内部不正対策の分類と助言
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目9 情報セキュリティの意識向上：『9-2 情報セキュリティに関するアドバイス』『9-3 内部不正による情報漏えいの防止』
事例
A 社は、従業員 150 名の設計事務所である。今年度の情報セキュリティ教育は、年 1 回の集合研修だけで、受講しなかった従業員が全体の 25 % いた。この結果を受けて、総務部は、教育計画を、受講しなかった者への動画による補講と、新入社員向けの研修を加えた形に見直した。
続いて、経営会議は、内部不正による情報漏えいを防ぐ対策を、全部門に広げる方針を決めた。設計部の情報セキュリティ担当者（以下、担当者）は、部門会議で、情報システム部が示した対策の候補のうち 4 つを説明した。
情報システム部は、内部不正の対策を、次の 3 つに分けて整理している。
・抑止：不正をすれば見つかること、処分されることを従業員に知らせ、不正をする気をなくさせる。
・予防：不正の実行そのものを、できなくする、又はしにくくする。
・検知：実行された不正を、記録の確認などで見つける。
担当者が説明した対策を、表1に示す。
| No. | 対策 | 分類 |
|---|---|---|
| 1 | 退職する者の利用者 ID を、退職日に無効にする。 | 予防 |
| 2 | 設計部の PC では、USB メモリなどの外部媒体への書き出しを、システムの設定で、できないようにする。 | a1 |
| 3 | 図面管理サーバーの操作ログを、情報システム部が毎月確認し、通常の業務に合わない大量の持出しがないかを調べる。 | a2 |
| 4 | 操作ログを確認していること、及び不正が分かれば懲戒処分にすることを、年 2 回の研修で全従業員に伝える。 | a3 |
説明のあと、部門メンバーの B さんから、「4 つの対策は、どれも内部不正の対策としか思えず、違いが分からない。それぞれが 3 つのどれにあたるのかを教えてほしい」という質問があった。担当者は、表1の分類を、a1〜a3 のように整理して答えることにした。
表1中の a1〜a3 に入れる分類の組合せを、解答群の中から選べ。
正解：ク a1：予防／a2：検知／a3：抑止
ポイント
内部不正の対策を、本文の定義に従って、抑止・予防・検知に分けて助言する事例です。
考え方と解き方
決め手は、本文の 3 つの定義と、各対策が何を狙っているかです。ログや研修という言葉の印象ではなく、「できなくする」「見つける」「気をなくさせる」のどれにあたるかで分けます。a2 と a3 はどちらもログに関わるので、取り違えやすい所です。
- a1 は、システムの設定で外部媒体への書き出しをできなくするので、不正の実行そのものをできなくする予防です。
- a2 は、操作ログを毎月確認して、すでに行われた大量の持出しを調べるので、実行された不正を見つける検知です。
- a3 は、ログを確認していることと懲戒処分になることを伝え、不正をする気をなくさせるので、抑止です。
- したがって、a1 が予防、a2 が検知、a3 が抑止の組合せで、ク です。
ほかの選択肢
- ア a1は予防です。システムの設定で書き出しをできなくするのは、不正の実行そのものを防ぐ働きで、従業員に知らせて気持ちをなくさせる抑止ではありません。a3は抑止です。確認していることと処分を伝えるのは、不正の実行をできなくするのではなく、実行する気をなくさせるものです。
- イ a2は検知です。操作ログを確認して大量の持出しを調べるのは、実行された不正を見つける働きで、従業員に知らせる抑止ではありません。a3は抑止です。研修で伝えるだけで、不正を見つけるわけではありません。ログを確認するのは a2 の対策です。
- ウ a1は予防です。書き出しをできなくする設定は、実行された不正を見つける働きではありません。a2は検知です。ログの確認は、不正の実行をできなくするものではなく、実行されたものを見つけるものです。
- エ a1は予防です。システムの設定で書き出しをできなくするのは、不正の実行そのものを防ぐ働きで、従業員に知らせて気持ちをなくさせる抑止ではありません。a3は抑止です。研修で伝えるだけで、不正を見つけるわけではありません。ログを確認するのは a2 の対策です。
- オ a2は検知です。ログの確認は、不正の実行をできなくするものではなく、実行されたものを見つけるものです。
- カ a1は予防です。システムの設定で書き出しをできなくするのは、不正の実行そのものを防ぐ働きで、従業員に知らせて気持ちをなくさせる抑止ではありません。a2は検知です。ログの確認は、不正の実行をできなくするものではなく、実行されたものを見つけるものです。a3は抑止です。研修で伝えるだけで、不正を見つけるわけではありません。ログを確認するのは a2 の対策です。
- キ a1は予防です。書き出しをできなくする設定は、実行された不正を見つける働きではありません。a2は検知です。操作ログを確認して大量の持出しを調べるのは、実行された不正を見つける働きで、従業員に知らせる抑止ではありません。a3は抑止です。確認していることと処分を伝えるのは、不正の実行をできなくするのではなく、実行する気をなくさせるものです。
覚えておくこと
- 内部不正の対策は、気をなくさせる抑止、実行をできなくする予防、実行されたものを見つける検知に分ける
- 同じログでも、確認して不正を見つけるのは検知、確認していることを知らせるのは抑止