経産省指針から考える、現場で破綻しない秘密情報の「管理体制」とは？本末転倒な施策に走るまえに……

現場で破綻しない秘密管理の在り方とは

　経営層やそれぞれの部門が情報セキュリティに関する当事者意識を持ち、各々の役割を全うしていくことが大切です。以下の表のような考え方が必要となるでしょう。

　このように並べると、通常の情報セキュリティとほぼ重なりますが、やはり内部からの営業秘密の持ち出しについては、IT部門によるアクセス権限の迅速な改廃と、ログなどによる振る舞い検知が非常に大切かと思われます。

　外部の運用事業者や、退職が決まった社員については、必要なアクセス権限を精査するとともに、どのようなデータをダウンロードしているか見ることは（多少失礼な感はありますが）どうしても必要ではないでしょうか。社内のアドレスであれば、メールの履歴なども見る必要があるかもしれません。

　また、それ以外でも、ファイルの大量ダウンロード、業務時間外のアクセスなどは、どの社員のIDからであっても、その妥当性を速やかに確認する必要があるでしょう。多少、息苦しい感は否めませんが、残念ながら今はそうした時代のようです。

　さて、本稿では残念ながら、組織内のどういたデータが営業秘密であり、かつ厳重な管理を要するものかについては、一概に述べることはできません。組織のありようによって様々に異なるからです。ただ、あえていうなら、冒頭に述べた非公知性・有用性を持つデータのうち、その漏洩によって社外（顧客や消費者）にまで影響が及ぶものは最重要ランク、顧客情報や技術情報など、その漏洩が経営に重大な影響を及ぼすものは次点のランクであり、その中で想定する被害の金額に応じて細分化されていくというのが、一般的な考え方でしょうか。

　いずれにせよ、重要な情報がサーバーに格納され、鍵付きの金庫に保管されているわけでもなく、護衛もついていない今の時代、情報の漏洩というのは比較的容易くできてしまうものなのかもしれません。

　一方で、営業秘密の管理については、IT部門に任せきりで普段はあまり気にしていない経営層の方が多いのも事実でしょう。しかし、多くの裁判を見てきた私からすると、営業秘密の漏洩というのは、むしろ情報を扱っている現場での行動や規制・ガバナンスに不足があることによって発生するケースが多く、その意味では経営層・ガバナンス担当部門・ユーザー部門の責任が非常に重いのではないかと考えるのですがいかがでしょうか。