退職前に「自分のメールに社内情報を送信」　ユナイテッドアローズの事例に学ぶ、内部不正リスクと対応

テクニカル・ディープダイブ：ユナイテッドアローズ社内情報漏洩事件の技術的・法的考察

ユナイテッドアローズの元従業員による社内情報漏洩事件は、現代の企業が直面するセキュリティリスクを浮き彫りにした。本稿では、この事件を技術的、法的な観点から詳細に分析し、企業が取るべき対策を考察する。

クラウドセキュリティの脆弱性と外部連携機能の悪用

今回の事件では、元従業員がクラウドシステム上の外部連携機能を利用して、取引先リストや広報・PR活動に関する取引資料をアップロードし、個人のメールアドレスへリンクを送付、退職後にデータをダウンロードした。この手口は、クラウドサービスの利便性を悪用した巧妙なものであり、多くの企業が同様のリスクに晒されていることを示唆する。

クラウドサービスの外部連携機能は、業務効率化に貢献する一方で、セキュリティホールとなりうる。特に、アクセス権限の設定が不十分な場合や、データの暗号化が不十分な場合、不正アクセスや情報漏洩のリスクが高まる。また、退職時のアクセス権限の削除が遅れると、退職者が不正に情報を持ち出す機会を与えてしまう。

法的責任と成立要件

今回のケースで元従業員が問われる可能性のある罪は、不正競争防止法違反、窃盗罪・横領罪、個人情報保護法違反など多岐にわたる。

• 不正競争防止法21条: 営業秘密の持ち出しは、不正競争防止法に違反する可能性がある。ただし、持ち出された情報が「営業秘密」に該当するかどうかは、秘密管理性、有用性、非公然性の3つの要件を満たす必要がある。ユナイテッドアローズが「情報の外部持ち出しを防止する措置が十分とは言えなかった」と認めている点は、秘密管理性の否定につながる可能性があり、法的判断が分かれる。
• 窃盗罪・横領罪: 電子データのみの持ち出しの場合、窃盗罪や横領罪が成立するかどうかは議論の余地がある。しかし、データの不正な取得行為が、物理的な記録媒体の窃盗と類似すると判断される場合、成立する可能性も否定できない。
• 個人情報保護法179条: 個人情報データベース等不正提供罪は、個人情報取扱事業者またはその従業者であった者が、不正な利益を得る目的で個人情報を提供した場合に成立する。今回のケースでは、約1万件の個人情報が持ち出されており、これらの情報が体系化されたものであれば、この罪に問われる可能性が高い。

企業が講じるべき対策

今回の事件を踏まえ、企業は以下の対策を講じる必要がある。

1. アクセス権限の厳格な管理: 従業員の役割に応じて、必要な情報へのアクセス権限のみを付与する。
2. データの暗号化: クラウド上に保存するデータは、暗号化することで、不正アクセスによる情報漏洩のリスクを低減する。
3. 退職時のアクセス権限の即時削除: 退職時には、速やかにアクセス権限を削除し、情報持ち出しを防止する。
4. 従業員へのセキュリティ教育: 従業員に対して、情報セキュリティに関する教育を定期的に実施し、意識向上を図る。
5. 内部監査の強化: 定期的な内部監査を実施し、セキュリティ対策の有効性を検証する。
6. ログ監視の徹底: クラウドシステムのログを監視し、不正アクセスや情報持ち出しの兆候を早期に発見する。