企業が備える内部不正と営業秘密流出、転職時リスク管理の実務策

SaaS時代に短時間化する技術流出

情報漏えいという言葉から、多くの企業は外部からのサイバー攻撃を連想します。しかし、事業上の痛手が大きいのは、社内の正規アカウントを持つ人物が、顧客情報、設計資料、ソースコード、価格表、営業リストを持ち出す内部不正です。本人に悪意がある場合だけでなく、ルールの理解不足や便利なクラウド利用が結果的に流出経路になることもあります。

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の7位に「内部不正による情報漏えい等」が入り、2016年以降で11年連続の選出となりました。順位だけを見ればランサム攻撃やサプライチェーン攻撃より下ですが、対策の難しさは別です。内部者は業務上の権限、文脈、ファイル名、保存場所を知っています。

特にSaaSやDXを前提に事業を回す企業では、情報資産が部門ごとのサーバールームではなく、GitHub、Google Workspace、Microsoft 365、Salesforce、Notion、Slack、各種BIツールへ分散します。成長途中のスタートアップほど役割が兼務され、少人数に強い権限が集まりやすい構造です。内部不正対策は、社員を疑う仕組みではなく、会社の競争力を守るための業務設計そのものになっています。

営業秘密を守る法的要件と現実の穴

営業秘密を守る三要件

企業が守りたい情報は、すべてが不正競争防止法上の「営業秘密」として保護されるわけではありません。経済産業省は、営業秘密に該当するには、有用性、秘密管理性、非公知性の3要件を満たす必要があると整理しています。研究開発データや製造ノウハウだけでなく、顧客リスト、仕入れ条件、販売予測、アルゴリズム、学習データ、プロダクトロードマップも対象になり得ますが、会社側が秘密として管理していたことを示せなければ、法的保護は弱くなります。

ここで多くの企業がつまずくのが「秘密管理性」です。ファイル名に「機密」と入れるだけでは十分とは言えません。誰が、どの情報に、どの目的でアクセスできるのかを定め、退職や異動で不要になった権限を外し、アクセス履歴を後から確認できる状態にしておく必要があります。紙の資料なら保管場所や閲覧制限、電子データならフォルダ権限、ダウンロード制限、ログ保存、持ち出し承認などが関わります。

e-Govに掲載されている不正競争防止法では、営業秘密侵害罪について、個人に対する懲役・罰金の規定があります。経済産業省の概要資料でも、営業秘密の侵害には民事上の差止めや損害賠償だけでなく、刑事罰や法人に対する罰金があり得ることが示されています。ただし、法制度は「漏れた後の武器」です。実務上は、漏れた情報が営業秘密だったと立証できる管理記録を、平時から残しているかが分かれ目になります。

規程だけでは足りない証拠設計

IPAの内部不正防止ガイドラインは、基本方針、資産管理、技術的管理、職場環境、事後対策など10の観点から、合計33項目の対策を示しています。2022年の第5版では、テレワーク、雇用流動化、法改正、監視技術の進展が反映されました。これは、内部不正が「情報システム部だけの仕事」ではなく、経営、法務、知財、人事、現場マネジメントを横断する課題だという整理です。

IPAが2023年に公表した企業調査では、内部不正リスクを優先度の高い経営課題として捉えられている回答は、ほぼ40%にとどまりました。また、個人情報以外の重要情報を特定する仕組みを持つ企業は半数未満で、中途退職者に対する秘密保持義務の実効性を高める対策も半数に達していませんでした。つまり、多くの企業は「守るべき情報が何か」「誰が責任者か」「退職時に何を確認するか」が曖昧なまま、クラウド上で情報を運用しています。

SaaS企業であれば、プロダクトの価値はコードだけではありません。解約理由の分析、商談ログ、問い合わせ履歴、料金改定シミュレーション、API利用状況、導入企業の業務フローも競争力の源泉です。DX支援会社であれば、顧客企業の業務課題や未公開プロジェクト情報を預かるため、自社情報と顧客情報が混在します。こうした情報を「個人情報ではないから後回し」と扱うと、営業秘密としての管理も、顧客との信頼も同時に傷つきます。

実効性のある対策は、規程作成と技術的制御を分けずに設計することです。秘密情報を分類し、分類ごとに保存場所、閲覧者、持ち出し可否、承認者、保存期間を決めます。次に、SaaSのグループ権限、DLP、CASB、端末管理、ログ監視へ落とし込みます。最後に、退職者や異動者の権限削除を人事イベントと連動させます。規程が運用に接続されて初めて、内部不正の抑止と発覚後の説明責任が両立します。

退職者と中途採用者で高まる内部不正

退職前後のアクセス変化という兆候

内部不正の典型的な場面は、退職や転職の前後です。退職予定者が「これまで自分が作った資料だから」「次の職場でも参考にしたいから」と考え、営業資料や設計情報を個人クラウドへ退避させる行動は、本人の認識以上に重大です。会社の資産である情報を、業務目的を離れて複製する行為は、懲戒、損害賠償、刑事事件につながり得ます。

海外の調査でも、退職者リスクは明確に表れています。Google Cloudの2026年版脅威レポートは、公開された法的資料に基づく悪意ある内部者1,002件の分析を取り上げ、データ持ち出しが909件で確認されたと紹介しています。そのうち在職中の持ち出しは771件、退職後は255件、在職中と退職後の双方にまたがるものは117件でした。さらに、持ち出しが起きた事案の35%では、メール、USB、クラウドなど複数経路が使われていました。

国内でも、5G関連情報をめぐるソフトバンクと楽天モバイルの訴訟は、転職時の営業秘密管理を象徴する事例です。2026年3月の東京地裁判決では、元社員に約250万円の支払いが命じられ、楽天モバイルへの請求は棄却されました。報道によれば、刑事裁判では元社員の有罪が2025年7月に最高裁で確定しています。民事で転職先企業の責任が否定された点も、採用側が必ずしも安全という意味ではありません。不正取得を知りながら、または重大な過失で知らずに利用すれば、転職先も責任を問われる余地があります。

退職者対策で重要なのは、最終出社日だけを見ることではありません。退職意思表示の前後から、通常業務では説明しにくい大量ダウンロード、深夜のアクセス、権限外フォルダの閲覧、共有設定の変更、個人メールへの送信、リポジトリの丸ごと複製、CRMの一括エクスポートを検知できるかが鍵です。NIST SP 800-171も、アカウント管理や最小権限の観点から、ユーザーの終了・異動時の通知、権限見直し、不要アカウントの無効化を求めています。

採用先にも及ぶ確認責任

人材流動化が進むほど、採用する側の責任も重くなります。中途入社者が前職資料を持ち込めば、短期的には仕事が速く進むように見えるかもしれません。しかし、それが前職の営業秘密であれば、新しい会社は訴訟、調査、顧客への説明、採用プロセスの見直しに追われます。成長優先のスタートアップでは、オンボーディング時に「成果を早く出してほしい」という圧力が強くなりがちですが、その圧力が不正な資料持ち込みを誘発する場合があります。

採用側は、入社時に前職の秘密情報を持ち込まない誓約を取り、業務用端末へ個人クラウドや私用USBを接続するルールを明確にする必要があります。入社直後の資料アップロード、過去企業名を含むファイル、異常に詳細な競合資料には、本人を責める前に確認プロセスを置くべきです。面接でも「前職の資料を見せられるか」ではなく、「前職の秘密情報に触れずに、どのように経験を再現できるか」を問うほうが健全です。

人事、法務、情報システムが分断されている企業では、退職予定者リスクが見落とされやすくなります。人事は退職日を知っていますが、SaaS権限の全体像を持っていないことがあります。情報システムはログを見られますが、誰が転職交渉中かを知りません。法務は秘密保持条項を整備できますが、実際にどのSaaSで外部共有が起きたかを把握できません。内部不正対策では、この3者が最小限の情報共有ルールを持つことが実務上の出発点です。

退職面談も、形式的な貸与品返却チェックで終わらせてはいけません。秘密保持義務、競業避止義務の範囲、個人端末や個人クラウドへの保存有無、紙資料の扱い、社外共有リンクの削除、GitHubの個人トークン、SlackやNotionのゲスト権限まで確認します。本人の尊厳を損なわない説明と、会社資産を守る確認を両立させることが、退職者対策の現実解です。

生成AIとクラウドが広げる新たな出口

内部不正や不注意による情報流出は、USBメモリやメール添付だけでは説明できなくなっています。Google Cloudは、悪意ある内部者の持ち出し経路として、企業管理のクラウド環境や個人管理のクラウドストレージの利用が拡大し、今後は主要な経路になる可能性を示しています。アクセス制御リストの設定ミスや過剰共有があると、退職後にも外部から情報へ到達できる場合があります。

OAuth連携も盲点です。社員が便利な外部アプリを業務アカウントに接続すると、そのアプリがメール、ファイル、カレンダー、CRMデータへ広い権限を持つことがあります。ログイン履歴に異常がなくても、トークン経由で大量のデータが抜かれる可能性があります。SaaS管理では、ユーザーIDだけでなく、外部アプリ、APIキー、個人アクセストークン、Webhook、共有リンクの棚卸しが必要です。

生成AIも新しい流出経路です。Verizonの2026年DBIR関連発表は、未承認の「シャドーAI」利用が増え、社員の頻繁なAIツール利用が1年で15%から45%に増加したと指摘しました。IBMの2026年データ侵害コスト報告も、AI関連リスクの上昇と、データ検出、分類、リアルタイム監視の重要性を示しています。会議録AI、要約ツール、コード支援AI、個人契約のチャットAIへ、顧客名や未公開仕様を入力すれば、悪意がなくても社外サービスへ情報を渡すことになります。

これからの対策は、「禁止」だけでは回りません。承認済みAIツールを用意し、入力禁止情報を定義し、DLPやプロキシで個人クラウドや未承認AIへの送信を制御します。同時に、なぜその情報が競争力を持つのかを社員が理解できる教育が必要です。便利なツールを使う現場の行動を前提に、どこまでを許可し、どこからを止めるかを設計する企業が、DXの速度と情報保護を両立できます。

経営層が直ちに点検すべき防衛線

内部不正対策は、監視ツールを入れれば終わる話ではありません。最初に決めるべきなのは、会社にとって失うと競争力が毀損する情報資産の一覧です。次に、その情報へアクセスできる人、SaaS、外部委託先、API、AIツールを棚卸しします。最後に、退職・異動・プロジェクト終了と連動して権限が閉じる仕組みを作ります。

優先順位は明確です。第一に、営業秘密の分類と秘密管理表示を整えます。第二に、退職予定者と中途採用者のチェックを人事・法務・情報システムで共通化します。第三に、SaaSの外部共有、個人クラウド、OAuth、APIキー、生成AI入力を定期監査します。第四に、ログを取るだけでなく、誰がいつ判断し、どの手順で証拠保全するかを決めます。

内部不正は、信頼の欠如ではなく、信頼を事業として維持するための管理課題です。社員が正しく働ける環境、転職者が前職情報に頼らず成果を出せるオンボーディング、顧客に説明できるログと規程を用意することが、クラウド時代の企業価値を守ります。経営層が見るべき指標は、セキュリティ製品の数ではなく、重要情報、権限、退職イベント、外部共有の4点が一つの台帳で追えるかどうかです。

参考資料:

• 情報セキュリティ10大脅威 2026｜IPA
• 組織における内部不正防止ガイドライン｜IPA
• 企業の内部不正防止体制に関する実態調査｜IPA
• テレワークを行う際のセキュリティ上の注意事項｜IPA
• 不正競争防止法｜経済産業省
• 営業秘密を守り活用する｜経済産業省
• 不正競争防止法｜e-Gov法令検索
• Cloud Threat Horizons Report H1 2026｜Google Cloud
• Cost of a Data Breach Report 2026｜IBM
• The Security Risk Organizations Should Not Ignore｜Ponemon Institute
• Vulnerability exploitation top breach entry point, 2026 DBIR finds｜Verizon
• New Edition of Common Sense Guide to Mitigating Insider Threats Released｜CMU SEI
• NIST SP 800-171 Rev. 3｜NIST
• 楽天モバイルへの請求棄却　ソフトバンク、営業秘密流出主張｜熊本日日新聞