内部不正とは組織関係者が自らの立場を悪用して、顧客情報や技術的な情報、財務情報などの機密情報を無断で流出・改ざん・削除などを行う不正行為です。仮に内部不正が原因で顧客情報や重要なデータが流出した場合は、企業の信頼性低下や損害賠償の支払いなど、今後の経営に多大な悪影響を及ぼします。
内部不正はどのような要因で起こるのでしょうか？本記事では、内部不正が発生する要因や手口、対策などを紹介します。セキュリティー対策の強化に取り組んでいる方は、最後までご覧ください。

上記3つの要素がどれか1つではなく、3つの要素が重なったときに危険性が増す点に注意が必要です。内部不正のリスクを低減させるには、アクセス権限や監視の強化、従業員のケアなどを行い、内部不正が発生しにくい職場環境を整備することが大切です。

人的要因とは不満や悩みなど、従業員の心理的な要因を指し、不正のトライアングルでは動機に該当する部分です。自身の待遇や業務内容、職場の人間関係など、勤務先への不満が大きくなるほど、内部不正が起こりやすくなります。

また、ミスの隠蔽や過酷なノルマを達成するためなど、職場環境が原因で内部不正に手を染めるケースも考えられます。

技術的要因とはアクセス権の過剰付与やパスワード管理の甘さ、監視体制の不十分など、内部不正を防ぐセキュリティー対策が十分に講じられていない状態を指します。不正のトライアングルでは、機会と正当化のどちらにも当てはまる要素です。

技術的要因は内部不正を防ぐうえで重要な要素です。仮に従業員が人的要因に該当する思考や感情に陥ったとしても、技術的要因が機能していれば内部不正を簡単に実行できません。

従業員が使わなくなったアカウントを放置していると、元従業員が機密情報を盗む際に悪用するおそれがあります。

内部不正を防ぐため、退職や出向などで利用しなくなった従業員のアカウント情報は、素早く削除することが重要です。

アクセス権限の過剰付与も内部不正が起こりやすい原因の1つです。職種や所属部署、役職の有無を問わず、社内のファイルやシステムへ自由にアクセスできる場合、動機が揃えば内部不正が起きる確率が高まります。

とくに在宅勤務を導入している企業の場合、オフィスワークと違って上司や先輩からの監視の目も届きません。動機が揃えば不正行為を起こしやすくなるため、注意が必要です。

従業員が機密情報を外部へ自由に持ち出せる状態の職場は、内部不正が起こりやすいといえます。従業員が機密情報が入ったファイルをUSBメモリやクラウドストレージなどへ保存し、外部に流出させる可能性も十分考えられるためです。

従業員が簡単に外部へ情報を持ち出さないよう、持ち出す際のルールを決めておく必要があります。

内部不正によって機密情報が流出すると顧客や取引先からの信頼を失い、今後の取引に多大な悪影響を及ぼします。顧客や取引先は「次は自社の情報が流出するのではないか」と不安を覚え、今後の取引に慎重な姿勢を見せるためです。

また、内部不正の発覚で企業イメージやブランドイメージも低下すると、新規顧客の獲得も難しくなり、収益減少が続く可能性が高まります。

過去の購買履歴や商談内容など、内部不正で顧客情報が流出すると、顧客から損害賠償金の支払いを命じられる可能性があります。

被害に遭った企業は民法709条または715条が適用され、機密情報を流出させた企業に対して損害賠償金の支払いを請求できるためです。
出典：e-Gov「民法709条」「民法715条 」

損害賠償金の相場は、流出した情報の内容や被害件数、二次被害の有無などによって判断されます。被害が大きい場合は数千万円以上の賠償金を支払う可能性が高まります。

また、上記に加えて訴訟費用や弁護士費用なども発生し、多額の損失によって企業経営が危うくなるおそれもあります。

内部不正が原因で従業員の氏名や住所、連絡先などの個人情報が流出すると、以下の被害が生じるおそれが高まります。

• 個人情報が別の犯罪に悪用される
• 個人情報が売買される
• 銀行口座やクレジットカードの情報が特定される
• 特殊詐欺のターゲットにされる
• スマートフォンやPCのアカウントが特定される

内部不正が発生した場合、「このまま勤務しても大丈夫なのか」と企業側の対応に不安を覚え、すぐに転職活動をはじめる従業員がいても不思議ではありません、

優れたスキルをもつ従業員が多数流出した場合は組織力が低下し、今後の企業経営に悪影響を及ぼします。

また、内部不正が原因で企業イメージも低下すると、求人を掲載しても新たに優秀な人材を採用するのは難しい状況です。最悪の場合は人材不足で通常業務を遂行できず、倒産に追い込まれる事態も想定されます。

内部不正が原因で従業員の個人情報が流出した場合、個人情報保護法第184条にもとづき、刑事罰として最大で1億円の罰金が科されるおそれがあります。
出典：e-GOV「個人情報保護法第184条」

また、顧客の個人情報が流出した場合は民事訴訟を起こされ、敗訴した際は多額の損害賠償金を支払う責任も生じます。内部不正の責任の一部は企業側にも問われるため、日頃からセキュリティー対策の強化に努めることが重要です。

内部対策を見直す際は上記5原則の内容や具体例を意識すると、あらゆる原因を想定した対策が講じられます。

各種ログデータの分析によって、従業員が情報流出につながる行動を取っていないか、把握できます。ログデータの主な種類と取得できる内容を以下の表にまとめました。

ログデータから不審な行動が発覚した場合、アクセス権の範囲見直しや外部への情報持ち出しの制限などを行い、内部不正を未然に防ぎます。また、各種ログデータの定期的な収集と分析を実施している旨を従業員へ周知すると、不正行為の抑止力を高められます。

内部不正を防ぐには個人や部署単位でアクセス権を付与し、業務に無関係のファイルは閲覧できないように設定しておくことが重要です。職種や役職の有無を問わず、閲覧可能なファイルが多いほど、内部不正が起こるリスクは高まります。

人事情報や会計情報などの機密情報は、限られた従業員にだけアクセス権を与え、閲覧・編集できる人数を限定しなければなりません。

また、機密情報を紙資料へ印刷し、一か所でまとめて保管している場合は入退室制限を設け、簡単にアクセスできない状態にする必要もあります。

内部不正の発生を減らすにはセキュリティー研修を実施し、従業員が機密情報を扱う際の意識を高める必要があります。優れたセキュリティー対策を講じても、従業員のITリテラシーや機密情報への意識が高まらない限り、内部不正のリスクは減りません。

内部不正の抑止力を高めるには、研修で情報漏えいが起きた際の企業や従業員への影響、機密情報の扱い方などを学ぶことが重要です。

また、セキュリティーに精通した人材が不在の場合は、セキュリティー研修の実績が豊富な企業の研修プログラムを利用するのがおすすめです。研修の企画・運営の手間を省けるだけでなく、豊富な知識をもつ講師が研修を担当するため、質の高い研修を受講できます。

内部不正の発生を防ぐには、情報の持ち出しを制限することも有効です。外部への持ち出しが自由にできる状態だと、従業員が不正行為を起こしやすくなります。

事前の申請や上司からの承認を義務付けるなど、情報を持ち出す際のルールを決めておくと、不正行為の抑止力を高められます。

また、DLPの導入も内部不正のリスクを減らせる有効な手段の1つです。DLP（Data Loss Prevention）とは、機密情報や重要なデータを監視するセキュリティーツールです。

印刷制限機能を搭載しており、機密情報が含まれたデータのコピーや印刷、画面キャプチャーなど、内部不正につながる行為を未然に防ぎます。

加えてメールセキュリティー機能によって、情報漏えいにつながる内容がメールに含まれる場合、メールの送信を中止します。