従業員や退職者による情報持ち出し対策 – 法規制、検知・立証方法

近年の秘密情報の持ち出し（内部不正）事例

内部者である従業員による、企業が保有する営業秘密や個人情報といった秘密情報の不正な持ち出し（以下「秘密情報の持ち出し」といいます）は、かねてから存在していました。なかには、秘密情報の持ち出しが疑われるものの対応が難しく、秘密情報の持ち出しを行った者に対する適切な責任追及を実行できないままとなった事案も相当数あったと思われます。

昨今は特に、従業員の転職に伴う秘密情報の持ち出し事案が注目を集めています。

2023年9月には、双日株式会社の元従業員が転職元である兼松株式会社の営業秘密を不正に持ち出したとして不正競争防止法違反により逮捕されたとの報道がありました ¹。また同月、転職元の営業先に関する名刺データを転職先に提供した会社員が、個人情報保護法違反により逮捕された事案 ² も報道されています。

独立行政法人情報処理推進機構（以下「IPA」といいます）が公表している「情報セキュリティ10大脅威」2023年度版 ³ では「内部不正による情報漏えい」が「組織」向け脅威の4位にランクインしています ⁴。

本記事では、内部者（特に退職者）による秘密情報の持ち出しを取り締まる法律について触れたうえで、ログや挙動検知システムといったセキュリティ機能を活用した秘密情報の持ち出し対策のポイントを紹介します。

関係する法規制

不正競争防止法上の営業秘密にあたる場合

規制の概要

秘密情報の持ち出しに対しては、これまで不正競争防止法上の「営業秘密」⁵ に関する不正行為に対する規制 ⁶ の適用を検討することが多かったように思います。たとえば、従業員が転職するにあたり、転職元の営業秘密を不正な手段で取得して使用・開示する行為や、転職元から正当に示された営業秘密を、不正の利益を得る目的や転職元に損害を加える目的で使用・開示する行為などが想定されます。

不正競争防止法は、営業秘密に関する一定の不正行為について、10年以下の懲役または2,000万円以下の罰金（またはその両方）を科すこととしています ⁷。

また、転職する従業員による、営業秘密に関する一定の不正行為に対して、転職元は、差止請求 ⁸、損害賠償請求 ⁹ などの民事上の対抗措置をとることが可能です。

営業秘密の3要件

不正競争防止法上の保護の対象となる「営業秘密」は、以下の3要件をすべて満たす必要があります ¹⁰。

しかしながら、裁判所は、この3要件のうち、特に①秘密管理性を厳格に認定する傾向にあり、①秘密管理性を満たさないことを理由として従業員により持ち出された秘密情報が「営業秘密」に該当しないとされたケースが多数存在します。
電子情報の秘密管理性が認められる場合として「営業秘密管理指針」¹¹ は以下のような例を示しており、実務運用上参考になります。

個人情報保護法上の個人情報データベース提供罪にあたる場合

規制の概要

2014年に発覚したいわゆるベネッセ事件（株式会社ベネッセコーポレーションの委託先の従業員が名簿業者に同社の会員情報を提供した個人情報漏えい事件）を受け、不正な利益を得る目的で個人情報を漏えいした者に対しては、犯罪抑止の観点から、直接の刑事罰を科すことが必要と考えられるようになり、2017年5月に施行された改正個人情報保護法によって個人情報データベース提供罪が創設されました。

個人情報保護法上、個人情報データベース提供罪については、以下の場合に、1年以下の懲役または50万円以下の罰金に処することとされています ¹²。

また、その従業員が所属する法人も処罰され（両罰規定）、1億円以下の罰金が科されるとされています ¹³。

個人情報データベース提供罪の要件

従業員が所属企業から持ち出した情報に不正競争防止法上の「営業秘密」が含まれない場合でも、その従業員が業務に関して取り扱った「個人情報データベース等」¹⁴（を構成する個人情報）が持ち出した情報に含まれれば、個人情報データベース提供罪の構成要件を満たすことになります。

今後の動向

転職に伴って従業員が秘密情報を持ち出す際、その秘密情報には個人情報が含まれている場合が多いと考えられます（たとえば従業員が持ち出す秘密情報に転職元の顧客名簿が含まれている場合など）。また、不正競争防止法上の「営業秘密」に関する不正行為よりも、個人情報データベース提供罪のほうが構成要件を満たすことが容易な秘密情報の持ち出し事例が多いと思われます。そのため、今後は個人情報データベース提供罪に該当することを理由とした摘発事例が増加すると予想されます。

秘密情報の持ち出しの責任追及が相次ぐ理由

昨今、秘密情報の持ち出しに関する責任追及が相次いでいる理由の1つとして、持ち出しの対象となる秘密情報のデジタル化と、それに伴うセキュリティ機能を利用した対策（以下、「セキュリティ機能利用対策」といいます）の普及があると筆者は考えます。

これまでは、秘密情報の持ち出しに関する責任を追及する際のハードルの1つとして、情報を持ち出したことの証拠を十分に揃えることが困難なところがあったと思われます。たとえば、従業員が紙の顧客名簿の写真を撮ったり、その名簿を密かに一旦社外に持ち出してコピーを取ったりした場合、秘密情報の「持ち出し」を立証することは容易ではありません。ところが、昨今の秘密情報の多くは電子データとして保存されています。電子データを持ち出すためには、ファイルサーバにアクセスして、電子データをコピーして、外部に送信する必要があります。その過程の各行為において、ログが生成されます。

このログを活用したり、セキュリティ機能利用対策を講じたりすることは、内部者による秘密情報の持ち出しの立証に役立ちます。以下、詳しく説明していきます。

秘密情報の持ち出し対策

ログを活用した内部不正の立証

ログがあれば、どの従業員がいつ、どこから、どこへ、どれだけの量のファイルを持ち出したかが明らかになります。

図1は、ネットワークに関するセキュリティ機器であるUTM（Unified Threat Management）¹⁵ に保存されるトラフィックログの一例です。このトラフィックログにより、いつ（「日付/時刻」欄）、どこから（「送信元」欄）、外部のどこへ（「宛先」欄）、どれだけのパケット量（「送信バイト」欄）が送信されたのかがわかります。

このようにログを有効活用することは、従業員などの内部者による秘密情報の持ち出し事案において有効な対策となります。また、外部からのサイバー攻撃の早期検知にも役立ちます。

セキュリティ機能利用対策による不審な挙動の即時検知

セキュリティ機能利用対策の普及は、内部者による秘密情報の持ち出しとの関係で、もう1つ大きく貢献している点があります。それは、秘密情報の持ち出し時に、不審な挙動（データへのアクセス・コピー、データの外部送信など）がなされた際に、即時に情報システム管理者に通知が届くという点です。

かつては従業員が転職したあとに秘密情報の持ち出しが発覚する事案が多かったといえます。転職後に秘密情報の持ち出しが発覚した場合、転職元企業は秘密情報の持ち出しが疑われる元従業員に事情聴取することが難しく、その元従業員への民事および（または）刑事での責任追及が困難でした。

ところが、従業員による秘密情報の持ち出しの挙動をリアルタイムで検知できた場合には、秘密情報の持ち出しが疑われる従業員と転職元との間の雇用契約は存続しているため、転職元は業務命令によって従業員の事情聴取を実施しやすく、その従業員への民事および（または）刑事での責任追及が容易になります。また、懲戒解雇による対応（懲戒解雇事由があることを理由とした退職金の全部または一部を不支給とする措置など）も可能となります。