企業向けの情報漏洩対策7選！原因や発生後の対処法も解説

情報漏洩とは？

情報漏洩とは、企業が保有している機密情報などの重要なデータが外部に流出することを指します。

情報漏洩が起こる原因は、ウイルス感染や外部からの不正アクセスのほか、メールの誤送信やシステムの設定ミスなどの人為的ミスを筆頭に、さまざまです。

現代のビジネスシーンにおいてはパソコンなどのデジタル機器やネットワークが広く利用され、企業の機密情報や顧客データの取り扱いが容易になりました。しかし、便利になった反面、管理する情報量や情報を扱う人材が多くなり情報漏洩のリスクは増大しているのが現実です。

情報漏洩の主な原因

情報漏洩は、主に次のような原因で発生すると考えられています。

外部からの不正アクセスやウイルス感染
人為的なミス
意図的な内部不正

詳細について、それぞれ以下で解説します。

外部からの不正アクセスやウイルス感染

情報漏洩の原因として最も多いものは外部からの攻撃であり、具体的には不正アクセスやウイルス感染が含まれます。

株式会社東京商工リサーチ^※の調査によると、2022年に上場企業とその子会社で公表された情報漏洩・紛失事故の原因のうち、最も多かったのは「ウイルス感染・不正アクセス」（全体の55.1%）であり、半数以上を占めていることが分かりました。

※参考：個人情報漏えい・紛失事故 2年連続最多を更新 件数は165件、流出・紛失情報は592万人分 ～ 2022年「上場企業の個人情報漏えい・紛失事故」調査 ～ | TSRデータインサイト | 東京商工リサーチ

不正アクセスとは、企業とは関係がない第三者が企業のネットワークに不正に侵入することを指しています。偽のWebページにパスワードやIDなどを入力させて不正に取得した情報でネットワークに侵入したり、セキュリティの脆弱性を狙って侵入したりする方法が、主な不正アクセスの経路です。

ウイルス（コンピューターウイルス）は、パソコンに侵入しデータを破壊したり、個人情報を盗んだりする有害なプログラムで、Webサイトの閲覧やメールに添付されているファイルの開封などによって感染します。ウイルスに感染すると、パソコンの動作が遅くなる、IDやパスワードの変更通知が届く、警告のポップアップが頻繁に表示されるなどの傾向があります。

外部からの攻撃は大企業が狙われるイメージがありますが、近年では、よりセキュリティが脆弱な子会社や取引先企業を踏み台とした攻撃も増えており、企業規模や知名度を問わず、警戒しておく必要があります。

人為的なミス

誤操作や情報の紛失などの人為的なミスも、情報漏洩の原因の一つです。

人為的なミスには外部への機密情報の誤送信や、顧客の個人情報が保存されたUSBメモリやノートパソコンの紛失などが該当するでしょう。

人為的なミスによって情報が漏洩した場合は、ミスを犯した本人がすぐに気づけるケースは少なく、誤送信したメールの受信者からの連絡や、端末の紛失に気づくことよって発覚する場合が多いとされています。

意図的な内部不正

内部不正とは、企業内部者が意図的に情報を流出させる行為を指しています。

具体的な内部不正の例としては、業務を行う上で知った機密情報を許可なく公開する、企業の機密情報を不正に持ち出して売却するなどが主なものです。

内部不正は、現在も働いている社員によるものと、退職者によるものの2通りがあります。社員による内部不正は被害が出て初めて発覚するケースが多く、退職者による内部不正はアクセスした日時などを記録している、アクセスログによって発覚するケースが多いとされています。

情報漏洩が起こった後にとるべき対処法

万が一、情報漏洩が起こってしまった場合は、どのような対処法をとるべきなのでしょうか。具体的な対処法について解説します。

情報漏洩の内容や規模の把握

まずは、漏洩した情報の内容や規模を正確に把握しましょう。

どのような情報が漏洩したのか、どれくらいの量の情報が漏洩したのかなどの全体像を把握し、内容に応じて対策を検討する必要があります。自社が保有している情報だけが漏洩したのか、顧客の情報までも漏洩したのかによって、取るべき対策が変わってきます。

スムーズに漏洩した情報の内容を確認することで、二次被害を防止できる可能性も高まるため、できるだけ早く全体像を確認しましょう。

原因を特定する

情報漏洩の内容や規模を把握した後は、情報漏洩の原因も特定しましょう。

情報漏洩がどのようにして発生したのかを解明するために、情報の紛失や誤送信といった人為的なミス、不正アクセスやウイルス感染といった外部からの攻撃など、考えられるすべての原因を調査する必要があります。

原因の特定には時間と人材のリソースが必要になり、場合によっては通常業務に影響が及ぶ可能性もありますが、今後同じ原因での情報漏洩を再発防止するためにも確実に原因を特定しましょう。

二次被害の防止

原因の特定と並行して、二次被害を防止するための対策が必要です。

例えば、不正アクセスによってIDやパスワードが漏洩した場合、その情報をもとに社内サイトにログインされ、さらなる情報漏洩が発生するなどといった二次被害につながる恐れがあります。そのため、情報漏洩が発生した際は、二次被害が想定されるWebサービスを停止し、不正アクセスをブロックするなどの対処が必要となります。

二次被害を防止しないと被害が無限に拡大する可能性があり、損害賠償が発生する場合の規模も大きくなるため、現状を把握したら速やかに対策を講じましょう。

関係者への情報公開

情報漏洩によって個人情報が漏洩した場合、または漏洩した可能性がある場合は、状況によって個人情報保護委員会に報告を行う義務が生じます。
加えて、情報漏洩の被害を受けた顧客本人に対して通知する義務もあります。誠実な対応を心がけ、これ以上企業のイメージを低下させないようにしましょう。

また、自社の情報漏洩ではなく、取引先の情報漏洩によって、自社の顧客に影響が及ぶ可能性がある場合も情報公開を検討する必要があります。

自社Webサイトへのアクセスによるウイルス感染や、フィッシング詐欺による二次被害が考えられる場合は、プレスリリースなどを通じて広く情報公開することにより“早急な対応を行う企業である”という印象を与えることにつながります。

まとめ

◎製品名、会社名等は、各社の商標または登録商標です。