情報セキュリティ管理士 組織・人のセキュリティの対策｜内部不正

情報漏えいの原因は、外部からの攻撃だけではありません。誤送信や紛失のような うっかり（過失） と、持ち出しや不正な閲覧のような わざと（故意） の両方が、組織の中の人から起こります。人的対策は、その両方を減らすために、ルール（規程）・教育・監督・契約・環境 を組み合わせるものです。

個人情報保護法第24条は、従業者に個人データを扱わせるときに、安全管理が図られるよう 必要かつ適切な監督 を行うことを求めています。個人情報保護委員会のガイドライン（通則編）では、「従業者」は事業者の指揮監督を受けて業務に従事している者で、雇用関係にある社員やアルバイトだけでなく、取締役や派遣社員なども含むと説明されています（2026年9月27日確認）。

IPA のガイドライン第5版は、雇用の流動化で退職者が増えることのリスクを踏まえ、人的管理の対策を追記したとしています（IPA、2026年9月27日確認）。退職の直前に大量のデータをダウンロードする、といった兆候に気づける仕組み（ログの確認）も対策の一つです。

個人データの取扱いを委託すると、委託先は「第三者」に当たらないため本人の同意なしで渡せます（個人情報保護法第27条第5項第1号）。その代わり、委託元には 委託先を監督する義務 があります（第25条）。

• 選定：委託先の安全管理の体制が、自社と同じ水準を満たすかを確かめてから選ぶ。
• 契約：秘密保持、目的外利用の禁止、再委託の条件（事前の承諾など）、事故時の報告、契約終了時のデータの返却・消去を取り決める。
• 確認：定期的に報告を受ける、監査を行うなどで、契約どおりに扱われているかを確かめる。
• 再委託：再委託先で事故が起きても、委託元の監督の責任は問われ得る。再委託の有無と管理の状況を把握する。

委託先や取引先を踏み台にする攻撃は、10大脅威 2026 組織編で「サプライチェーンや委託先を狙った攻撃」として2位に挙がっています（IPA、2026年9月27日確認）。サプライチェーン攻撃は、2026年2月の試験から追加された範囲でもあります。詳しくは第9章 2026年追加範囲で扱います。

教育は「年に1回、全員に同じ資料を読ませる」だけでは効果が上がりにくいとされます。対象・内容・方法・効果の確認 の4つを決めると、試験の選択肢の良し悪しも判断しやすくなります（当サイトの整理）。

訓練メールでは、開封したかどうかより、不審なメールに気づいたときに報告できたか を重視する考え方があります。開封率だけで評価すると、報告しにくい雰囲気を作りかねないからです（当サイトの考え）。

SNS は、個人の投稿が一瞬で広く拡散する点で、組織にとっての新しい漏えい経路です。脅威は大きく、従業員の投稿による漏えい・炎上 と、SNS を入口にした攻撃 に分けられます（当サイトの整理）。

IPA の「組織における内部不正防止ガイドライン」は2013年に作られ、2022年4月に第5版 に改訂されました。ページの公開日は2022年4月6日、最終更新は2025年5月19日です（IPA、2026年9月27日確認）。ガイドラインは、犯罪学の 状況的犯罪予防 の考え方を内部不正の防止に当てはめ、次の5つを基本原則としています。

ガイドラインは、この基本原則のもとで、「基本方針」「資産管理」「技術的管理」「職場環境」「事後対策」など 10の観点・合計33項目 の具体的な対策を示しています（IPA、2026年9月27日確認）。

4択では、対策と原則の組み合わせがよく問われます（当サイトの作問の観点）。「ログを監視していると周知する」は、犯行そのものを難しくするより 見つかるリスクを高める 対策、「データの暗号化」は持ち出しても使えなくする 見返りを減らす 対策、と対応させてください。

営業秘密として法律の保護を受けるには、秘密として管理されていること（秘密管理性）、事業活動に有用であること（有用性）、公然と知られていないこと（非公知性） が必要です（不正競争防止法第2条第6項）。内部不正の対策で「秘密であることを示して管理する」ことは、法的な保護を受ける条件にもつながります。

個人データの取扱いを外部に委託する場合の対応として、個人情報保護法の考え方に照らして最も適切なものはどれか。

1. 1委託先は第三者に当たらないので、委託元が委託先を監督する必要はない
2. 2委託先が再委託した先で起きた事故は、委託元とは関係がないものとして扱う
3. 3契約を結んだ後は、委託先の取扱いの状況を確認する必要はない
4. 4委託先の選定、契約での取り決め、取扱いの状況の確認を通じて監督する

正解：4。第25条は、委託した個人データの安全管理が図られるよう、委託先に対する必要かつ適切な監督を求めています。選定・契約・確認は、その具体的な方法です。

1 について、第三者に当たらないのは同意が要らないという意味で、監督の義務は残ります。2 の再委託先の事故も、委託元の監督の責任が問われ得ます。3 は契約後の確認を省いており、監督として不十分です。

IPA の内部不正防止ガイドラインの基本原則のうち、「捕まるリスクを高める（やると見つかる）」に最も当てはまる対策はどれか。

1. 1重要なデータへのアクセスを記録し、記録を確認していることを従業員に周知する
2. 2持ち出されても中身を読めないように、重要なデータを暗号化して保存する
3. 3人事評価の基準を明らかにし、不満を相談できる窓口を設ける
4. 4情報の取扱いのルールを文書にし、全従業員から誓約書を受け取る

正解：1。記録（ログ）をとって確認し、それを周知することで、不正をすれば見つかると思わせます。

2 は持ち出しても使えなくする「犯行の見返りを減らす」、3 は不満などの動機を減らす「犯行の誘因を減らす」、4 は「知らなかった」を言わせない「犯罪の弁明をさせない」に当たる対策です。

従業員が退職するときの情報セキュリティ対策として、最も適切なものはどれか。

1. 1退職後も問い合わせに対応できるよう、社内システムのアカウントを残しておく
2. 2退職者との関係を損なわないよう、貸与したノートPCの返却は求めない
3. 3退職日に合わせてアカウントを停止し、貸与した機器と媒体を回収する
4. 4退職の手続きが終わるまで、業務上のアクセス権を追加で与えておく

正解：3。退職時は、アカウントの停止と、貸与した機器・媒体の回収が基本です。あわせて退職後の秘密保持を確認します。

1 は退職者のアカウントが残り、不正な利用や乗っ取りの入口になります。2 は情報が入った機器が組織の外に残ります。4 は最小権限の考え方に反し、持ち出しの機会を増やします。

人的対策の問題は、「誰に（従業員・委託先・組織）」「いつ（採用・在職・退職）」「どの原則で」 の3つの軸で整理すると、選択肢を切りやすくなります。

登録不要の無料お試し20問で本番の形（○×と4択）を確かめ、章別ドリルは対策ページから。物理的な対策と事業継続は第5章、脅威の種類は第6章で扱います。