機密情報が漏洩した場合に企業やそのビジネスに及ぶ影響は、大きく次の3種類です。

目立つのは経済的な打撃ですが、「情報管理ができていない組織」と見られてしまうという信用面でのダメージや、法的に罪を問われる可能性さえあります。

さらに言えば、そうした影響が尾を引いて経営状態が悪化し、最終的に経営破綻に至ることもあり得るでしょう。

そういった大きな不利益につながる機密情報漏洩ですが、実は、それを完全に防ぐ手立てはありません。

しかし同時に、完全には防げないとしても、できる限りの対策を講じておく必要があります。
事実、基本的な対策を講じてさえいれば防げたケースも少なくないのです。

そこで本記事では、機密情報が漏洩したと判明すれば懸念せざるを得ない影響範囲と、防止のために講じておくべき対策について解説します。

この記事でわかること

事例もご紹介し、機密情報漏洩の潜在的リスク、漏洩対策の重要性を深く理解できる内容となっていますので、ただ理解できるだけでなく、今後の情報漏洩対策に対する向き合い方もきっと変化するはずです。

ぜひ最後までお読みいただき、機密情報漏洩が起きてしまった場合の影響の把握とともに、機密情報漏洩を防ぐために今できることの実践にお役立てください。

機密情報（特許出願前の発明情報、設計図面、企画書、営業秘密、顧客情報等）が漏洩した場合に、企業やそのビジネスに及ぶ可能性の高い影響は、大きく下記の3つです。

これらの影響により、短期的な損害が経営を圧迫するにとどまらず、長期的な収益悪化につながって経営不振に陥る可能性もあることを念頭に置きながら、それぞれについて以下で確認していきましょう。

1-1. 多大なコストの負担や利益の喪失

機密情報の漏洩により、多大なコスト負担や利益喪失が発生する可能性があります。

機密情報漏洩は企業にとっての事故であり、事故が起きれば何らかの対処が必要です。そして状況が回復するまでは通常通りの営業が困難なケースが多いからです。

機密情報漏洩という緊急事態が起これば、平時には不要なコストが発生するほか、本来であれば得られたはずの利益も逸失してしまうということです。

1-2. 法的処罰や損害賠償請求

機密情報の漏洩により、（主に個人が）法的処罰を受けたり、（主に事業者側が）損害賠償を請求されたりする可能性があります。

（法的処罰や損害賠償の内容については、次章「2. 機密情報が漏洩した場合に企業・個人が問われる可能性のある罪や責任」で詳しく解説しています）

機密情報の漏洩に多く見られる「悪用するために盗むケース」は刑事罰の対象となり、自社だけでなく取引先や提携先などにまで損害が及んだ場合には、漏洩させた事業者が損害賠償を求められるためです。

損害賠償金額は基本的に損害の規模に比例しますので、漏洩やそれに起因する被害の規模によっては経営を圧迫します。

なお、国家の安全保障に関わってくるような種類の機密情報（外交、防衛、スパイ・テロ防止等の分野の情報）が漏洩した場合は、たとえ故意ではなく過失によるものであっても刑事罰を免れません。

機密情報の漏洩は企業にとっての損失であるのはもちろんですが、同時に法的・社会的な責任も問われるのです。

1-3. 社会的信用の失墜

機密情報の漏洩により、社会的信用が失墜する可能性があります。

社外秘とすべき情報を漏洩させたという事実は、周囲の「組織としての情報管理体制に問題がある」「情報セキュリティ意識が希薄」といった認識につながるからです。

個人レベルで喩えるならば、「チームが一丸となって立案したプロジェクトの企画書が、◯◯さん宅から盗まれた。机の上に置いてあったのを、開け放した窓から盗まれたらしい」といったところでしょうか。

機密情報漏洩による社会的信用の失墜は、たとえ契約打ち切りや取引停止などにつながらなかったとしても、信用で成り立つビジネスにおける大きな損失といえます。

機密情報が漏洩した場合の影響は前章で挙げた通りですが、漏洩に関わった企業や個人はどういった罪や責任が問われるのでしょうか。

問われる可能性のある法的な罪や民事上の責任は、次のようなものがあります。

［参照］刑法第二百三十五条、刑法第二百五十三条、刑法第二百四十七条、不正アクセス行為の禁止等に関する法律、不正競争防止法

機密情報漏洩により生じるさまざまな不利益を把握できたところで、本章では、過去に起きた機密情報漏洩の事例として、下記の3つの事件をご紹介します。

機密情報の漏洩はどのようにして起こるのか、起こるとどういった顛末となり得るのかといったことをイメージしやすくするためのご参考となさってください。

3-1. 大手IT企業の政府機関関連情報漏洩事件

大手IT企業A社の保有していた政府機関に関連する情報が流出した事件（2021年5月）がありました。

【事件概要】
A社が提供・運営するデータ共有ツールが外部からの不正アクセスを受け、同ツールを使って同社とプロジェクトを進めていた多くの官公庁や企業の機密情報が流出しました。

国交省や外務省、総務省、国立印刷局といった政府機関や成田国際空港などのほか、被害有無確認を関係者に注意喚起した内閣サイバーセキュリティセンター（NISC）自体も被害に遭っていると判明。

被害組織数は143と発表されていますが、判明していないものも含めれば、実際にはもっと多くの組織が被害に遭っている可能性が高いと考えられています。

【顛末】
問題となったデータ共有ツールには複数の脆弱性があったこと、多要素認証*を実装していなかったこと、ログ収集の機能が不十分であったことなどを踏まえ、事件発覚から約半年後に運用が停止されました。

さらにその後も、同社の法人向けネットワークサービスを利用していた1,700社あまりの企業や政府機関の情報が、サイバー攻撃により複数回にわたり流出。総務省より行政指導が行われるに至りました。

3-2. 大手総合電機メーカーの研究データ漏洩事件

大手総合電機メーカーB社の研究データが漏洩した事件（2014年3月）がありました。

【事件概要】
B社とNAND型フラッシュメモリ事業で提携するC社の元社員が、B社の営業秘密に当たる技術情報をUSBメモリで持ち出しました。

海外半導体メーカーD社へ転職するタイミングでの情報窃取で、同元社員は転職先であるD社で同情報を開示しました。

【顛末】
C社の元社員は逮捕され、極めて悪質な営業秘密の開示であるとして、懲役5年、罰金300万円の判決が下されました。

さらに、B社とC社の両者が、D社に対し民事訴訟を提起し、最終的に2億7800万米ドルが和解金としてB社に支払われました。

3-3. 家電量販店の営業秘密漏洩事件

家電量販店E社の営業秘密が漏洩した事件（2013年10月〜2014年1月）がありました。

【事件概要】
E社の元管理職が、住宅リフォーム事業の営業秘密（取引先リスト、見積書、契約書、原価表、業務マニュアル等）数万件を不正に持ち出しました。

同元管理職は、2013年12月月末にE社を退職し、翌2014年1月に同じく家電量販店であるF社に入社。
転職前にデータを不正に持ち出しただけでなく、転職後もパソコンを遠隔操作して窃取していました。

転職先であるF社で住宅リフォーム事業を立ち上げるに当たり、それらの情報を利用したと見られています。

【顛末】
E社は、元管理職とF社を刑事告訴し、元管理職が懲役2年（執行猶予3年）、罰金100万円の判決を受けた一方、F社は最終的に不起訴処分となりました。

前述したような機密情報漏洩事件の原因は複数ありますが、内部要因と外部要因の2種類に大別され、実際に発生している漏洩事件の原因の大半を占めているのが次の2つです。

言い換えれば、上記2つの要因に対策すれば、かなりの漏洩リスク低減効果を得られるということですので、ぜひ押さえておきたいところです。

以下でそれぞれについて解説しますので、ご参考になさってください。

4-1. 内部要因｜社内関係者による不正持ち出し

実際に起きた機密情報漏洩の原因となっている内部要因は、大半が社内関係者による不正持ち出しです。

個人情報も機密情報の一種ではありますが、個人情報とそれ以外の社外秘情報を分けて考えた場合、

「ノートパソコンを電車内に置き忘れた」
「メールを誤送信した」

といった人為的ミスにより起きるケースよりも意図的な持ち出しによるケースが多いことが機密情報漏洩の特徴であり、個人情報漏洩との相違点といえます。

（ただし、設定ミスによりサーバー上のデータが外部からの閲覧可能な状態になっていたというような種類の人為的ミスが原因の事例は、実際に起きています）

あくまで推測の域を出ませんが、

など、管理体制が厳格である場合が多いという事情が、意図的な内部不正が主要原因となっていることの背景としてあると考えられます。

事実、不正持ち出しに代表される営業秘密侵害事犯の相談受理件数・検挙事件数はともに高い水準での推移を続けており、増加傾向にある状況です。

【過去 10年における営業秘密侵害事犯の検挙事件数の推移】

［出典］令和5年における生活経済事犯の検挙状況等について（警察庁生活安全局）

【過去10年における営業秘密侵害事犯に関する相談受理件数の推移】

［出典］令和5年における生活経済事犯の検挙状況等について（警察庁生活安全局）

不正持ち出しで特に多く見られるのが、転職・独立時に機密情報を持ち出すというケースです。

4-2. 外部要因｜標的型攻撃

機密情報漏洩の原因として目立つ外部要因は、特定の個人や組織を狙った標的型攻撃です。

特許出願前の発明情報や、開発中の技術に関するデータなど、明確なターゲットに向けてサイバー攻撃が仕掛けられることが多いのは、企業の虎の子である機密情報だからこそといえます。

ただし、そうして不正に得た機密情報は、直接的にビジネスに活用されるとは限らず、一種の嫌がらせとして行われるケースもあります。

いずれにせよ、被害を受けた側の企業は、長年の研究開発の成果を収穫直前にかすめ取られたようなもので、短期的な経済的打撃にとどまらず、長期的なビジネス戦略にも影響が及ぶことも多いでしょう。

機密情報漏洩の主要原因は前述の通り明らかですから、その原因に対して講じられる限りの対策を全力で講じるべきです。

やろうと思えばできたことをしていなかったばかりに起こってしまった機密情報漏洩事件が数多くある以上、打てる手を全て打っておくことの重要性は揺るぎません。

一方で、現実問題として、機密情報漏洩を防ぐためにどれだけ対策を講じても漏洩の可能性をゼロにすることは不可能で、その困難さは個人情報漏洩対策以上です。

なぜなら、人為的ミスによる発生の割合が低く、意図的に窃取されるケースが大半である以上、どれほど物理的な対策を講じたところで消すことのできない「悪意」が存在しているといえるからです。

でもだからこそ、90％の防御率を99％まで上げるために、考えられるては全て打っておく必要があります。

次章から、機密情報の漏洩を防ぐための対策をご紹介しますので、「うちの情報セキュリティ対策に足りていないのはどれか？」という目線でご参考になさってください。

機密情報の漏洩につながる内部および外部の要因に対する対策には、それぞれ以下のようなものがあります。

「必須」となっている対策から取り組み、その他の対策については基本的に上から順番に実施するようにします。

上記の各対策についてより詳しく知りたい方は、「情報漏洩 対策」をご参照ください。

機密情報漏洩を防ぐための各種対策には前章で挙げたようなものがありますが、より確実に漏洩リスクを低減させたいのであれば、システムの導入がおすすめです。

なぜなら、ソフトウェアやシステムは「人の手で行ってきたこと」を自動化する各種機能を備えており、安全性を高めるための対応が漏れてしまうリスクが最小限となるからです。

また、自動で実行されるということは、その分の手間が省けるということでもあります。

搭載されている機能は製品ごとに異なりますが、次のようなものが挙げられます。

*マルウェア：コンピュータやプログラムに有害な動作を行わせる意図で作成された、悪意あるソフトウェアやコードのこと

人の手で行う場合と、ソフトウェアやシステムの側で自動的に実行される環境を整えた場合を比較すると、たとえば下表のようになります。

複数の機能を幅広く備えたソリューションとして提供されているタイプもありますので、自社に必要な機能や、どの程度カバーしてほしいかといった点を考えて、どれにすべきかを見極めましょう。

▼機密情報が漏洩した場合に企業やビジネスに及ぶ影響は下記の3つ

▼機密情報が漏洩した場合に企業・個人が問われる可能性のある罪や責任は下記の通り

▼実際に起きた機密漏洩事故の原因の多くを占めるのは、下記の2つ

▼機密情報の漏洩につながる内部および外部の要因に対する対策には、それぞれ以下のようなものがある

本記事が、機密情報漏洩についての理解、そして貴社の機密情報漏洩対策に役立ちましたら幸いです。