経産省指針から考える、現場で破綻しない秘密情報の「管理体制」とは？本末転倒な施策に走るまえに……

組織に維持責任が問われるのは「秘密管理性」

　定義を構成する3つの要素の中で、情報システムや情報管理に携わる者がもっとも注意すべきは「秘密管理性」です。「有用性」や「非公知性」については、そもそも情報自体に備わっている属性であるため、管理側がどうこうできるものではありません。対して秘密管理性については、それをどのように維持するか管理者側が検討できるし、検討すべきものです。

　これについては、2026年5月18日掲載の記事で紹介した裁判（東京地方裁判所 令和2年10月28日判決）でもあったとおり、たとえ情報の内容が“秘密”だと思わしきものでも、社員の誰もがアクセスできるサーバーに置いてあるような管理をしていたのでは、秘密管理性は認められない……。つまり、情報の中身はともかく、秘密情報として十分に守られていないようでは、営業秘密漏洩に問えないという判断が出ています。

　無論、これは「企業内のあらゆる情報を厳しいアクセス制限下に置け」と言っているわけではありません。「情報の大切さ、秘密性の高さに応じた秘密管理が必要」ということが、様々な司法判断の意図するところかと思います。

多くの企業で「情報管理の施策が、現場の実情を考慮できていない」

　では、実際のところ「どのような情報を、どのように管理するのが妥当なのか」について、前述した経済産業省の営業秘密管理指針も参考にしながら考えます。同指針では、組織内の情報を十把一絡げに厳しい管理下に置けとは言っていません。現実の世界では、情報管理のあるべき姿と現場の実態には少なからず乖離が生じます。同指針も、そのあたりは理解したうえでセキュリティ対策を講じるべきという考え方に基づいています。

　たとえば、情報の重要性を意識するあまり、外部の雛形などをベースに「全社外秘データはログ取得と上長承認を必須とする」だったり、「すべての重要ファイルに二要素認証を義務付ける」だったり、厳格すぎるルールを定めてしまう企業は少なくありません。しかし、実際の業務スピードや日々のIT運用リソースがその厳格さに追いつけなければ、現場は業務を回すためにルールを「バイパス（迂回）」するようになります。

　過剰な制限をすり抜けるために個人所有のツールやストレージが横行してしまうようでは本末転倒です。管理体制はむしろ悪化します。営業秘密管理におけるグラデーションの本質は、高いハードルを設けることではなく、「現場の業務を止めず、かつ確実に実行しつづけられる、自社の身の丈に合った現実的な管理水準を設定すること」です。しかし、これができている企業は驚くほど少ないのが現実です。

　また、いくらシステム上で高度なアクセス制限を設定しても、以下のような日常的な運用の綻びがあれば、すべてのセキュリティ投資は無意味と化します。

　これらはすべて、技術の不足ではなく“運用の怠慢”です。指針が言うグラデーションの適用とは、単にデータを分類することだけではなく、「誰が、どのような立場で、なぜその情報にアクセスできる状態にあるのか」を、組織の内外を問わず常に最適化しつづける運用の継続性に他なりません。さらに言えば、実情に合わない過剰なセキュリティ制限が、現場独自の手段でデータ流通や管理をするいわゆる「シャドーIT」を誘発し、結果としてガバナンスの破綻を招くリスクもあります。

　経済産業省の指針はこうしたリスクを考慮して、「情報の重要性」と「現場の実務」のバランスを考えた管理が必要だという考えの下で書かれています。