何かの腹いせか？退職社員が「一ヵ月後にデータが消去される」自動プログラムを仕込んでいた……

会社側は泣き寝入りするしかないのか？

　本件で会社側が直面した問題は2つ。1つ目は「データが消えた」という事実そのもの、2つ目は「誰がデータを消したのか、その理由を証明できるか」という立証の問題です。

　退職後に発動する自動削除プログラムという手口は、この2つの問題を同時に難しくします。データが消えた時点で当該従業員はすでに退職しており、削除プログラムが仕込まれた経緯を追うためには、在職中の操作ログを遡らなければなりません。この記録が残っていなければ、悪意ある行為を立証することは極めて困難です。

　では、会社側はこうした事態に備えて何をすべきか。また、今回の裁判で争った会社はどうだったのか。その理解をしやすくするため、ここでいったん裁判所の判断を見ておきましょう。

　まず原則として、社員が業務として作ったソフトウェア（プログラムやデータなど）は会社の財産となります。したがって、社員が勝手にこれを削除したりすることは、会社の財産を消滅させる行為となります。

　もちろん、皆さんも会社で作業中に、プログラムやデータの削除などいくらでもやると思います。しかし、それは会社側が業務上、そうしたことも必要であると許しているからできることであり、それがなくなれば、会社の業務に支障が出るようなものを勝手に削除することは許されません。客先に提示する資料の“下書き”を削除することは許容されるかもしれませんが、実際に客先に提出する“完成品”を勝手に削除することは、会社の財産を毀損することになります。

「“防衛する価値”のあるデータ」の定義を見直そう

　さて、そういう前提に立ったとき、この財産を守るべき会社側としてはどのような対策を打っておくべきでしょうか。

　まずは事件が起こったときへの備えとして、操作ログの取得・保管を徹底することが挙げられます。実は、本件において会社側が裁判で立証できたのは、在職中の操作記録が残っていたおかげです。「いつ、誰が、何の操作をしたか」を記録し、退職後も一定期間保管しておくことは、悪意ある行為の発見と立証において決定的な意味を持ちます。

　次に、その社員の退職が決まった時点で、アクセス権限を段階的に制限することも考えましょう。特に開発者の場合は、退職通知があった後はデータの削除・変更権限を剥奪し、閲覧のみに制限する運用が有効です。そもそも削除できない状態にしておくことが最も確実な予防策だからです。

　そして最も見落とされがちな対策が、「退職後の監視」です。本件のように、退職後に発動する仕掛けに対しては、在職中の対策だけでは不十分です。退職者が関わったシステムについては、退職後も一定期間、ジョブスケジューラの登録内容や自動実行プログラムの有無を点検する運用を設けることが重要です。退職後も「何かが動いていないか」を意識的に確認することで、時限式の仕掛けを早期に発見できる可能性が高まります。

　こうした対策は、実際のところ情報漏洩に対するものとほぼ同じです。ただし、対象となるデータが外部でも使われるものであれば、こうした対策の必要性にはすぐに気づくかもしれません。一方で、業務では使うが外部では有用でもないデータなどについては、対策が甘くなりがちです。

　今回のように、漏洩ではなくデータを破壊してしまう、つまり外部で使うのではなく、会社を困らせるような目的で事件を起こすというケースは実際にあります。会社としては、こうした可能性も考慮し、安全対策の対象とする情報の範囲を広げておかなければならないということでしょう。

　悪意を持った技術者の行為を完全に防ぐことは難しいです。しかし、記録を残し、権限を絞り、退職後も目を光らせる──この3つを組み合わせることで、被害の防止と事後的な立証の両方に備えることができます。「去り際に何をされるか」という視点を、退職者管理の中に明示的に組み込むことが今まさに求められています。