RIKENTOKYOはオフィス環境と仕組みのご提案で情報漏洩を防ぐには、情報の保存先・共有相手・持ち出し・退職時の扱いを社内ルールで決め、そのルールをアクセス制限や多要素認証などの設定で支えることが必要です。機器を購入する前に、守る情報と現在の管理方法を整理し、被害が大きい箇所から対策を進めましょう。
この記事では、中小企業の総務担当者や情シス兼任者に向けて、情報漏洩の原因、社内ルールの具体例、技術対策の役割、実施する順番と確認項目を解説します。
情報漏洩とは、顧客情報、社員情報、取引先との契約、設計資料などが、本来アクセスを認めていない相手へ渡ったり、閲覧されたりすることです。デジタルデータだけでなく、印刷物や記録媒体の扱いも含めて考えます。
| 原因 | 起こり得る場面 | 対策の考え方 |
|---|---|---|
| 外部攻撃 | 偽のログイン画面による認証情報の窃取、更新していない機器への侵入 | 多要素認証、更新管理、端末保護、ネットワーク防御を組み合わせる |
| 人為的ミス | メールの宛先間違い、公開リンクの設定ミス、PC・紙資料の紛失 | 送信・共有の確認手順、相手指定の共有、端末暗号化、持ち出し管理を整える |
| 内部不正 | 業務に不要な情報の閲覧・持ち出し、退職後も利用できるアカウント | 必要最小限の権限、入退社時の手続き、ログの確認と管理責任を決める |
原因の割合は調査の対象や集計方法で変わります。自社の事故やヒヤリハット、使っているクラウドサービス・端末を基に、どこで情報が外へ出る可能性があるかを確認してください。
ルールには「何を禁止するか」に加え、業務で必要な場合の承認先と、困ったときの連絡先を記載します。次の表をたたき台に、自社の業務に合わせて決めてください。
| 対象 | ルールの例 | 運用で確認すること |
|---|---|---|
| 保存先 | 顧客情報・契約書は会社が指定した保存先に置く。私用クラウドへ保存しない | 保存先の管理者、分類、保管・廃棄の時期を決める |
| 社外共有 | 宛先とファイルを送信前に確認し、原則として共有相手を指定する | 外部共有の承認者、閲覧／編集権限、共有終了日を記録する |
| 端末・紙・USB | 社外へ持ち出せる情報と端末を限定し、紛失時は直ちに報告する | 暗号化、画面ロック、紙の施錠保管、廃棄方法を確認する |
| アカウント | 共用を避け、パスワードを使い回さない。退職・異動に合わせて権限を見直す | 人事から管理者への連絡、無効化時期、ファイルの引継先を決める |
| 不審な操作・事故 | 誤送信や不審メール、紛失を自己判断で隠さず、決めた窓口へ報告する | 社内責任者、管理会社等の連絡先、時間外の連絡方法を共有する |
外部共有の具体策は脱PPAPとファイル共有方法、保存先や閲覧権限はSharePoint・OneDriveのファイル管理も参考にしてください。
入社時やルール変更時に説明し、実際の誤送信・共有設定を題材に短い確認を行います。定期点検の担当者と時期も決めましょう。「資料を配ったか」だけでなく、「社員が報告先を知っているか」「承認した保存先を使えているか」を確認することが大切です。
一つの製品ですべてを防げるわけではありません。オフィス内だけでなく、在宅勤務やクラウド利用も含めて、次の役割に抜けがないかを確認します。
| 対策 | 主な役割 | 導入・運用時の確認 |
|---|---|---|
| 多要素認証（MFA） | パスワードだけに依存する認証を補強する | メール・クラウド・管理者アカウントの適用範囲、機種変更や復旧手順 |
| 更新管理と端末保護 | 既知の脆弱性への対処、マルウェアの予防・検知・対応 | OS・ソフト・機器のサポート期限、更新の担当者、検知時の対応先 |
| アクセス権限・共有設定 | 不要な閲覧・編集・社外公開を減らす | 退職者の権限、匿名リンク、部署ごとの管理者、定期的な棚卸し |
| 暗号化・端末管理 | 紛失時の情報閲覧リスクや管理漏れを減らす | 暗号化の有効性、復旧情報の保管、遠隔操作の利用条件 |
| ネットワーク防御 | 不要な通信や外部からの侵入を制御する | UTM等の機能、設定・更新、在宅端末やクラウドを含む保護範囲 |
| バックアップ | 削除・暗号化などの被害から業務データを復元する | 保存先の分離、世代管理、復元テスト、復旧までに必要な時間 |
バックアップは復旧のための対策であり、情報の持ち出し自体を防ぐものではありません。また、MFAや端末保護を入れても、誤った共有権限が残れば漏洩は起こり得ます。導入済みかどうかに加え、設定と対応体制まで確認しましょう。端末の棚卸しはMDM・デバイス管理の考え方も参考になります。
まずは自社のセキュリティ状況を確認したい方へ 「どこから手をつければいいかわからない」という方は、まず現状の弱点を整理することが大切です。 RIKEN TOKYOでは、現状のヒアリングから優先順位の整理まで、無理のない進め方をご提案します。 無料相談をする
以下は進め方の例です。漏洩や侵入が疑われる場合は通常の計画より初動対応を優先してください。平時の改善では、製品名からではなく、守る情報と確認できた不備から順番を決めます。
IPAは2026年3月27日に「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しています。ガイドラインと自社診断等の資料を使い、社内ルールや点検項目の抜けを確認できます。
まず社内の責任者・管理担当へ報告し、発覚時刻、対象の情報・端末、行った操作を記録します。被害拡大を止める対応と、ログ等の証拠保全を並行して検討してください。自己判断で端末を初期化したり、記録を削除したりせず、管理会社等へ対応を相談します。
個人データの漏洩等では、内容によって個人情報保護委員会への報告や本人通知が必要です。「件数が少ないから不要」と決めず、個人情報保護委員会の漏えい等対応案内で対象・手順を確認し、責任者や専門家と判断してください。
RIKEN TOKYOでは、セキュリティの現状整理からネットワーク・端末保護・バックアップ、Microsoft 365の認証・デバイス管理まで、必要な対策をまとめて相談できます。機器の購入だけでなく、設定を管理する人と、異常を検知した際の連絡先も含めて整理します。
相談時は、利用人数・拠点、現在の機器やクラウドサービス、管理会社との契約範囲、困っていることを分かる範囲でお伝えください。既存環境と予算を踏まえて、優先して進める項目を確認します。
情報漏洩対策は、社内ルールと技術設定、継続的な確認を組み合わせて進めます。まず重要情報の保存先・共有相手・管理者を整理し、影響の大きい不備から担当者と期限を決めて対応しましょう。
社内で判断する責任者と、設定・運用を担当する人や外部窓口を決めることから始められます。RIKEN TOKYOにも現状整理や対策の優先順位をご相談いただけます。
守れる範囲が異なるため、一つの製品だけで十分とは判断できません。クラウドの認証・共有権限、在宅端末、誤送信や紛失も含めて必要な対策を確認します。
重要情報の保存先、社外共有の方法、端末の持ち出し、入退社時の権限変更、事故の報告先から整理してください。実際の業務で守れる手順にし、例外の承認方法も決めます。
バックアップは主に復旧のためのものです。情報の持ち出しや不正な閲覧を防ぐには、アクセス権限・認証・端末管理などの対策を別に確認する必要があります。
