
- 大量出力の操作履歴を月1回見る係を決め、見たことを記録する
- 入社時と退職時の誓約書の書式を整え、対象の情報を具体的に書く
残っているIDの洗い出しはアカウントの棚卸し、ログの残し方はログの保存期間の答え方にまとめています。
起きたときに備える：証拠・通報・懲戒の決まり
内部不正は、外に知られにくく、社内で処理されがちです。だからこそ、起きる前に次の3つを決めておきます。
- 証拠を残す：ログや操作記録を消さずに保全する手順を決めます。調べ方は原因の切り分けと復旧の節で扱います。
- 通報の窓口：所属部門の上司以外に相談できる窓口を作り、通報した人が不利益を受けないようにします。公益通報者保護法では、常時使用する労働者が300人以下の事業者は、体制整備が努力義務です（第11条）。
- 懲戒の根拠：懲戒の対象になる行為を就業規則などに書いておきます。処分は規程と労働法令に沿って行う必要があり、個別の判断は弁護士や社会保険労務士に相談してください。
社員のメールや操作を見ることには、プライバシーへの配慮がいります。目的を決めて規程に書き、社員に知らせるのが基本です。詳しくは社員のモニタリングと労働関連の法律の節で扱います。
チェックシートではこう聞かれる
| よくある設問 | 答え方の例 |
|---|
| 重要情報へのアクセス権限は、業務上必要な者に限定していますか。 | はい。顧客情報の閲覧は担当部署に限り、半年に1回、権限の一覧を見直しています。 |
| 退職者のアカウントは速やかに削除していますか。 | はい。人事から退職日の連絡を受け、最終出社日にすべてのIDを停止し、停止を記録しています。 |
| 重要情報へのアクセスログを取得し、定期的に確認していますか。 | はい。クラウドの監査ログを1年保存し、月1回、大量の出力がないかを確認しています。 |
| 従業員から秘密保持の誓約書を取得していますか。 | いいえ。入社時の誓約書のみで、退職時は未取得です。〇月から退職時にも取得します。 |
委託先にも同じことを聞かれる場合は、委託先管理の答え方も参考にしてください。
試験ではここが問われる
SG・支援士・Security+ 5・CISSP 1
- 状況的犯罪予防の5原則：犯行を難しくする・捕まるリスクを高める・見返りを減らす・誘因を減らす・弁明をさせない。具体策がどれに当たるかが問われます（例：ログ取得の周知は「捕まるリスクを高める」）。
- 内部不正の範囲：違法行為に限らず社内規程違反も含み、退職後の漏えいも対象。
- 人的管理の用語：最小権限（least privilege）、職務の分離（separation of duties）、ジョブローテーション、強制休暇（mandatory vacation）。CISSPやSecurity+では英語で出ます。
- 退職時の手続き：アカウント停止、貸与品の回収、秘密保持の誓約。異動時の権限の見直しも同じ考え方です。
確認問題
問1 IPAの内部不正防止ガイドラインの5つの基本原則のうち、「重要情報へのアクセスログを取得していることを社員に周知する」が主に当たるものはどれですか。
- ア 犯行の見返りを減らす
- イ 捕まるリスクを高める
- ウ 犯行の誘因を減らす
- エ 犯行を難しくする
答えと解説
正解：イ 記録されていると知れば「やると見つかる」と感じ、抑止になります。アは暗号化などで盗んでも使えなくすること、ウは公平な評価など不正をする気にさせないこと、エは権限を絞るなどやりにくくすることです。
問2 社員35人の設計会社（架空）で、経理を10年以上1人が担当し、本人は休暇もほとんど取っていません。内部不正の防止の観点から、最も適切な対応はどれですか。
- ア 本人を信頼しているので、現状のままにする
- イ 経理システムの権限を全社員に広げ、誰でも確かめられるようにする
- ウ 休暇を取りやすくし、その間は別の人が業務を代わりに確かめる体制にする
- エ 本人に事前に知らせず、私物のスマートフォンの中身を調べる
答えと解説
正解：ウ 長期の単独担当と休暇が取れない状態は、ガイドラインも見直しの対象にしています。代わりの人が業務を見ることで、不正や誤りに気づけます。イは最小権限に反し、エはプライバシーの面で問題があり、規程にも基づいていません。
問3 IPAのガイドラインにおける「内部不正」の説明として、最も適切なものはどれですか。
- ア 刑事罰の対象になる行為だけを指す
- イ 外部の攻撃者が社員のIDを盗んで行う不正だけを指す
- ウ 違法行為に加え、社内規程違反のような不正も含み、退職後の漏えいも対象にする
- エ 誤操作による情報漏えいだけを指す
答えと解説
正解：ウ ガイドラインは、違法とまでは言えない規程違反も内部不正に含め、退職後に在職中の情報を漏らす行為も扱います。アは範囲が狭すぎます。イは外部からの攻撃で、エは不正ではなく過失の話です。
よくある質問
社員を疑うようで、内部不正対策を言い出しにくいです。
「社員を疑うため」ではなく「社員を守るため」と伝えると受け入れられやすくなります。記録があれば、事故が起きたときに無関係な社員の無実を示せます。IPAのガイドラインも、ログが従業員を守る証拠になる点を挙げています。
内部不正対策は、まず何から始めればよいですか？
退職者と異動者の権限を外す手順から始めるのがおすすめです。残ったIDは、元社員にも外部の攻撃者にも使われる入口になるためです。次に、重要情報へのアクセスログが残っているかを確かめます。
退職者に誓約書を出してもらえない場合はどうすればよいですか？
入社時の誓約書や就業規則の秘密保持の定めで、在職中の義務は示せます。退職時は、返却と削除の確認を記録に残すことが大事です。個別の対応や法的な効力は、弁護士に相談してください。
この記事のまとめ
- 内部不正は、違法行為だけでなく社内規程違反や退職後の漏えいも含む。
- IPAガイドラインの10の観点のうち、まず権限・記録・退職の手順から始める。
- ログは周知して抑止に使い、通報窓口と懲戒の決まりを起きる前に整える。
参考にした資料
- IPA「組織における内部不正防止ガイドライン」第5版（2022年4月）・内部不正チェックシート
- IPA「情報セキュリティ10大脅威 2026」（2026年1月）
- e-Gov法令検索「公益通報者保護法」第11条
- IPA「映像で知る情報セキュリティ」（「今、そこにある脅威 内部不正による情報流出のリスク」2024年3月）