この記事の監修

社会保険労務士 行政書士 公認 不動産コンサルティングマスター

松原 元

平成23年12月に社会保険労務士登録、平成25年5月に行政書士登録し、ダブルライセンスで労務・社会保険関係から建設業、宅建業、産廃等の 許認可の取得・維持までをワンストップで対応可能。資金繰りのサポートも行っており、２００件以上の融資支援実績を持つ。

はじめに：中小企業の情報持ち出しリスクと適切な初動対応の重要性

従業員による情報持ち出しは、大規模なサイバー攻撃とは異なり、日々の業務の延長で発生するケースが少なくありません。「自宅で仕事をするためにデータを持ち帰った」「会社のPC環境や通信環境が悪かったため、やむを得ず私物USBメモリを利用した」といった理由で、企業の機密情報や顧客情報が、意図せず外部に持ち出されてしまう事例も耳にします。

こうした情報持ち出し事案は、万が一情報漏えいにつながれば、企業の信用失墜、損害賠償請求、行政指導など、計り知れないリスクを中小企業にもたらす可能性があります。しかし、多くの場合、経営者様や担当者様は「情報持ち出し＝即懲戒」と考えがちで、その後の対応を誤ってしまうことも少なくありません。

本記事では、社会保険労務士と行政書士の知見を持つ専門家として、従業員が私物USBメモリに会社の情報を保存し持ち出した事例を基に、中小企業が取るべき初動対応から、リスクを最小限に抑え、再発を防止するための具体的なステップについて解説いたします。従業員30名までの限られたリソースの中でも実行可能な、現実的な対策に焦点を当ててご紹介します。

目次

• 結論先出し：情報持ち出し事案への対応は、多角的な事実確認が原則です
• 今回の相談事例：現場監督による私物USBメモリへの情報保存・持ち出し
• この問題の本質：従業員個人の責任と会社の管理体制の双方を検討する
• 中小企業が陥りやすい「情報持ち出し事案」対応での失敗例
  • 「情報を持ち出した＝即懲戒」と判断してしまう
  • USBメモリが見つかったから問題ないと判断する
  • 従業員だけに責任を負わせ、会社側の問題を見過ごす
  • 現場の実務上の事情を確認しないまま、ルール違反とだけ認識する
• 当事務所ならどう整理し、提案するか：初動対応のステップ
• 初動ヒアリングで最低限確認すべき事項
• 就業規則や規程だけを見ても不十分な理由
• 中小企業が今すぐできる実務上のチェックポイントと対策
  • 私物記録媒体（USBメモリ等）の利用ルールを明確にする
  • 技術的な対策の検討と導入
  • 情報持ち出し・利用に関する承認手続きの整備
  • 現場の実態を踏まえたルールの設計と運用
  • 定期的な情報セキュリティ教育の実施
• Q&A：情報持ち出し事案に関するよくある疑問
  • Q1: 私物USBメモリの使用は完全に禁止すべきでしょうか？
  • Q2: 情報セキュリティ規程がない場合、どうすれば良いですか？
  • Q3: 万が一、情報漏えいが発生したらどうすべきですか？
• まとめ：情報持ち出し事案への対応は、組織全体の情報管理体制を見直す契機に

結論先出し：情報持ち出し事案への対応は、多角的な事実確認が原則です

私物USBメモリなどによる情報持ち出し事案では、従業員個人の責任だけでなく、会社の管理体制や現場の実態も踏まえ、多角的に検討を進めることが原則として重要です。安易な懲戒処分は、かえって企業のリスクを高める可能性があります。まずは事実関係を正確に把握し、法的なリスクと再発防止の視点から総合的な対策を講じることをお勧めいたします。

今回の相談事例：現場監督による私物USBメモリへの情報保存・持ち出し

ある建設会社での出来事です。現場監督のF様は、自宅で工事図面を確認する必要があると感じ、会社から貸与されているパソコンから、ご自身の私物USBメモリに工事図面や顧客情報を保存し、自宅へ持ち帰っていました。F様は「現場では通信環境が悪く、会社のために効率よく仕事を進める必要があった」と説明しています。

しかし、そのUSBメモリを一時的に紛失していたことが判明しました。幸いにも数日後には自宅で見つかりましたが、以下の状況が明らかになりました。

• 保存されたデータは暗号化されていなかった
• 私物USBメモリへの持ち出し許可の記録がなかった
• 第三者がデータの内容を閲覧したという客観的な証拠はなかった

さらに調査を進めると、F様以外にも同様の運用をしている従業員がいる可能性があり、一部の上司もその実態を黙認していた疑いがあることが分かりました。経営層からは「無断で持ち出したのだから懲戒処分を検討すべきではないか」という声が上がっています。

この問題の本質：従業員個人の責任と会社の管理体制の双方を検討する

この事例の本質は、単に「USBメモリを紛失したこと」だけにとどまりません。本当に確認すべきは、「会社の情報管理ルールが実態として機能していたのかどうか」という点にあります。

もし、現場で私物USBメモリの利用が常態化しており、それを管理職も把握していたにもかかわらず、会社として十分な代替手段（例えば、安全なクラウドサービスやVPN環境の整備など）を提供していなかったとすれば、今回の事案を従業員個人の問題としてのみ片付けるのは適切ではないかもしれません。従業員の行為と、企業の管理体制の双方を切り分けて検討することが、再発防止と適切な対応のために不可欠となります。

中小企業が陥りやすい「情報持ち出し事案」対応での失敗例

情報持ち出し事案が発生した際、中小企業では特に以下の失敗に陥りやすい傾向が見られます。

「情報を持ち出した＝即懲戒」と判断してしまう

懲戒処分は、従業員の企業秩序違反行為に対して科されるものであり、その有効性には厳格な条件が伴います。就業規則や情報セキュリティ規程において、情報持ち出しに関する規定が明確に定められているか、またその運用が過去から一貫して行われていたかを確認せずに、安易に懲戒を検討することはリスクを伴います。場合によっては、不当な懲戒として訴訟に発展する可能性も考えられます。

USBメモリが見つかったから問題ないと判断する

結果として情報漏えいが確認されなかったとしても、以下の事実は重要な問題として認識し、改善を検討する必要があります。

• 暗号化されていない記録媒体が業務に使用されたこと
• 会社の許可なく情報が持ち出されたこと
• 記録媒体の紛失が発生したこと

これらの事実は、将来的な情報漏えいリスクを内包しており、再発防止の観点から検証と対策が不可欠です。

従業員だけに責任を負わせ、会社側の問題を見過ごす

管理職が私物USBメモリの利用を黙認していた場合や、会社として安全な情報持ち出し・共有の代替手段を十分に整備していなかった場合には、個人の責任だけでなく、会社の制度や管理体制にも改善すべき点があると考えられます。従業員にのみ責任を押し付ける姿勢は、従業員の士気を低下させ、職場内の信頼関係を損なうことにもつながりかねません。

現場の実務上の事情を確認しないまま、ルール違反とだけ認識する

「現場では通信環境が悪く、VPNが利用しづらい」「貸与PCの容量が不足している」といった、従業員がやむを得ずルールを逸脱する背景には、実務上の事情が存在する場合があります。これらの事情を十分に確認せずに、形式的なルール違反としてのみ捉えることは、根本的な問題解決を遠ざける可能性があります。業務環境そのものを見直す視点も重要です。

当事務所ならどう整理し、提案するか：初動対応のステップ

情報持ち出し事案が発生した場合、当事務所では、まず冷静かつ客観的に事実関係を整理し、以下のステップで対応を進めることをご提案いたします。

1. F様本人への丁寧なヒアリング： 事実関係、意図、背景などを詳細に確認します。
2. 保存されていたデータの内容と範囲の確認： どのような種類の情報（個人情報、機密情報など）、どの程度の量が持ち出されたのかを特定します。
3. 就業規則・情報セキュリティ規程の確認： 関連する規程が存在するか、その内容は明確か、懲戒事由に該当するかを確認します。
4. 上司の承認・黙認の有無の確認： 事態を把握していたか、指示があったかなどを確認します。
5. 他社員の運用実態の把握： 同様の行為が常態化していないか、情報管理の実態を把握します。
6. 情報漏えいリスクの評価： 持ち出された情報の重要性、紛失期間、暗号化の有無などから、具体的なリスクレベルを評価します。

これらの事実確認を踏まえた上で、

• 従業員個人の責任範囲
• 管理職の管理監督責任
• 会社の情報管理制度上の課題

を整理し、それぞれに対する適切な対応策を検討していきます。

初動ヒアリングで最低限確認すべき事項

従業員本人への初回ヒアリングは、感情的にならず、事実関係の確認に徹することが重要です。少なくとも次の事項は確認するようお勧めいたします。

• 私物USBメモリを利用し始めた具体的な理由
• 保存していたデータの内容（ファイル名、種類、機密性など）
• 顧客情報や個人情報の有無とその詳細
• 持ち出しの頻度と期間
• 会社からの承認を受けたことがあるか、またその記録の有無
• 直属の上司が本件を認識していたか、またその認識度合い
• USBメモリを紛失してから発見されるまでの詳しい経緯
• 他の従業員も同様の運用をしているか、あるいはそう見聞きしたことがあるか
• 会社が実施した情報セキュリティ教育の受講状況
• 私物USBメモリの利用以外に、安全な代替手段（例えばVPN接続、社内クラウドサービスなど）が利用可能であったか

これらの情報は、後のリスク評価や懲戒の検討、再発防止策の立案において重要な基礎となります。

就業規則や規程だけを見ても不十分な理由

多くの企業で、就業規則に「会社の情報の持ち出しは許可制とする」といった規定を設けていることと存じます。しかし、それだけでは不十分であるケースが少なくありません。

• 「私物USBメモリの使用は禁止なのか」
• 「持ち出すデータは暗号化が義務付けられているのか」
• 「会社が提供するクラウドサービスやファイル共有システム以外の利用は認められないのか」

といった詳細までが明確に規定されていない場合があります。

また、規程は存在しても、現場の実態としてその運用が形骸化していたり、管理職が黙認しているケースも散見されます。規程が絵に描いた餅になっていないか、「規程と実際の運用が一致しているか」を確認することが、適切な対応と再発防止の鍵となります。規程と運用に乖離がある場合、それを基に懲戒処分を下しても、後に無効とされるリスクも考慮する必要があります。

中小企業が今すぐできる実務上のチェックポイントと対策

従業員30名までの中小企業においても、コストと工数を抑えつつ、情報管理体制を強化することは可能です。以下のチェックポイントを参考に、自社の状況に合わせた対策を検討してください。

私物記録媒体（USBメモリ等）の利用ルールを明確にする

まずは、私物記録媒体の利用についての方針を明確にすることが第一歩です。原則禁止とするのか、特定の条件下で利用を認めるのかを決定し、就業規則の服務規律や情報セキュリティ規程に明記しましょう。

• 原則禁止とする場合： 私物USBメモリなどへのデータ保存や持ち出しを原則禁止し、必要な場合は会社貸与の機器やサービスを利用することを義務付けます。代替手段がない場合は、その整備を検討します。
• 例外を設ける場合： やむを得ない事情がある場合に限り、申請・承認手続きを経た上で利用を認めるルールを設けます。その際、暗号化の義務付けや使用期間の制限などを条件とすることが考えられます。

中小企業庁では、中小企業向けの具体的な情報セキュリティ対策ガイドラインを提供しています。これらの情報を参考に、自社に合ったルール作りを進めることが原則として有効です。経済産業省：中小企業向け情報セキュリティ対策

技術的な対策の検討と導入

ルールだけでなく、技術的な側面からの対策も重要です。高額なシステム導入が難しい場合でも、以下のような比較的低コストで導入可能な対策が考えられます。

• データの暗号化： 持ち出しが必要なデータについては、原則として暗号化を義務付けます。市販の暗号化ソフトや、Windowsに標準搭載されている暗号化機能（BitLockerなど）の活用も検討できます。
• アクセス制御： 社内ネットワークや共有フォルダへのアクセス権限を、業務上必要な従業員に限定します。
• ログ管理： 会社貸与のPCにおけるUSBメモリの接続履歴やファイルアクセス履歴などを、可能な範囲でログとして取得し、有事の際の調査に活用できるよう体制を整えることも検討できます。

これらの対策は、情報漏えいのリスクを軽減するだけでなく、万が一の事態が発生した際の原因究明にも役立ちます。

情報持ち出し・利用に関する承認手続きの整備

情報持ち出しを完全に禁止することが業務上困難な場合は、以下の点を踏まえた承認手続きを整備しましょう。

• 申請書の作成： 持ち出す情報の種類、目的、期間、利用する媒体、セキュリティ対策（暗号化の有無など）を記載する申請書を準備します。
• 承認フローの確立： 申請書の承認権限者を明確にし、承認までの流れを定めます。原則として、直属の上司だけでなく、情報セキュリティ担当者や部門長の承認も経ることを検討してください。
• 記録の保管： 申請書と承認記録は、後々確認できるよう適切に保管します。

この手続きを徹底することで、情報の所在を明確にし、不適切な持ち出しを抑制することが期待されます。

現場の実態を踏まえたルールの設計と運用

ルールは策定するだけでなく、従業員が遵守できる実効性のあるものであることが重要です。現場の業務環境や実態を考慮し、従業員が納得できるようなルールを設計することが望ましいでしょう。

• 代替手段の提供： 私物USBメモリを使わざるを得ないような状況がある場合、会社として安全な代替手段（例えば、VPN環境の整備、安全なクラウドストレージの導入、会社貸与のモバイルWi-Fiルーターなど）を提供することを検討します。
• 意見の収集： ルール策定にあたっては、従業員からの意見や現状の課題を吸い上げる機会を設けることで、より実態に即した、運用しやすいルール作りにつながります。

形骸化しない運用を実現するためには、従業員とのコミュニケーションも不可欠です。

定期的な情報セキュリティ教育の実施

情報セキュリティに関するルールや意識は、一度の研修だけでは定着しません。定期的な教育を継続して実施することが重要です。

• 事故事例の共有： 他社の情報漏えい事故事例や、自社で発生したヒヤリハット事例などを具体的に共有し、従業員一人ひとりが情報セキュリティの重要性を肌で感じられるように工夫します。
• ルールと手順の再確認： 定期的に情報セキュリティ規程の内容や、情報持ち出しの手順などを再確認する機会を設けます。
• 参加型の研修： 一方的な説明だけでなく、Q&A形式やグループディスカッションを取り入れることで、従業員の理解度を高めることが期待されます。

厚生労働省のウェブサイトなどでも、労働者の雇用管理に関する情報セキュリティに関する情報が提供されている場合があります。これらを参考に、自社の教育プログラムを構築するのも一案です。厚生労働省：就業規則の作成・変更について

Q&A：情報持ち出し事案に関するよくある疑問

Q1: 私物USBメモリの使用は完全に禁止すべきでしょうか？

A1: 原則として、私物USBメモリなど外部記憶媒体の業務利用は完全に禁止することが、情報セキュリティリスクを最小化する上で最も望ましいと考えられます。なぜなら、私物媒体は会社の管理下にないため、紛失やウイルス感染のリスクが高く、セキュリティ対策が困難だからです。

しかし、業務の実態として「現場でインターネット環境が不安定で、データ持ち出しが必須」「会社貸与のPCでは処理能力が不足する」といったやむを得ない事情がある場合もあるかもしれません。その際は、完全に禁止するのではなく、以下のような代替策や厳格な利用条件を設けることを検討します。

• 会社からセキュリティ対策済みのUSBメモリを貸与し、その利用を義務付ける
• 承認制とし、持ち出し情報を限定、暗号化を必須とする
• 安全なクラウドサービスやVPN環境を整備し、私物媒体の利用を不要にする

重要なのは、従業員が「なぜ私物を使わざるを得ないのか」という背景にも目を向け、根本的な解決を図ることです。

Q2: 情報セキュリティ規程がない場合、どうすれば良いですか？

A2: 情報セキュリティ規程がない場合、速やかに策定することをお勧めいたします。規程がなければ、従業員は何をすればルール違反になるのか、また会社としてどのような対策を取っているのかが不明確になり、情報漏えいのリスクが高まる傾向があります。

まずは、以下のようなステップで策定を進めることが考えられます。

1. 基本方針の決定： 経営陣として、情報資産をどのように保護していくのかの基本的な考え方を決定します。
2. 適用範囲の明確化： 規程が適用される従業員、情報資産、業務範囲を明確にします。
3. 具体的なルールの明記： 情報の分類、取り扱い方法、アクセス権限、外部記録媒体の利用に関するルール、パスワード管理、PC利用時の注意点などを具体的に記載します。
4. 懲戒に関する規定との連携： 規程違反が就業規則上のどの懲戒事由に該当するのかを明確にし、必要に応じて就業規則を改訂します。
5. 従業員への周知徹底： 策定した規程は、従業員全員に周知し、説明会などを通じて理解を深める努力が不可欠です。

中小企業向けのガイドラインやテンプレートも存在しますので、それらを参考に、自社の実情に合わせた規程を策定することが原則として良いでしょう。J-Net21：中小企業向け情報セキュリティ対策

Q3: 万が一、情報漏えいが発生したらどうすべきですか？

A3: 万が一情報漏えいが発生してしまった場合、迅速かつ適切な対応が被害の拡大防止と企業の信頼回復に繋がります。

1. 速やかな事実確認と状況把握： 漏えいの発生源、原因、漏えいした情報の種類と範囲、漏えい先の特定を急ぎます。
2. 被害の拡大防止と情報の回収・削除： ネットワークからの遮断、情報の拡散防止措置、可能であれば漏えいした情報の回収や削除を試みます。
3. 関係各所への連絡・報告： 漏えいの状況に応じて、監督官庁（個人情報保護委員会など）、警察、取引先、顧客、従業員など、影響を受ける可能性のある関係各所へ、適切なタイミングで連絡・報告を行います。
4. 原因究明と再発防止策の策定・実施： なぜ発生したのかを徹底的に究明し、二度と同様の事態が起こらないよう、情報セキュリティ体制や従業員教育の見直し、技術的対策の強化など、具体的な再発防止策を策定し実施します。
5. 専門家への相談： 法的リスクや対外的な説明責任などを考慮し、弁護士、情報セキュリティ専門家、社会保険労務士などの専門家に速やかに相談し、アドバイスを求めることが望ましいでしょう。

情報漏えいは、企業に甚大な損害を与える可能性があります。日頃からの対策に加え、万が一の事態に備えたインシデント対応計画を策定しておくことも重要です。

まとめ：情報持ち出し事案への対応は、組織全体の情報管理体制を見直す契機に

従業員による情報持ち出し事案に直面した際、「持ち出した従業員が悪い」という結論を性急に出してしまうことは避けるべきです。まずは、以下の点を冷静かつ客観的に整理することが重要であると当事務所は考えます。

• 何が、どの程度持ち出されたのか
• 就業規則や情報セキュリティ規程ではどのように定められているのか
• 管理職はどの程度事態を認識し、関与していたのか
• 現場ではどのような運用が実態として行われていたのか

これらの事実関係を整理した上で、必要に応じて懲戒の可否を慎重に検討するとともに、今回の事案を会社全体の情報管理体制を見直す貴重な契機として捉えることが望ましいでしょう。具体的には、私物USBメモリ利用ルールの明確化、情報持ち出し承認制度の導入、データの暗号化義務化、そして何よりも安全かつ利便性の高い代替手段の整備など、多角的な改善策を講じることが再発防止に繋がります。

従業員30名までの中小企業においても、専任の人事部や法務部がいない状況でも、こうした情報セキュリティに関する課題に現実的に取り組むことは可能です。個人の責任追及だけで終わらせず、制度と運用の両面から改善策を講じる視点を持つことが、企業の持続的な成長と信頼確保には不可欠であると、当事務所は考えております。

本記事の内容は一般的な情報提供を目的とするものであり、個別の事案については必ず専門家にご相談ください。