退職前の社員は何を持ち出す？日本生命情報持ち出し事案から考える企業防衛と信用調査

30秒で分かるこのコラムの概要

• 情報持ち出しリスクは、退職者だけでなく出向者や取引先との情報共有でも発生する
• 持ち出されやすいのは、顧客情報や営業情報、商品情報など「他社ですぐ使える情報」
• 日本生命の事案では、出向者が銀行等から業績や販売方針、他社商品情報などを取得していた
• 情報漏えい対策は、退職時のPC回収だけではなく、アクセス権限やログ管理、教育まで含めて考える必要がある
• 自社だけを管理しても、取引先や提携先の管理体制が弱ければ情報漏えいリスクは残る
• 重要情報を共有する相手については、契約前に企業の信用や経営実態を確認する企業信用調査も有効

「社員が辞める」とき、本当に確認すべきものとは

社員が退職すると聞いたとき、多くの会社が最初に確認するのは、引き継ぎ、貸与PC、社員証、名刺、社用携帯、アカウントの停止などではないでしょうか。

しかし、企業防衛という視点で本当に確認すべきなのは、「会社から何を返してもらうか」だけではありません。

もっと重要なのは、「すでに何が社外へ持ち出されていないか」です。

情報は、紙の書類や備品とは性質が異なります。

顧客リストをコピーしても、会社のサーバーには元のファイルが残ります。営業資料を個人のクラウドへ保存しても、社内から資料そのものが消えるわけではありません。

つまり、情報は持ち出されても気づきにくいのです。

現在ではUSBメモリーだけでなく、個人メール、オンラインストレージ、クラウドサービス、スマートフォン、チャットツール、共有リンクなど、情報を社外へ移動させる手段も増えています。

そのため、退職日にPCを回収し、アカウントを停止すれば安全という考え方では、十分な企業防衛にはなりません。

重要なのは、社員が退職する瞬間ではなく、日常的に誰がどの情報へアクセスし、どこへ移動できる状態にあるのかを把握しておくことです。

退職前の社員が最初に持ち出すのは「次でも使える情報」

では、退職や転職を考えている社員が持ち出したくなる情報とは、どのようなものでしょうか。

実際に企業にとって警戒すべきなのは、「極秘」「社外秘」と大きく書かれた資料だけではありません。

むしろ注意したいのは、日常業務の中で当たり前のように使われている情報です。

たとえば顧客情報があります。

顧客名や連絡先だけでなく、契約内容、購入履歴、担当者、商談状況、予算、更新時期、過去の問い合わせ内容まで分かれば、転職先や独立後の営業活動ですぐに活用できます。

取引先情報も同様です。

仕入先、協力会社、代理店、外注先の担当者、価格条件、契約条件などが分かれば、新しい会社で同じ取引網を構築する際の時間を大きく短縮できます。

営業資料や提案書、見積基準、価格表、商品情報、営業ノウハウ、社内マニュアルなども、他社にとっては大きな価値を持つ可能性があります。

ここで問題になるのが、「会社の情報」と「自分の情報」の境界です。

長年担当してきた顧客を「自分の顧客」と感じる。

自分で作った提案資料を「自分の資料」と考える。

自分が集めた取引先の連絡先を「自分の人脈」だと思う。

しかし、業務として取得・蓄積した情報は、担当社員個人の所有物とは限りません。

本人の認識と企業側の情報管理ルールにずれがあると、悪意がなくても情報が外へ持ち出される可能性があります。

日本生命の事案が示した「社内と社外の境界」の難しさ

情報持ち出しリスクを考えるうえで注目したいのが、日本生命保険をめぐる事案です。

同社が公表した内容によると、銀行などに出向していた社員が、出向先における保険販売に関する情報などを不適切な形で取得していたことが判明しました。

参考記事：日本経済新聞
銀行出向者の情報漏洩、ニッセイ・ウェルス生命も　943件が判明

対象となった情報には、銀行等の保険販売に関する業績、販売方針、行員の業績評価基準、他の生命保険会社の商品に関する情報などが含まれていました。

この事案で考えるべきなのは、「退職者による情報持ち出し」だけが内部情報リスクではないということです。

社員が出向先で得た情報を、「自社の営業活動に役立つから」「業務上必要だから」と判断して自社へ持ち帰る場合もあります。

本人に強い悪意がなくても、情報の所有者や利用目的に対する認識が曖昧であれば、境界線を越えてしまうことがあります。

企業活動では、社員が常に自社の中だけで働くとは限りません。

出向、派遣、業務委託、共同プロジェクト、販売代理、システム連携など、企業をまたいだ仕事は珍しくありません。

その結果、「自社の情報」と「他社の情報」が同じ業務の中で扱われる場面が増えています。

だからこそ、単に「社外秘を持ち出してはいけない」と伝えるだけではなく、

誰の情報なのか。

何の目的で取得した情報なのか。

どこまで自社へ共有してよいのか。

誰に閲覧権限を与えてよいのか。

といったルールを明確にする必要があります。

「仕事のためだから」という判断がリスクになる

情報持ち出し事件という言葉から、多くの人は悪意のある社員を想像します。

しかし、企業防衛の現場では、必ずしもすべての情報持ち出しが「会社を困らせよう」という意図で起きるわけではありません。

「業務に必要だった」

「上司に報告した方がよいと思った」

「自社の商品開発に参考になると思った」

「以前から同じやり方をしていた」

こうした判断によって、他社の情報や、本来共有すべきではない情報が社内へ持ち込まれることもあります。

これは退職者の情報持ち出しにも共通します。

「退職後も担当していた顧客と連絡を取りたい」

「自分で作った資料だから持っていっても問題ない」

「転職後の参考として保存しておきたい」

本人にとっては軽い行為でも、会社にとっては営業秘密や個人情報の持ち出しになる可能性があります。

企業防衛で重要なのは、「悪意のある人間を見つけること」だけではありません。

普通の社員でも判断を誤る可能性があることを前提に、情報を持ち出しにくい仕組みをつくる必要があります。

退職日だけを管理しても遅い

企業では、退職者が決まると、人事部門や情報システム部門が退職日に合わせてさまざまな処理を行います。

PCの返却。

社員証の回収。

メールアカウントの停止。

社内システムへのアクセス停止。

クラウドサービスのID削除。

もちろん、これらは必要な対策です。

しかし、情報持ち出しを防止するという意味では、退職日だけを見るのでは不十分です。

情報を持ち出そうとする人がいる場合、退職当日に大量のデータをコピーするとは限りません。

退職を決意した数か月前から、必要な資料を少しずつ保存する可能性もあります。

普段からアクセスできる顧客データをダウンロードしていても、管理する側が異常として認識できなければ、そのまま見過ごされる可能性があります。

そのため企業には、日常的なアクセス管理が求められます。

「辞める社員だから監視する」という発想だけではなく、そもそも必要以上の情報へアクセスできない仕組みにしておくことが重要です。

企業が見直すべき5つの情報管理

まず確認したいのは、自社にとって守るべき情報が何なのかという点です。

顧客情報、取引先情報、価格情報、商品情報、営業資料、経営計画、技術情報、人事情報、財務情報など、企業によって重要情報は異なります。

すべてのファイルを同じ重要度で管理するのではなく、「外部に漏れた場合の影響」を考えて分類することが必要です。

次に、アクセス権限です。

全社員が閲覧できる共有フォルダに、本当に重要な顧客情報を置く必要があるでしょうか。

部署を異動した社員が、以前所属していた部署の資料をいつまでも閲覧できる状態になっていないでしょうか。

重要情報にアクセスできる人を必要最小限にすることは、基本的ですが効果の高い対策です。

三つ目は、持ち出し経路の確認です。

USBメモリーを禁止していても、個人メールへ添付できる状態であれば意味がありません。

クラウドストレージへのアップロード、外部への共有リンク発行、スマートフォンでの撮影、紙での印刷なども含めて考える必要があります。

四つ目は、ログ管理です。

大量のファイルを短期間でダウンロードしている。

普段アクセスしない顧客データへアクセスしている。

深夜や休日に重要情報を閲覧している。

大量に資料を印刷している。

こうした通常とは異なる動きがあった場合に、企業側が把握できる仕組みが重要です。

五つ目は、社員教育です。

システムで完全に情報持ち出しを防ぐことは困難です。

だからこそ、「どの情報を社外へ持ち出してはいけないのか」「出向先や取引先の情報をどこまで共有してよいのか」を具体的に説明する必要があります。

単に「情報管理を徹底してください」と伝えるだけではなく、実際に起きた事例を題材に教育することも有効です。

自社の管理だけを強化しても、情報漏えいは防げない

ここまで考えると、もう一つ重要な問題が見えてきます。

それは、情報を共有する相手企業の管理体制です。

現在の企業活動では、一社だけですべての業務を完結させるケースは多くありません。

システム開発を外部へ委託する。

顧客対応をコールセンターへ委託する。

販売を代理店へ任せる。

共同プロジェクトでデータを共有する。

コンサルティング会社へ経営情報を提供する。

こうした場面では、自社の重要情報が別の会社の管理下に置かれることになります。

自社でどれだけセキュリティ対策を強化していても、委託先や提携先の情報管理が弱ければ、そこが情報漏えいの入口になる可能性があります。

また、情報管理体制だけでなく、相手企業そのものの経営状況やコンプライアンス体制も確認する必要があります。

経営が不安定な企業。

短期間で代表者や所在地が頻繁に変わっている企業。

重大なトラブルや訴訟を抱えている企業。

企業実態や関係者が分かりにくい企業。

こうした相手に重要情報を渡す場合には、通常以上に慎重な判断が必要です。

企業信用調査は「取引して大丈夫か」を判断する材料

そこで企業防衛の一つとして検討したいのが、企業信用調査です。

企業信用調査というと、「倒産しそうかどうかを確認する調査」という印象を持つ人もいるかもしれません。

しかし、現在の取引リスクは財務状況だけでは判断できません。

経営実態、代表者や関係会社、過去のトラブル、訴訟、行政処分、反社会的勢力との関係、取引先からの評判など、さまざまな情報を組み合わせて判断する必要があります。

特に、

新規取引を開始するとき。

重要な業務を委託するとき。

販売代理店契約を締結するとき。

共同事業を始めるとき。

顧客情報や営業情報を共有するとき。

大口の契約を締結するとき。

こうした場面では、「契約条件が良いから」という理由だけで相手企業を選ぶのではなく、企業としての信用や背景を事前に確認することが重要です。

企業防衛リスクサービス株式会社では、企業の基本情報や信用情報、経営実態、関係者、過去のトラブルなどを確認する企業信用調査を案内しています。

公開情報だけでは確認しにくい事項も含め、取引判断に必要な情報を整理することで、企業がリスクを把握するための材料として活用できます。

企業信用調査は、情報漏えいを直接防ぐセキュリティシステムではありません。

しかし、「重要情報を渡す相手として本当に適切なのか」を契約前に確認することは、情報管理と同じくらい重要な企業防衛です。

情報漏えいは「発覚した日」に始まるわけではない

情報持ち出しが発覚すると、企業はさまざまな対応を迫られます。

社内調査。

顧客への連絡。

関係会社への説明。

行政機関への報告。

システムの見直し。

再発防止策の策定。

場合によっては、損害賠償や信用低下につながることもあります。

しかし、事件が始まったのは発覚した日ではありません。

社員に必要以上のアクセス権限を与えた日かもしれません。

情報管理ルールを曖昧にした日かもしれません。

他社の情報を扱う社員に十分な教育をしなかった日かもしれません。

そして、企業実態を十分に確認しないまま、取引先や委託先に重要情報を渡した日だった可能性もあります。

企業防衛で重要なのは、事故が起きた後に原因を追及することだけではありません。

事故が起こりにくい環境を、契約や情報共有の前からつくることです。

アクセス権限。

ログ管理。

持ち出し制御。

社員教育。

秘密保持契約。

そして、取引先や提携先を見極めるための企業信用調査。

これらを個別の対策として考えるのではなく、「重要な情報を、どの企業に、どの範囲まで預けるのか」という一つのリスク管理として捉える必要があります。

重要情報を渡す前に、取引先を確認する

取引を開始してから、「この会社は大丈夫だろうか」と調べるのでは遅い場合があります。

契約前。

業務委託前。

システム連携前。

顧客情報を共有する前。

共同事業を開始する前。

この段階で相手企業の実態や信用を確認しておくことが重要です。

自社の取引先や提携候補について、

「財務情報だけでは分からないリスクまで確認したい」

「企業の実態や経営背景を確認したい」

「重要な情報を共有する前に、相手企業の信用を確認したい」

「大きな契約を結ぶ前に第三者の調査を入れたい」

と考えている場合は、企業防衛リスクサービス株式会社の企業信用調査を活用することも一つの方法です。

企業防衛は、自社のセキュリティを強化するだけで完成するものではありません。

どの企業と取引するか。

どの企業に業務を任せるか。

どの企業と重要情報を共有するか。

その判断を契約前に慎重に行うことが、情報持ち出しや情報漏えいのリスクを抑える企業防衛につながります。