内部情報の漏洩対策

「情報漏洩対策」と一口に言っても、情報が出ていく経路はいくつかに分かれます。USBメモリ、メールの添付、クラウドストレージ、印刷、そして退職前後の持ち出し。経路によって、監視ソフトで記録として残せることと、記録だけでは防げないことがはっきり違います。この記事では、経路ごとに「残せる証跡」と「限界」を整理し、社内ルールと組み合わせる考え方を説明します。

1. まず、自社で起こりうる経路を書き出す

対策を選ぶ前に、実際に情報が出ていきそうな経路を洗い出します。製品を先に決めると、機能の有無だけを見て「これで防げる」と錯覚しやすくなります。一般的な経路は次の6つです。

外部媒体：USBメモリ、外付けHDD、SDカード、スマートフォンへのコピー
メールとWeb：添付ファイル、Webメール、フリーメール、チャットツール
クラウドストレージ：OneDrive、Google ドライブ、Dropbox などへのアップロード
印刷物：プリンター、複合機、FAX、複合機内に残る印刷データ
画面の撮影：スクリーンショット、スマートフォンでの写真撮影
退職・異動の前後：権限が残っている間にまとめてコピーする

書き出したら、それぞれについて「今は何も記録していないのか」「誰がいつ見たか分かるのか」を確認します。ここが空欄のまま対策製品を選ぶと、導入後に「見えない経路が残っている」状態になります。

2. 経路別に、記録でできること・できないこと

監視ソフトが残せるのは「操作の履歴」です。ファイルの中身や、持ち出した後の使われ方までは分かりません。経路ごとの得意・不得意を整理すると次のようになります。

経路	記録として残せること	記録だけでは防げないこと
外部媒体	接続と取り外しの時刻、コピー・移動されたファイル名、書き込みの許可・拒否の制御	私物のスマートフォンでの撮影、持ち出した後の利用
メール・Web	使用したアプリ、送信先のドメイン、添付の有無、閲覧したサイト	本文の内容、画像に写った文字、私的なWebメールの本文
クラウド	ブラウザでのアップロード操作、アクセスしたURL、時刻	同期クライアントによる自動同期（設定によっては記録されない）
印刷	印刷したアプリ、ファイル名、時刻、枚数	印刷物そのものの持ち出し、複合機内に残るデータ
画面	スクリーンショット、画面の閲覧・遠隔操作の履歴	スマートフォンでの撮影、画面を写した写真
退職前後	大量のコピーや削除の履歴、普段と違う操作の検知	退職の意思、持ち出したデータの使途

この表の右の列が残ることは、監視ソフトの欠点ではありません。監視は「起きたことを後から確かめられる」ようにする仕組みで、物理的な持ち出しや撮影は、入退室管理や端末の持ち込みルールと組み合わせて初めて塞げます。

3. 「検知」と「抑止」は別の対策

監視の機能は、大きく2つに分けて考えると整理しやすくなります。

検知：操作を記録し、後から確認できるようにする。業務を止めないので導入しやすい。
抑止：USBへの書き込みや特定のアプリの起動など、操作そのものを止める。事故は減るが、業務の手間は増える。

最初から全面禁止にすると、現場は「仕事ができない」と反発し、抜け道を探すようになります。たとえば外部媒体は「読み取りは許可、書き込みは申請制」、クラウドは「業務で必要なドメインだけ許可」というように、検知から始めて、必要性が確認できた範囲だけ抑止に移す進め方が現実的です。

4. 証跡を残すときに決めておくこと

記録を残すと決めたら、同時に次の4点を文書で決めておきます。ここが曖昧なまま運用すると、後から「なぜこの人だけ見たのか」と説明できなくなります。

保存期間：3か月、1年など。期間を過ぎた記録を自動で削除する設定も合わせて確認します。
閲覧できる人：管理者、人事、監査のどこまでか。閲覧自体のログが残る製品かを確認します。
記録する項目としない項目：全部を記録するのではなく、目的に必要な項目だけに絞ります。判断の材料は記録するもの・しないものにまとめています。
法令上の位置づけ：従業員の操作履歴は個人情報にあたります。利用目的の特定と通知の考え方は個人情報保護法と従業員監視で整理しています。

5. 退職・異動のタイミングで行うこと

持ち出しが起きやすいのは、権限が残っている退職直前の数日です。ここは監視の有無にかかわらず、手続きとして決めておくべき領域です。

人事と退職予定者の情報を共有し、該当期間の操作ログを確認する日を決めておく
アカウント停止、端末の返却、クラウドの権限削除を同じ日に行う
確認の対象は退職者だけに限定せず、手順として全員に同じ運用を適用する

「退職予定者だけを重点的に監視する」という運用は、目的外の利用と受け取られやすくなります。対象を人ではなく手続きで決めることが、社内の納得につながります。

6. 導入前に整えておく社内ルール

製品の設定より先に、社内の文書を整えます。監視は仕組みだけでは定着しません。

就業規則や情報セキュリティポリシーに、監視の目的と範囲を書く
入社時と運用変更時に通知し、必要に応じて同意を得る（文面の雛形は従業員への通知と同意にあります）
苦情や相談の窓口を決め、周知する
年1回など、定期的に見直す日を決める

よくある質問

USBメモリへの書き込みを禁止すれば、漏洩は防げますか

防げる範囲は限られます。書き込みを止めても、メールの添付、クラウドへのアップロード、画面の撮影といった経路は残るためです。経路ごとに対策を分けて考える必要があります。

監視すれば持ち出しは減りますか

「記録されている」こと自体が抑止になるという声はありますが、効果は運用次第です。目的と範囲を事前に説明し、実際に確認していることを伝えるほうが、機能を増やすより効果は安定します。

記録したデータは誰が見るべきですか

必要最小限の担当者に限定し、閲覧の履歴も残すことをお勧めします。全員が見られる状態にすると、目的外の利用が起きやすくなります。

退職した社員の端末を、後から確認できますか

端末とデータが残っていれば、保存期間内は確認できます。端末を初期化してしまった後は難しいため、返却から初期化までの手順を決めておく必要があります。