情報漏洩が起こる原因や具体的なリスクとは？企業向けの対策も解説

システム障害

システム障害によっても情報が外部に漏れることがあります。普段は非公開にしてあるデータがシステム障害により、意図せず全体に公開されるケースがこれに該当します。

機器やシステムの障害は避けられない事故とも言えますが、システム障害が発生する前提で情報漏洩の対策を行うことが必要です。これには、レプリケーションやバックアップの準備、システムの定期的なメンテナンスが含まれます。

内部の不正行為

従業員や元従業員による内部の不正行為も原因に含まれます。IPAが行った「企業における営業秘密管理に関する実態調査2020」によると、営業秘密の漏洩ルートで最も多いのは中途退職者（役員、正規社員）であり、その割合は全体の36.3％にまでのぼります。

これは、内部の不正行為によっても情報漏洩が十分に起こっていることを示しています。現職社員に対しては、アカウント管理やデータのアクセス権限を適切に設定し、アクセス記録を取得するなどの対策が有効です。退職者に対しては情報の持ち出しを防ぐための措置や、秘密保持契約の徹底が求められます。

社会的信用を失う

個人情報や機密情報が外部に漏れると、企業はその時点で社会的信用を失います。情報管理が不十分な企業というレッテルが貼られ、契約解除や新規顧客開拓の困難化といった結果に直面する恐れがあります。

個人消費者からの信用も失い、企業経営に大きなダメージが生じることも十分にあるでしょう。特にSNSが普及した現代では、マイナスイメージが急速に広がり、業績の悪化を招くリスクが高まります。

損害賠償を請求される

被害を受けたユーザーから損害賠償を請求されるケースもあります。損害賠償の額は大きく、原因調査や顧客対応にかかるコストを考えると、企業にとっての損失は非常に大きなものとなるでしょう。

さらに、情報漏洩が重大な違反と見なされた場合、損害賠償の額が1億円を超えるケースも少なくありません。企業の金銭的損失を防ぐためにも、情報漏洩の徹底的な対策が求められます。

システムやアプリケーションへの攻撃

情報漏洩によりIDやパスワードなどが流出すると、システムやアプリケーションが攻撃されるリスクがあります。不正ログインによってシステム内部にアクセスされ、個人情報や脆弱性が外部に露呈する恐れがあるのです。

そのほか、自社の経営者や役員になりすまし、金銭の振り込みを要求されるなどの金銭的リスクも想定されます。このように、情報漏洩は企業にとって深刻なリスクとなり得ます。

【関連記事】サイバー攻撃34種類の手口と対策｜最新の被害事例も紹介

一般社団法人共同通信社

2023年11月、一般社団法人共同通信社は従業員4,313人の個人情報が流出した恐れがあると発表しました。この情報漏洩は、同社が運用するサーバー機器への不正アクセスが原因でした。

サーバー内部には同社やグループ会社の従業員4,313人の個人情報が格納されており、これが外部へ流出した可能性があると報告されています。同社の公式サイトによると、11月2日時点では不正使用などの二次被害は確認されていないとのことです。

この問題を受け、同社は対象者に対してメールでの個別連絡、セキュリティ対策の強化に取り組むと発表しました。

株式会社マイナビ

株式会社マイナビは2023年10月、就職情報サイト「マイナビ」の応募管理システム「MIWS」に不具合が発生し、学生1,662人の個人情報を他企業が取得できる状態にしたことを公表しました。

この不具合は、同年8月にある企業から報告された「本来取得できない応募者の個人情報が閲覧できる」という指摘がきっかけで発覚しました。9月に修正が行われたものの、その後の調査で合計15社で同様の障害が発生していたことが判明しました。

流出の対象となったのは、「マイナビ2023」「マイナビ2024」「マイナビ2025」に登録した一部学生1,662名の氏名や所属、連絡先です。株式会社マイナビは個人への連絡と、15社への情報削除の依頼を行いました。

NTT西日本グループ

内部の不正行為による情報漏洩事例として、NTT西日本グループの子会社で約900万件の顧客情報を不正流出させた問題が挙げられます。NTT側は2022年4月、業務委託元の企業から顧客情報の漏洩の可能性を指摘されたものの、社内調査の結果「漏えいはない」と回答していました。

しかし、結果的に元派遣社員が原因であることが判明し、2023年に入るまで流出が続いていました。NTT側はこの事態を受け、社内調査の適正性について検証を進めると発表。そして、NTT西日本の森林正彰社長は「私にも責任はある」と謝罪を行いました。

従業員のリテラシーを高める

情報漏洩の主な原因として人為的なミスがあり、これは従業員のリテラシーを高めることでリスクを低減できます。従業員のリテラシーを高めるためには、定期的な情報漏洩に関する教育や勉強会の開催が必要です。

情報漏洩に関するルールを策定し、従業員に共有しておくこともポイントです。情報漏洩のリスクを従業員全体に理解してもらうことで、不注意や確認不足によるリスクを減らせます。

デバイス情報の扱い方を策定する

デバイス情報の扱い方を策定し、社内全体に共有することも重要な対策です。例えば、社用PCの勤務時間外の持ち出しを禁止にしたり、社内のUSBメモリの持ち出しに制限を設けたりするなどが挙げられます。

近年は従業員のスマートフォンから情報漏洩が起こるケースも増えているため、社内情報の取り扱いに対する注意喚起がより一層必要です。デバイス情報の扱い方を明確にし、従業員に周知しておくことで、デバイスの紛失・置き忘れによるリスクが減少します。

セキュリティソフトを導入する

信頼性の高いセキュリティソフトの導入は、情報漏洩に関わる攻撃の監視とリスク防止に役立ちます。セキュリティソフトは以下のような攻撃に対して有効です。

パソコンだけでなく、IoT機器やスマートフォンを狙ったサイバー攻撃が増えている背景から、全てのデバイスに対するセキュリティソフトの導入が求められます。これにより、さまざまな角度から情報漏洩のリスクを減らすことが可能となります。