情報漏洩はなぜ起こるのか？原因ランキングと企業が今すぐ取るべき対策
企業の情報漏洩事故が止まらない。2024年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は189件で、2012年の調査開始以降、4年連続で最多を更新しています。
さらに深刻なのは、約3日に1回のペースでセキュリティインシデントが発生しており、年間の個人情報漏洩件数は約2,164万件にのぼるという現実です。この数字は、日本の人口の約6分の1にあたります。
「うちの会社は大丈夫」と考えているかもしれません。しかし、情報漏洩は大企業だけの問題ではありません。むしろ、セキュリティ対策が手薄な中小企業こそ、サイバー攻撃の格好の標的となっています。
この記事では、東京商工リサーチが2025年1月に公表した最新調査をもとに、情報漏洩が起こる本質的な原因を明らかにします。さらに、具体的な事例と実践的な対策を通じて、明日から実行できる防止策をお伝えします。
情報漏洩とは何か――定義と対象となる情報
情報漏洩とは、企業や組織が保管・管理している機密情報や個人情報が、意図せず外部に流出してしまう、あるいは不正なアクセスによって第三者の手に渡ってしまうことを指します。
では、具体的にどのような情報が「漏洩してはならない情報」なのでしょうか。対象となるのは大きく分けて2つです。
個人情報は、氏名、住所、電話番号、メールアドレスといった基本的な連絡先情報から、マイナンバー、クレジットカード番号、病歴、購買履歴まで、個人を特定できる、あるいは個人に関連するあらゆる情報を含みます。2017年の個人情報保護法改正により、運転免許証番号や旅券番号、顔認証データや指紋といった生体情報も「個人識別符号」として明確に個人情報に含まれることになりました。
営業秘密は、不正競争防止法で定義される「秘密として管理されていて、技術上または営業上の情報であり、公開されていない情報」を指します。具体的には、顧客名簿、販売戦略、製造技術、研究開発データ、ノウハウなど、企業の競争力の源泉となる情報です。
これらの情報が一度でも外部に漏れれば、取り返しのつかない事態を招きます。なぜなら、デジタル情報は瞬時にコピーされ、インターネット上で拡散すると完全な削除は事実上不可能だからです。
情報漏洩が企業にもたらす3つの致命的リスク
情報漏洩は単なる「事故」では済まされません。企業の存続そのものを脅かす深刻なリスクを伴います。
社会的信用の失墜と顧客離れ
情報漏洩のニュースは瞬く間に広がります。SNSでの拡散、メディア報道、口コミを通じて、企業のブランドイメージは一夜にして地に落ちます。
長年かけて築き上げてきた信頼関係が崩れ、既存顧客が離れていくだけでなく、新規顧客の獲得も困難になります。競合他社への顧客流出は、売上の急激な減少に直結します。
とりわけ金融機関、医療機関、教育機関など、個人情報を大量に扱う業種では、一度の漏洩事故が致命傷になりかねません。
損害賠償と訴訟リスク
情報漏洩が発生すると、企業は被害者に対して損害賠償責任を負います。
判例を見ると、基本的な個人情報(氏名、住所、電話番号など)の漏洩であっても、被害者1人あたり3,000円から6,000円程度の慰謝料が認められています。これが数千人、数万人規模になれば、賠償額は数千万円から億単位に膨れ上がります。
2014年のベネッセコーポレーションの事件では、裁判所が原告約5,000人のうち3,338人への賠償金、総額1,100万円の支払いを命じました。さらに、病歴や信用情報といったセンシティブな情報が漏洩した場合、賠償額は1人あたり1万円以上に跳ね上がります。
賠償金だけではありません。訴訟対応のための弁護士費用、調査費用、システム復旧費用、被害者への謝罪対応にかかる人件費など、間接的なコストも莫大です。
事業継続への深刻な影響
ランサムウェア攻撃を受けた場合、システムが暗号化されて業務が完全にストップします。その間、売上はゼロになり、従業員は仕事ができず、顧客への納品も滞ります。
2024年2月にスーパーマーケットチェーンがランサムウェア被害を受けた際、外部からの通信の受け口となるVPNを狙って侵入され、一部データが使用不能になりました。幸い外部への情報流出の痕跡は見当たらなかったものの、最大778万2,009件の個人情報が閲覧できる状態にあったといいます。
復旧までの期間が長引けば、取引先からの信頼も失い、契約解除に至るケースもあります。上場企業であれば株価の下落も避けられません。
情報漏洩の原因ランキング【2024年最新データ】
それでは、実際に情報漏洩はどのような原因で発生しているのでしょうか。東京商工リサーチの調査によると、2024年の情報漏えい・紛失事故189件の原因別内訳は以下の通りです。
1位：ウイルス感染・不正アクセス（114件、60.3%）
「ウイルス感染・不正アクセス」が114件で全体の6割を占め、初めて100件台を記録しました。この数字は、2019年以降、6年連続で最多を更新しているという深刻な状況を示しています。
特に2024年は、ランサムウェアによる被害が多発しました。ランサムウェアとは、企業のシステムに侵入してデータを暗号化し、復号と引き換えに身代金を要求するマルウェアです。
注目すべきは、情報処理サービスを専門に請け負う企業が不正アクセスを受けたことで、業務を委託した側の顧客情報が流出して被害が拡大したケースです。これは「サプライチェーン攻撃」と呼ばれ、直接のターゲット企業ではなく、セキュリティの弱い取引先や委託先を踏み台にして本命の企業に侵入する手口です。
独立行政法人情報処理推進機構（IPA）が2025年7月に発表した「情報セキュリティ10大脅威」では、「ランサムウェアによる被害」が4年連続1位、「サプライチェーンの弱点を悪用した攻撃」が2年連続2位にランクインしており、企業が最も警戒すべき脅威となっています。
2位：誤表示・誤送信（41件、21.6%）
「誤表示・誤送信」が41件で2位となっています。これは完全なヒューマンエラーです。
典型的なパターンは、メール送信時のCCとBCCの取り違えです。複数の顧客にメールを一斉送信する際、本来は受信者同士のメールアドレスが見えないようにBCC(ブラインド・カーボン・コピー)に入れるべきところを、誤ってCC(カーボン・コピー)に入れてしまい、全員のメールアドレスが互いに見えてしまう事故が後を絶ちません。
また、Webサイトやシステムの設定ミスにより、本来アクセス権限のない人が他人の個人情報を閲覧できる状態になってしまうケースもあります。クラウドサービスの共有設定を誤り、機密文書が誰でも閲覧可能な状態で公開されてしまった事例も報告されています。
悪意がなくても、たった一度のクリックミスが数千人、数万人の個人情報を漏洩させてしまう。これが誤送信の恐ろしさです。
3位：紛失・誤廃棄（20件、10.5%）
「紛失・誤廃棄」が20件で3位に入っています。
個人情報を保存したUSBメモリやノートパソコンを電車内や喫茶店に置き忘れる、顧客情報が入った書類を誤って廃棄してしまう、といった不注意による漏洩です。
テレワークの普及により、社外で仕事をする機会が増えたことで、このリスクは以前より高まっています。カフェで作業中にトイレに立った隙にノートパソコンが盗まれる、満員電車で鞄ごと置き引きに遭うなど、物理的な紛失・盗難のリスクは常に存在します。
4位：不正持ち出し・盗難（14件、7.4%）
「不正持ち出し・盗難」が14件で4位となっています。件数は少ないものの、漏えい・紛失人数の平均は「不正持ち出し・盗難」が最多の22万4,782人分にのぼり、一件あたりの被害規模が極めて大きいのが特徴です。
「内部不正による情報漏えい等の被害」が前年から順位を一つ上げ、IPAの「情報セキュリティ10大脅威2025」で4位にランキングされています。
内部不正は犯罪行為であり、刑事事件に発展するケースも多くなっています。
内部要因による情報漏洩――最大の脅威は「人」にある
外部からのサイバー攻撃が注目されがちですが、実は情報漏洩の多くは内部要因、つまり「人」に起因しています。2位から4位の原因(誤表示・誤送信、紛失・誤廃棄、不正持ち出し・盗難)はすべて内部要因であり、合計すると75件、全体の約40%を占めます。
内部要因による情報漏洩は、大きく「意図しないヒューマンエラー」と「悪意による内部不正」の2つに分類できます。
意図しないヒューマンエラー
従業員のちょっとした気の緩みや不注意が、重大な情報漏洩につながります。
メールの誤送信は最も典型的なパターンです。宛先の入力ミス、CCとBCCの取り違え、添付ファイルの間違いなど、日常業務の中で誰もが起こしうるミスです。しかし、その一瞬のミスが数千人の個人情報を漏洩させる結果になります。
記録媒体の紛失・盗難も深刻です。USBメモリ、外付けハードディスク、ノートパソコンを紛失したり、盗難に遭ったりするケースです。暗号化されていない状態でデータを持ち歩いていれば、拾得者や窃盗犯が簡単に中身を見ることができてしまいます。
データの誤廃棄も見過ごせません。不要になった書類を廃棄する際、個人情報が含まれていることに気づかず、そのままゴミ箱に捨ててしまう。あるいは、パソコンを廃棄する際、ハードディスクのデータを完全に消去せずに処分してしまう。こうしたケースでは、廃棄物処理業者を通じて情報が外部に流出する危険性があります。
システムの設定ミスも頻発しています。クラウドサービスのアクセス権限を誤って設定し、本来見られるべきでない人が機密情報にアクセスできてしまう。Webサイトの公開設定を間違え、限定公開のはずのページが誰でも閲覧可能になってしまう。
これらはすべて、悪意のない「うっかりミス」です。しかし、その影響は甚大で、被害者にとっては意図的な漏洩と変わりありません。
悪意による内部不正
より深刻なのは、従業員や元従業員による意図的な情報の持ち出しです。
「手土産転職」という言葉をご存じでしょうか。社内の機密情報や顧客情報を、転職予定先に手土産として提供することを言います。転職先での評価を高めるため、あるいは転職を有利に進めるために、現在の会社の顧客リストや技術情報を持ち出すのです。
終身雇用制度の変化に伴う人材の流動化も、内部不正リスクを増大させる要因の一つです。以前なら一つの会社に定年まで勤めることが一般的でしたが、今は転職が当たり前の時代です。退職時に顧客情報や技術資料を持ち出す誘惑に駆られる従業員が増えているのです。
金銭目的の情報持ち出しも後を絶ちません。アクセス権限を持つ従業員が、顧客情報や機密情報を名簿業者に売却するケースです。数百万件の個人情報が数十万円から数百万円で売買されることもあります。
退職者による情報持ち出しは、発覚が遅れがちです。退職後しばらくしてから、その情報が競合他社で使われていることが判明する、といったケースも珍しくありません。
外部要因による情報漏洩――巧妙化するサイバー攻撃
外部からのサイバー攻撃は、年々巧妙化・高度化しています。2024年の情報漏洩・紛失事故のうち、「ウイルス感染・不正アクセス」に起因した114件が最多で、6割を占めています。
ランサムウェア攻撃
ランサムウェアは、現在最も警戒すべきサイバー攻撃です。
攻撃者はまず、企業のネットワークに侵入します。侵入経路は、フィッシングメールに添付されたマルウェア、VPN装置の脆弱性を突いた不正アクセス、リモートデスクトップサービスの弱いパスワードの突破など、多岐にわたります。
ネットワークに侵入した攻撃者は、しばらくの間、静かに活動します。システムの構造を調べ、重要なデータの保管場所を特定し、バックアップシステムを無効化します。そして準備が整ったところで、一斉にデータを暗号化します。
2024年10月に大手電機メーカーのサーバが海外からの不正アクセスを受け、ランサムウェア攻撃によってシステムが使用不能となる事態が発生しました。企業側は攻撃者の不当な要求には応じていないと発表しましたが、業務への影響は甚大でした。
標的型攻撃とフィッシング
標的型攻撃は、特定の企業や組織を狙った計画的なサイバー攻撃です。
攻撃者は事前に徹底的な調査を行います。SNSや企業のWebサイトから、従業員の名前、役職、業務内容、取引先などの情報を収集します。そして、その情報をもとに、極めて本物らしいフィッシングメールを作成します。
「取引先の○○社の△△です。先日お話しした件の資料を添付します」といった、一見何の問題もないメールが届きます。しかし、添付ファイルを開くと、マルウェアに感染してしまいます。
あるいは、「社内システムのパスワードを変更してください」という偽のメールを送り、偽のログインページに誘導してIDとパスワードを入力させる手口もあります。
サプライチェーン攻撃
セキュリティの堅固な大企業を直接攻撃するのではなく、セキュリティの弱い取引先や委託先を経由して侵入するのがサプライチェーン攻撃です。
イセトーや東京ガスグループのケースのように、業務委託先が攻撃を受けたことによる情報漏えいが目立ちました。
2024年の最大の事故は、子会社のネットワークへの不正アクセスで416万人分の顧客情報の流出可能性を東京ガスが公表したものでした。本件では東京ガス子会社に業務を委託していた京葉ガスも連鎖的に約81万人分の顧客情報の流出可能性を開示しています。
一つの委託先への攻撃が、連鎖的に複数の企業に被害をもたらす。これがサプライチェーン攻撃の恐ろしさです。
脆弱性を狙った攻撃
ソフトウェアやシステムには、セキュリティ上の弱点(脆弱性)が存在します。開発者がこの脆弱性を発見し、修正プログラム(パッチ)を公開する前に攻撃されることを「ゼロデイ攻撃」と呼びます。
また、パッチが公開されても、企業がすぐに適用しないことがあります。システムの停止を避けるため、あるいは互換性の問題を恐れて、パッチ適用を先延ばしにするのです。攻撃者はこの隙を突いて侵入します。
VPN装置の脆弱性を突いた攻撃も増加しています。テレワークの普及でVPNの利用が拡大しましたが、古いVPN装置には既知の脆弱性が存在し、それを悪用した不正アクセスが相次いでいます。
情報漏洩による損害賠償の実態――企業が負う金銭的負担
情報漏洩が発生すると、企業は被害者に対して損害賠償を支払う義務が生じます。「実際の被害がなければ賠償金は発生しないだろう」と考えるかもしれませんが、それは誤解です。
情報漏洩による損害賠償は、主に民法上の「不法行為責任」に基づいて請求されます。個人情報保護法自体には損害賠償に関する直接的な規定はありませんが、個人情報を適切に管理する義務を怠ったことが「過失」と認められれば、賠償責任を負います。
損害賠償額の相場
判例を見ると、基本的な個人情報(氏名、住所、電話番号、メールアドレスなど)の漏洩では、被害者1人あたり3,000円から6,000円程度の慰謝料が認められています。
ただし、この金額は「二次被害がない場合」の相場です。漏洩した情報が実際に悪用され、迷惑メールが届いたり、詐欺の被害に遭ったりした場合は、賠償額が大幅に増額されます。
また、病歴、犯罪歴、信用情報といったセンシティブな情報が漏洩した場合、被害者1人あたり1万円以上、場合によっては数万円の賠償が命じられることもあります。
日本ネットワークセキュリティ協会の調査によれば、漏洩した個人情報1人あたりの損害賠償額の平均は約2万8,000円とされています。これは各漏洩事故における損害賠償額を漏洩人数で割った金額の平均値です。
実際の損害賠償事例
ベネッセコーポレーション事件(2014年)では、委託先従業員が約3,504万件の顧客情報を不正に取得し、名簿業者に売却しました。顧客ら約5,700人が同社に対して1人あたり5万5,000円の慰謝料などを求めて提訴。
東京地裁は、原告のうち約4,000人の個人情報が流出したと認定し、ベネッセに対して1人あたり3,300円、総額約1,300万円の損害賠償を命じました。判決では、ベネッセが委託先のセキュリティ設定を適切に監査しなかった監督義務違反を指摘しています。
Yahoo!BB事件(2004年)では、約450万人分の顧客情報が外部からの不正アクセスにより漏洩しました。裁判所は運営会社であるBBテクノロジー株式会社に対し、被害者1人あたり慰謝料5,000円と弁護士費用1,000円、計6,000円の損害賠償を命じました。
京都府宇治市住民基本台帳データ漏洩事件(1999年)は、自治体による初めての大規模個人情報漏洩事件として知られています。システム開発を委託した業者のアルバイト従業員が、住民基本台帳データ約21万7,000件を不正にコピーし、名簿業者に売却しました。
大阪高裁は、自治体に対して被害者1人あたり15,000円(慰謝料10,000円と弁護士費用5,000円)の支払いを命じました。この判決は、個人情報の基本4情報(住所、氏名、性別、生年月日)が漏洩した場合の慰謝料が確定した初の判例として重要な意味を持ちます。
エステティックTBC事件では、Webサイトから約5万人分の会員情報が流出し、そのデータが掲示板に掲載されるなどの二次被害が発生しました。裁判所は、原告13名にそれぞれ3万5,000円、1名に2万2,000円の賠償金を支払うよう命じました。
賠償額が高額化した要因として、エステティック特有の身体的状況に関する個人情報(スリーサイズなど)が含まれていたことや、情報が掲示板に掲載され、迷惑メールやダイレクトメールなどの二次被害が生じていたことが挙げられます。
賠償金以外のコスト
損害賠償金だけが企業の負担ではありません。
原因調査のための外部専門家への委託費用、システム復旧費用、被害者への謝罪対応のための人件費、コールセンター設置費用、弁護士費用など、間接的なコストも莫大です。
さらに、個人情報保護法に違反した場合、個人情報保護委員会から行政指導や勧告、命令を受けることがあります。委員会の指示・命令に従わなかった場合や、不正な利益を得るために個人情報を漏洩した場合は、1億円以下の罰金という刑事罰も科されます。
ブランドイメージの毀損による売上減少、株価の下落、取引先からの信用失墜による契約解除など、金銭で測れない損失も考慮すれば、情報漏洩の真のコストは計り知れません。
業界別に見る情報漏洩の実態
2024年におけるセキュリティインシデントを業種別に見ると、1位が「製造業」で全体の約4分の1となる24.8％を占める結果となり、続いて、「卸・小売業」が14.9％、「サービス業」が11.6％、「教育・学習支援」が11.5％、「情報通信」が10.8％となっています。
製造業が特に多い背景には、IoT機器の普及やサプライチェーンの複雑化があります。工場の生産設備がネットワークにつながり、取引先や協力企業との情報のやり取りが増えることで、攻撃の入り口が増えているのです。製造業では技術情報や設計図面といった企業の競争力の源泉となる機密情報を扱うため、一度の漏洩が事業全体に与える影響は極めて大きくなります。
卸・小売業では、顧客の購買履歴やクレジットカード情報を大量に扱うため、攻撃者にとって魅力的なターゲットとなります。年間の個人情報漏洩件数を業種別で見ると、「卸・小売業」が約848万件で最多となっており、その被害規模の大きさがうかがえます。
教育機関では、学生や保護者の個人情報を扱いますが、セキュリティ予算や専門人材が限られているケースが多く、狙われやすい傾向にあります。マイナンバーを含む個人情報を扱うことも多く、漏洩時の影響は深刻です。
情報漏洩を防ぐための実践的対策
では、企業は具体的にどのような対策を講じるべきでしょうか。効果的な対策は、技術、組織、物理、システムの4つの側面から多層的にアプローチする必要があります。
技術的対策：多層防御の構築
単一の対策では防ぎきれません。複数のセキュリティ対策を組み合わせた「多層防御」が必要です。
ファイアウォールとIDS/IPSで、外部からの不正なアクセスを検知・遮断します。ファイアウォールは門番、IDS(侵入検知システム)/IPS(侵入防止システム)は監視カメラのような役割を果たします。ただし、設定を適切に行わなければ、正当なアクセスまでブロックしてしまったり、逆に攻撃を見逃したりする可能性があるため、専門家による定期的な見直しが欠かせません。
アンチウイルスソフトとEDRを導入し、マルウェアの侵入を防ぎます。従来型のアンチウイルスソフトは既知のウイルスしか検知できませんが、EDR(Endpoint Detection and Response)は、マルウェアが侵入してしまった後でも、その異常な動きを検知し、被害を最小限に抑えます。特にランサムウェア対策として、EDRの導入は今や必須といえるでしょう。
暗号化は必須です。ノートパソコンやUSBメモリのデータを暗号化しておけば、紛失・盗難に遭っても情報が読み取られることを防げます。通信の暗号化(SSL/TLS)も重要です。WebサイトはHTTPSで運用し、メールの送受信も暗号化すべきです。
アクセス制御と権限管理を徹底しましょう。誰がどの情報にアクセスできるかを厳格に管理します。最小権限の原則に基づき、業務上必要な人だけが必要な情報にアクセスできるようにします。異動や退職時には、速やかにアクセス権限を削除することも忘れてはいけません。
多要素認証(MFA)を導入すれば、パスワードが漏れても不正ログインを防げます。パスワードに加えて、スマートフォンに送られるワンタイムパスワードや生体認証を組み合わせます。特に、重要なシステムへのアクセスやリモートアクセスには、多要素認証を必須にすべきです。
定期的なバックアップを取り、ランサムウェアに備えます。ただし、バックアップデータは、本番環境から分離した場所に保管する必要があります。同じネットワーク上にあると、バックアップも暗号化されてしまいます。バックアップからの復旧訓練も定期的に実施し、いざという時に確実に復旧できることを確認しておきましょう。
メールセキュリティの強化も重要です。スパムフィルター、フィッシング検知機能、添付ファイルのサンドボックス分析など、多段階でメール経由の攻撃を防ぎます。また、PPAP(パスワード付きZIPファイルをメールで送り、別メールでパスワードを送る方式)は、セキュリティ上の問題が指摘されており、廃止してクラウドストレージでの共有に切り替える動きが広がっています。
組織的対策：人と仕組みを整える
技術だけでは不十分です。人と組織の対策が欠かせません。実際、情報漏洩の多くは「人」の問題に起因しています。
セキュリティ教育の徹底が最も重要です。全従業員を対象に、定期的にセキュリティ研修を実施します。新入社員研修では情報セキュリティの基礎を必ず含め、年1回以上は全社員向けの研修を行います。
研修内容は、単なる座学ではなく、実践的なものにすべきです。フィッシングメールの見分け方、パスワードの管理方法、情報の取り扱いルール、不審なメールを受け取ったときの報告手順など、具体的なシナリオに基づいた演習を含めます。
模擬フィッシングメール訓練も極めて効果的です。実際に偽のフィッシングメールを従業員に送り、誰が引っかかるかを確認します。引っかかった従業員には個別にフォローアップ教育を行います。この訓練を定期的に実施することで、従業員のセキュリティ意識は確実に向上します。
情報取り扱いルールの明確化と周知も必要です。個人情報や機密情報をどのように扱うべきか、明確なルールを定めます。
社外への情報持ち出しのルール(持ち出し禁止、または上長の承認が必要)
メール送信時の確認手順(宛先の再確認、添付ファイルの確認、送信前の第三者チェック)
書類廃棄の方法(シュレッダー処理の徹底、業者への廃棄委託時の立ち会い)
パスワードの設定ルール(8文字以上、英数字記号の組み合わせ、定期変更)
クラウドサービス利用のルール(会社が認めたサービスのみ使用可)
これらのルールは文書化し、社内イントラネットで常に閲覧できるようにします。また、新しい脅威が現れた際には、速やかにルールを更新します。
インシデント対応計画(インシデントレスポンスプラン)の策定も重要です。情報漏洩が発生した場合、どのように対応するか、事前に計画を立てておきます。
対応計画には以下の項目を含めます:
初動対応の手順(誰に報告するか、どのような調査を行うか)
影響範囲の特定方法
被害者への通知方法とタイミング
行政機関への報告手順(個人情報保護委員会への報告義務)
広報対応(プレスリリース、Webサイトでの公表)
再発防止策の検討と実施
計画を策定するだけでなく、年1回は訓練を実施し、実際に機能するかを確認します。初動を誤ると被害が拡大し、賠償額も膨らみます。迅速かつ適切な対応が被害を最小限に抑える鍵となります。
委託先の管理強化も忘れてはいけません。サプライチェーン攻撃のリスクを考えれば、委託先のセキュリティ体制を確認し、必要に応じて改善を求めることが必要です。
契約書に情報セキュリティに関する条項を明記し、以下の点を規定します:
個人情報の取り扱い方法
再委託の禁止または事前承認の必要性
セキュリティインシデント発生時の報告義務
監査権(委託元が委託先のセキュリティ体制を監査できる権利)
契約違反時の賠償責任
定期的に委託先を訪問し、セキュリティ体制を確認することも重要です。チェックリストを用いて、アクセス制御、バックアップ、従業員教育などの実施状況を確認します。
内部不正対策にも力を入れるべきです。退職予定者による情報持ち出しを防ぐため、退職の申し出があった時点でアクセス権限を見直し、機密情報へのアクセスを制限します。また、重要なデータのダウンロードやUSBメモリへのコピーをログで監視し、異常な操作があれば警告を発するシステムの導入も検討に値します。
物理的対策：オフィスのセキュリティ
デジタル対策だけでなく、物理的な対策も重要です。
入退室管理を徹底し、部外者が勝手にオフィスに入れないようにします。ICカードや生体認証による入退室管理システムを導入し、誰がいつ入室したかをログで記録します。特にサーバールームやデータセンターへのアクセスは厳格に管理し、入室者を限定します。
来客者には必ず受付で記帳させ、入館証を発行します。来客者が単独でオフィス内を移動することは禁止し、必ず従業員が同行します。
クリアデスク・クリアスクリーンのルールを導入します。退席時には機密文書を机の上に放置せず、施錠できる場所に保管します。パソコンの画面にも機密情報を表示したままにせず、ロックをかけます。
テレワークが普及した現在、カフェやコワーキングスペースで仕事をする機会も増えています。公共の場所では、周囲からパソコン画面が見えないように「覗き見防止フィルター」を使用する、会議の内容が周囲に聞こえないように場所を選ぶ、といった配慮が必要です。
シュレッダーの活用も基本です。個人情報や機密情報が記載された書類を廃棄する際は、必ずシュレッダーにかけます。ただし、単純なカットシュレッダーではなく、クロスカット方式やマイクロカット方式のシュレッダーを使用し、復元を困難にします。
デバイスの紛失・盗難対策として、ノートパソコンやスマートフォンには紛失時に遠隔でデータを消去できる機能(リモートワイプ)を設定しておきます。また、ノートパソコンをデスクに固定するセキュリティワイヤーの使用も推奨されます。
システム的対策：常に最新の状態を保つ
パッチ管理の徹底は絶対に怠ってはいけません。ソフトウェアやシステムの脆弱性が発見されたら、速やかにパッチを適用します。自動更新を有効にしておくのも有効です。
ただし、重要なシステムの場合、パッチ適用前にテスト環境で動作確認を行い、既存システムとの互換性問題がないかを確認してから本番環境に適用する、という慎重なアプローチが必要な場合もあります。
脆弱性診断の定期実施も重要です。専門業者に依頼して、自社のシステムに脆弱性がないかを定期的にチェックします。診断には、システムの外部から攻撃を試みる「外部診断」と、システム内部から詳細に調査する「内部診断」があります。両方を組み合わせることで、より包括的な評価が可能になります。
ログの監視と分析を行い、不審なアクセスや操作を早期に検知します。異常なログイン試行、通常とは異なる時間帯のアクセス、大量のデータダウンロードなどは、不正アクセスのサインかもしれません。
SIEM(Security Information and Event Management)と呼ばれるツールを導入すれば、複数のシステムから収集したログを一元的に管理・分析し、異常を自動検知できます。ただし、SIEMは高価であり、運用にも専門知識が必要なため、中小企業では導入のハードルが高いかもしれません。その場合でも、最低限、重要なシステムのログは定期的に確認する体制を整えるべきです。
ネットワークの分離(セグメンテーション)も効果的です。社内ネットワークを複数のセグメントに分割し、万が一一つのセグメントが侵害されても、他のセグメントへの侵入を防ぎます。例えば、一般従業員が使用するネットワークと、機密情報を扱う部門のネットワークを分離する、といった対策です。
ゼロトラストセキュリティの考え方を導入することも検討に値します。従来は「社内ネットワークは安全、外部は危険」という前提で対策していましたが、ゼロトラストでは「すべてのアクセスを信頼しない」という前提に立ちます。社内からのアクセスでも、毎回認証を行い、アクセス権限を確認します。テレワークが普及した現在、この考え方はますます重要になっています。
まとめ：情報漏洩対策は「明日」から始める
2024年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は189件で、4年連続で最多を更新という現実は、もはや情報漏洩が「起こるかもしれない」リスクではなく、「いつ起こってもおかしくない」リスクであることを示しています。約3日に1回のペースでセキュリティインシデントが発生し、年間で約2,164万件の個人情報が漏洩している状況を、決して他人事として捉えてはいけません。
原因別では「ウイルス感染・不正アクセス」が114件(60.3%)で最多、次いで「誤表示・誤送信」が41件(21.6%)、「紛失・誤廃棄」が20件(10.5%)、「不正持ち出し・盗難」が14件(7.4%)となっており、外部攻撃と内部要因の両方に備える必要があります。特に注目すべきは、外部攻撃が年々増加している一方で、内部要因による漏洩も依然として高い割合を占めていることです。これは、技術的対策だけでなく、人的対策も同様に重要であることを意味します。
損害賠償の面でも、決して軽視できません。基本的な個人情報の漏洩でも被害者1人あたり3,000円から6,000円の慰謝料が認められ、これが数万人規模になれば数千万円から億単位の賠償額になります。賠償金だけでなく、調査費用、復旧費用、被害者対応費用、ブランドイメージの毀損による売上減少など、間接的なコストも莫大です。
では、企業は何から始めるべきでしょうか。
今日からできる5つのアクション
全従業員のセキュリティ意識調査を実施する 模擬フィッシングメールを送信し、従業員のセキュリティレベルを把握します。結果に基づいて教育計画を立てましょう。
パスワードポリシーを見直す 8文字以上、英数字記号の組み合わせ、定期変更を徹底します。可能であれば多要素認証を導入しましょう。
重要データのバックアップ状況を確認する バックアップが取れているか、復旧テストは実施しているか、バックアップデータは本番環境から分離されているか、確認します。
委託先のセキュリティ体制をチェックする 業務委託契約書にセキュリティに関する条項が含まれているか確認し、必要に応じて契約を見直します。
インシデント対応計画を策定する 情報漏洩が発生した場合の初動対応、報告ルート、被害者対応、広報対応について、明確な手順を定めます。
重要なのは、完璧な対策を目指すのではなく、まず「できることから始める」ことです。セキュリティ対策に終わりはありません。攻撃者の手口は日々進化しており、今日有効だった対策が明日には通用しなくなる可能性もあります。だからこそ、継続的に対策を見直し、改善していく姿勢が求められます。
中小企業こそセキュリティ対策を
「うちは中小企業だから狙われない」という考えは危険です。むしろ、セキュリティ対策が手薄な中小企業こそ、攻撃者にとって格好の標的です。また、大企業へのサプライチェーン攻撃の踏み台として狙われるケースも増えています。
予算や人材が限られる中小企業では、すべての対策を一度に実施するのは困難かもしれません。しかし、優先順位をつけて、重要度の高いものから順次対応していけば、確実にリスクは低減できます。セキュリティ専門の外部業者に相談することも有効な選択肢です。
経営層の理解とコミットメントが鍵
情報セキュリティは、IT部門だけの問題ではありません。経営層が重要性を理解し、予算と人材を投入し、全社的な取り組みとして推進する必要があります。
情報漏洩は、企業の存続を脅かす重大なリスクです。しかし、適切な対策を講じることで、そのリスクは大幅に低減できます。「うちの会社は大丈夫」という思い込みを捨て、今日から対策を始めましょう。情報漏洩が起こってから対応するのでは遅すぎるのです。
明日、あなたの会社で情報漏洩が発生しても、適切に対応できる準備はできていますか？この記事が、その準備の第一歩となることを願っています。
参考データ出典
東京商工リサーチ「2024年『上場企業の個人情報漏えい・紛失事故』調査」(2025年1月公表)
株式会社サイバーセキュリティクラウド「企業のセキュリティインシデントに関する調査レポート2024」
独立行政法人情報処理推進機構(IPA)「情報セキュリティ10大脅威 2025」
個人情報保護委員会「令和6年度年次報告書」
