情報の持ち出しは様々な状況で発生します。例えば、従業員が退職したり、転職したりする際に、重要な情報が外部に持ち出されることがあります。このような情報の持ち出しに対して、企業側はスピーディーに対応をする必要があります。

しかし、情報の持ち出しの事実を立証するだけでなく、当事者が持ち出したことを立証する必要があります。そのためには、情報の持ち出しに使用された端末やネットワークの記録などの証拠を収集する必要があります。

＼サイバーセキュリティ専門家へ24時間365日で無料相談／

情報持ち出しとは

情報持ち出しで狙われやすい情報は、個人情報と営業秘密は、持ち出されやすい情報の代表的なものです。

• 個人情報（顧客情報）
• 営業秘密（顧客情報や技術情報、販売方法など）

個人情報とは、個人を特定できる情報を指します。具体的には、氏名、住所、電話番号、生年月日、顔写真などが挙げられます。

クレジットカード番号や携帯電話番号などは必ずしも個人情報に含まれるわけではありませんが、他の情報と照合できる状態にある時は個人情報に該当することがあります。

一方、営業秘密とは、企業の競争上の優位性を保つために秘密として管理されている情報を指します。具体的には、顧客リスト、商品の図面、営業マニュアルなどが挙げられます。

不正競争防止法第21条では営業秘密侵害罪が規定されており、該当例としては、以下のようなものが挙げられます。

• 競合他社から営業秘密を盗み取る行為
• 顧客情報や技術情報を持ち出して転職する行為
• 営業秘密を不正に取得した情報を使用・開示する行為

不正競争防止法では、営業秘密を侵害した者に、10年以下の懲役刑又は2,000万円以下の罰金刑を科すと定めています（法21条1項、営業秘密侵害罪）。

情報持ち出しの事例

こちらでは近年の退職者による情報持ち出しの事例の中でも刑事裁判に発展した事例を紹介します。

かっぱ寿司事件

はま寿司の元役員がかっぱ寿司に転職する際に、はま寿司の営業秘密を持ち出したとして不正競争防止法違反容疑で逮捕された事例です。2020年9月にはま寿司の商品原価や仕入れ値のデータを不正に取得し、別の社員に共有したのちに、カッパ・クリエイト社の社長に就任したことが発覚しています。

秘密情報を駆使して競合他社に移籍する行為はかなり悪質なものであるとし、懲役3年執行猶予4年と罰金200万円の判決が下りました。

出典：朝日新聞

情報持ち出しの罰則

社内データの情報持ち出しには刑事上・民事上の罰則が適用されます。

刑事上の罰則

情報を持ち出すときの罰則には、次の2つの方法があります。

• 窃盗や業務上横領
• 不正競争防止法

最初の方法は、個人情報や企業の秘密を問わず適用できます。二番目の方法は、企業の秘密だけに焦点を当てています。

窃盗および業務上横領

情報持ち出しに社内の物品や他人の物品が使われた場合、以下の罪に問える場合があります。

• 窃盗（刑法235条、10年以下の刑務所または50万円以下の罰金）
• 業務上横領（刑法253条、10年以下の刑務所）

データが盗まれた場合、犯人を業務上横領などの罪に問うにはそのデータが記録された物理メディアも盗まれている必要があります。しかし、データが消えていたり、誰がアクセスしたかわからない場合、法律で対処するのは難しいとされます。その時は、データ復旧やフォレンジック調査でデータを証拠として収集し、法的対応を行うことをおすすめします。

業務上横領の調査方法について詳しくはこちら＞

不正競争防止法

不正競争防止法の第21条には、営業秘密侵害罪が規定されています。営業秘密侵害罪は、営業秘密を取得・使用・開示する行為を、図利加害目的で行った場合に成立する犯罪です。

営業秘密侵害罪に該当する行為をした者は、10年以下の懲役または2,000万円以下の罰金が科せられます。したがって、企業の営業秘密が窃取、もしくは悪用されている場合は、刑事措置として、営業秘密侵害罪の立件を検討することができます。また、後述する民事措置として、差止請求や損害賠償請求を行うことができます。

ただし「営業秘密」の要件は厳密に定義されているため、不正競争防止法の保護を受けるには、次の3要件を全て満たす必要があります。

もし上記の3要件を1つでも満たさない場合、不正競争防止法による責任追及は困難です。

不法行為に関する民事的責任

情報持ち出しを追及する民事的責任としては、次の2つが挙げられます。

• 債務不履行（契約違反）
• 不法行為

債務不履行とは「契約に基づく債務を履行しなかった場合に生じる責任」（契約違反）です。

企業と従業員の間には、労働契約に基づく債務関係があります。この契約において、従業員は秘密保持義務を負います。また同法とは別に、いわゆる就業規則で「営業保持義務」が定められている場合、それを労働者が果たさない場合も「債務不履行」となります。さらに故意により、会社に損害を与えた場合は「不法行為責任」（民法709条）も成立します。

これらの要件が満たされていれば、企業は損害賠償を求めることができます。ただし、法的な対応をするためには、社員が端末で不正操作をした記録などを「証拠」として、事前に保存・集めておく必要があります。

解雇

労働者は、労働契約の存続中、信義誠実の原則として負う義務の一種として、使用者の営業上の秘密を保持すべき義務を負っています。そのため、労働者が秘密保持義務に違反した場合、労働基準法及び就業規則の規定に従って、懲戒処分や解雇をすることができます。

情報持ち出しのリスクと影響

情報持ち出し・情報漏洩のリスクは、大きく分けて以下の4つです。

顧客や取引先との信頼関係の損失によるトラブル

個人情報や機密情報が流出した場合、顧客や取引先から信用を失い、トラブルに発展する可能性があります。

具体的な例としては、個人情報が不適切に流出したことで、その顧客が何らかの形で被害を受けた場合、その顧客から損害賠償を請求される可能性があります。

企業の信用やブランドイメージ、競争力が大幅に低下する

顧客情報や企業秘密が、情報持ち出しによって漏えいすると、技術力が流出し、シェアを他社に奪われるなどして、企業の競争力や競争優位性を失う可能性があります。それだけでなく、社会的責任を問われ、顧客との取引停止や契約破棄につながりかねません。

金銭的な損失

情報漏洩により、企業は直接的な損失（情報の再取得コスト、システムの修復コストなど）や間接的な損失（企業信用の低下による売上減少、訴訟費用など）を被る可能性があります。これは企業の財務状況に深刻な影響を及ぼす可能性があります。

法的問題による訴訟や行政処分（行政指導）のリスク

情報漏洩は、個々のプライバシー侵害から契約違反に至るまで、多くの法的な問題を引き起こす可能性があります。これらの問題は企業にとって非常に深刻で、法的訴訟を引き起こしたり、行政処分を受けたりするリスクがあります。

行政処分とは、公的な機関が法律に基づいて行う決定や命令を指し、これには法令違反を行った者に対する指導や助言、勧告などが含まれます。

実例としては、2023年に発生したNTT西日本の子会社でコールセンターシステムの運用保守を担当していた元派遣社員が、約10年にわたり、900万件の顧客情報を不正に流出させた事件に対し、個人情報保護委員会は情報管理体制の不備等による個人情報保護法違反があったとして是正勧告を出しました。

出典：読売新聞オンライン

情報持ち出しの手口と経路

次に情報持ち出しの手段について紹介します。情報持ち出しの手段は大きく分けて4つです。

アクセス権限の悪用

これは機密情報などにログインできる権限などを悪用し、組織の重要情報を取得する手口です。全社員に対し必要以上のアクセス権限が付与されている場合、社外秘の情報をダウンロードされるなどして外部に持ち出される恐れがあるため注意が必要です。

また既に退職した社員のアクセス権限をそのままにしておくと、社外からアクセスを行い、情報を持ち出される可能性もあります。

在職中に割り当てられたアカウントの悪用

これは在職中に割り当てられたアカウントの悪用をする手口です。会社・組織を離脱・退職したものが、在職中に使用していたアカウントを使って、組織内部の情報を不正に取得するといったようなケースがあります。

外部記憶装置による内部情報の不正な持ち出し

私用のUSBメモリやスマートフォンを社用端末に接続し、内部情報を私用のパソコンなどの外部に送信する手口も情報持ち出しではよく見られる手口です。

企業によっては、USBメモリによる情報持ち出しを防止するため、特定のUSBメモリ以外の使用禁止やUSBメモリによるデータ保存の制限をかけるセキュリティを導入しているところもあります。

メールやSMS上の添付ファイルから持ち出し

社用のメールアドレスやSMSを用いて、機密情報のファイルなどを私用パソコンへ送信する情報持ち出しの手口もあります。

悪質なケースでは、メールやSMSでデータを外部に送信した後に、履歴の削除や端末を初期化するケースも考えられます。

証拠隠滅のために履歴などが削除・初期化されたパソコンやスマートフォンを調査したい場合、データ復旧とログやデータの調査の両方が必要になることが予想されます。

データ復旧ラボを持つデジタルデータフォレンジック（DDF）であれば削除・初期化された端末からデータを復旧し、調査に取りかかることができる場合があります。

削除・初期化データを復旧できるかは、端末の機種や状態にも左右されるため、まずはお気軽にお問合せください。プロのアドバイザーがご案内いたします。

情報持ち出しの調査方法

企業内で情報持ち出しの疑いが発覚した場合、以下の手順で漏えいした情報を調査しましょう。

特にログなどのデジタルデータを証拠として取得する場合、特殊なツールやログを取得、解析するための専門知識が必要になります。

ログなどの電子データは改ざんや削除が容易なため、公的機関に証拠として提出しても証拠として認められない場合もあります。このような状況を防ぐために「フォレンジック調査」と呼ばれる電子データの証拠保全・解析作業を伴う調査を行う必要があります。

パソコンのログ解析調査については以下の記事で解説しています。

WindowsのPCで操作ログを取得・確認する方法は？履歴から社内不正調査する方法を解説PC操作ログの調査方法について詳しく解説します。本記事を参考に正しい知識を身につけましょう。24時間365日受付／法人様は最短30分で初動対応打合せ／即日現地駆けつけも可能。デジタルデータフォレンジック（DDF）は、官公庁・上場企業・捜査機関・法律事務所等で実績多数！累積39,451件以上のご相談実績をもとに、インシデント原因や被害状況などスピーディーに調査します。 ...

情報持ち出しを調査

不正行為の調査や法的対応では、「証拠」となる具体的な事実を正しく理解し、調査することが重要です。これは次の2つの理由からです。

• デジタルデータは改ざんされがちで、法的対応には適切な手続きでその有無を立証する必要がある
• 不用意な操作により、証拠データが上書きされる可能性がある

もし上記を怠り、十分な証拠がなければ、第三者に事実を証明できません。その結果、情報持ち出しの立証および法的責任の追及が「無効」となり、不正の証明や法的責任の追求が「できなく」なる可能性が高まります。

このような事態を避け、安全に証拠データを復元・調査するには、「フォレンジック専門業者」まで相談・依頼しましょう。フォレンジック調査とは、パソコンやスマートフォンなどのデジタル機器の利用履歴から、情報持ち出しをはじめとする不正行為の法的証拠を調査する方法です。

フォレンジック調査では、以下のようなメリットがあります。

• 専門的な知識と技術で、適切な証拠を収集することができる
• 証拠の改ざんや上書きを防止することができる
• 調査結果を客観的に証明することができる

また、フォレンジック調査では、調査専門のエンジニアが報告書を作成することが可能です。この報告書は、法廷や個人情報保護委員会など行政機関に資料として提出することも可能です。

情報持ち出しにおけるフォレンジック調査では、次のような調査を行うことができます。

• Webブラウザの閲覧履歴の調査
• データの消去・改ざんの有無、復元
• 外部記録媒体の使用履歴の調査

フォレンジック調査については下記の記事でも詳しく解説しています。

フォレンジック調査とは？メリットやインシデント別の調査事例を解説フォレンジック調査とはデジタル機器を調査・解析し、「法的証拠」に関わる情報を抽出し、インシデントの全容を解明する調査です。本記事ではフォレンジック調査の必要性・活用事例を解説します。...

情報持ち出し・情報漏洩の調査を行う場合、専門会社に相談する

情報持ち出し・情報漏洩の対策方法

社員による情報持ち出しを予防するためには以下の方法が有効です。

データの管理・保守を徹底する

機密情報の管理方法が不適切だと、簡単にデータが持ち出されてしまいます（たとえばログインパスワードが共通で、社内データに誰でもアクセスできるような状態など）。

秘匿されるべき機密データは、社内の関係者でも容易にアクセスできないように管理しましょう。

競合の商品・サービスに注意する

情報持ち出しを予防するために一番重要なのは、競合他社の動きをみることです。もし似たような商品やサービスを開発していたり、明らかに内部しか知りえない情報が伝わっている場合、競合の商品やサービスを観察することで気づくことができます。

そのためにも、自社の情報には精通しておくようにしましょう。情報漏えいに気がつけず、気づいた頃には事態の収集がつかない事態になりかねません。

社用PCには物理的に記憶媒体が挿入できないようにする

これはPCのUSBポート（差込口）を物理的に塞ぐことで記憶媒体を挿入できないようにするという方法です。

社内情報をすべてクラウド型の保管に移行するなどの方法で、クラウド内での不正アクセス検知といったモニタリングを容易にします。

データベースをクラウド化し、モニタリングする

これは社内の情報はすべてクラウド化し、IDとパスワードを社員一人一人に発行して、誰がどの情報にアクセスしているのか常にモニタリングするという方法です。

コンピュータで不正アクセスをチェックすれば、ある程度の抑止・予防になるほか、社員の小さな変化や怪しい行動にも気づくきっかけにもなります。

定期的に社員と面談する

機密情報にアクセスのできる社員と、定期的に面談を行うことも大切です。面談を行う際には機密情報を取り扱う上での誓約確認を行いましょう。

万が一情報を漏らした場合、業務中のアクセス記録の監査のみならず、損害賠償請求の恐れがあることなど、規則の認識を徹底しましょう。

パソコン監視ツールを導入する

あらかじめパソコンの操作内容を記録・監視するソフトウェアを導入しておくと、不正な情報持ち出しの防止に役立ちます。

パソコン監視サービスで出来ることとしては主に以下のものがあります。

• 画面録画・再生
• 稼働ログの確認
• 従業員のパソコン管理