最新セキュリティマネジメント（第37回） 中小企業の内部不正対策を強化する3つのポイント

リスクマネジメント 働き方改革

公開日：2024.06.18

　企業にとって、重要な顧客情報や設計情報などが外部に流出する原因は内部不正である場合が少なくない。こうした内部不正による情報漏えい事件は後を絶たない。中でも、小規模企業の内部不正に対するセキュリティ体制が不十分なケースが目立ち、企業経営の大きなリスクになっている。このリスクにどう向き合えばよいのか。独立行政法人情報処理推進機構（以下：IPA）が興味深いレポートを発表したので紹介する。

内部不正対策が遅れる中小企業

　2024年5月30日、IPAは『2023年度「内部不正防止対策・体制整備等に関する中小企業等の状況調査」報告書』を発表した。内容は、IPAがこれまでの調査で指摘してきた問題点や課題をまとめたものだ。中小企業における内部不正防止策の課題として、次の3つを挙げている。

1．内部不正防止が「重要な経営課題」として認識されていない
2．営業秘密は各社の業務に依存するため定義が難しく、守るべき情報資産を特定できていない
3．サイバーセキュリティ対策を講じているものの、内部不正対策は後手に回りがち

　これらに心当たりのある中小企業の経営者も多いのではないだろうか。実際に、大企業と中小企業では内部不正についての認識や対策の実施、組織的な対応に大きな差があると浮き彫りになった。

　例えば、内部不正防止とサイバーセキュリティ確保を意識的に分けて扱う企業の割合は、従業員1万1人以上の企業では約8割、全体平均でも約6割を占めているのに対して、従業員21人から100人の企業では約4割にとどまっている。

　また、個人情報以外の秘密情報に格付け表示がされており、秘密情報であると認知できるようになっているか、という問いに対して、従業員21人から300人の企業ではそうした表示がなされている割合は約2割だった。従業員1万1人以上の企業は約4割が認知できるとしており、小規模企業はその半分程度という結果だった。

　不正発生時の対応、体制についても大きな違いがある。重要な秘密情報が不自然に取り扱われている場面を目撃したら報告するよう徹底されており、上層部に報告できない場合は内部通報ができる体制やルールが確立されている割合は、従業員数が多くなるほど高くなる傾向が明らかになった。

内部不正に向き合うための3つのファーストステップ

　企業規模が小さく、専門的な人材もいない中小企業は、こうした現状もやむを得ないのは理解できる。しかし、今後は少しでも改善する必要がある。今回のIPAの報告書には課題解決に向けたファーストステップとなりうる示唆がいくつかあった。

　まず、「中小規模を逆手に取ったリーダーシップ発揮や訓示の活用」だ。中小企業は従業員と経営者の距離が近く、それだけに経営者の言葉が従業員に届きやすい。だからこそ経営者の訓示は効果があるというわけだ。

　具体的には朝礼や全社集会などを活用して、全従業員に内部不正対策についての経営方針などを伝えるよう勧めている。当然だが、経営者がそれを行うには経営者自身が内部不正について勉強し、理解しておく必要がある。

　次に紹介しているのは、「リソース節約型の部門連携」だ。内部不正防止に特化したリスク管理体制がなくても、情報システム部門やセキュリティ部門が内部不正で必要とされるIT技術面をカバーする。総務・人事部門は内部不正防止体制をカバーすればリソース不足を補え、専門部門と同等の効果を期待できる。

　これを実現するには、経営者が啓発活動を行い、各部門の従業員の意識を向上させておく必要があるだろう。また、不正防止にどういう対策をとるべきかを職種ごとに議論し、文書にまとめておいてもよいだろう。

　3つ目は、「最小限の内部不正対策の付加」だ。ある程度実施されているサイバーセキュリティ対策にリスクの違いに応じた内部不正対策を追加し、効率的に対策を実施しようというものだ。付加するべき対策にはどんなものがあるのかを内部不正特有のリスクと引き当てて明確化し、既存のサイバーセキュリティ対策に追加する。これは、情報システム担当者が担う場合も、経営者がリスクを判断しなければ実現できないだろう。

　いずれにしても、企業規模が小さく人的リソースが不足している中小企業において、旗振り役を果たせるのは経営者だけだ。経営者自らが内部不正を正しく認識し、自社のリスクをしっかりと理解しておくのが内部不正対策の第一歩である。

執筆＝高橋 秀典

【T】

あわせて読みたい記事

「リスクマネジメント」カテゴリーから探す

連載バックナンバー

最新セキュリティマネジメント

もっと見る

カテゴリー　一覧