監修 山口卓也(NTT東日本)

編集 NTT東日本編集部

情報漏えい事故の件数は年々増加傾向にあり、組織的なセキュリティ対策の整備が求められています。

情報漏えいを防ぐためには、まず「なぜ起きるのか（原因）」と「起きるとどうなるのか（リスク）」を正確に把握することが不可欠です。

本記事では、実際に発生した情報漏えいの事例を交えながら、人的ミスと外部攻撃の両面に備える実践的な解決策をご紹介します。自社の安全性を守ることを目指し、強固なセキュリティ体制を構築するためのガイドとして役立ててみてください。

1.情報漏えいとは

情報漏えいとは、個人情報や機密情報などが何かしらの原因で、意図せず外部に流出したり、第三者がアクセスできる状態を指します。原因は主に社員の「人為的ミス」または、敵意のある「外部からの攻撃」です。

あらかじめ、情報漏えいによる損害額を予測することは困難です。賠償金額などは計算可能ですが、顧客の信用失墜や業務停止などによる機会損失は計り知れません。

2.情報漏えい事故の件数は年々増加している

2024年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は、189件にのぼります。前年と比較して8.0％も増加しており、2021年から過去最多を更新し続けています。

出典：2024年上場企業の「個人情報漏えい・紛失」事故　過去最多の189件、漏えい情報は1,586万人分｜株式会社東京商工リサーチ

2026年現在、デジタル化の浸透により企業が保有するデータ量が増加しています。デジタル化は業務の利便性を高める一方で、同時に情報漏えいのリスクも高めていると考えてよいでしょう。

外部に自社業務の一部を委託するBPO（Business Process Outsourcing）や、オフィスでの直接的な管理下にないテレワークの導入が、情報漏えいにつながる危険性があることも否定できません。

3.情報漏えいが発生する4つの原因

情報漏えいには複合的な原因がありますが、大きくは「人為的ミス」と「外部からの攻撃」に分けられます。

参考：2024年上場企業の「個人情報漏えい・紛失」事故　過去最多の189件、漏えい情報は1,586万人分｜株式会社東京商工リサーチ

上記の図を見ると、情報漏えいが起きる原因の約6割は「ウイルス感染・不正アクセス」によるものであることがわかります。これは「外部からの攻撃」にあたりますが、情報資産の認識や管理が甘く「システムの設定不備」があるために狙われる可能性もあります。

「システムの設定不備」の具体的な原因は、大きく以下の4つに分けられるため、確認してみてください。

• 社員の意識が低い
• クラウドサービスを適切に利用できていない
• 外部からの攻撃の技術は進化し、手口が巧妙化している

社員の意識が低い

セキュリティ対策に対する社員の意識が低い状態だと、個人情報や機密情報を不特定多数の人が閲覧でき、データのコピーや改ざんが容易なICT環境を放置することにつながります。また、社外や組織外でやり取りしている情報の中に、大切な情報資産が含まれている認識が低くなりやすいのも問題です。

意識の甘さを放置したままでは、テレワークの推進により新しい端末やクラウドサービスを利用することになった際も、セキュリティを後回しにしてしまうでしょう。

結果的に、メールの誤送信やファイル共有設定のミス、端末の紛失・置き忘れなどが発生し、情報漏えいの温床になります。

クラウドサービスを適切に利用できていない

クラウドサービスは、自社にサーバーを設置する必要があるオンプレミスとは異なり、場所に縛られずサービスを利用できるのがメリットです。リモートワークの推進もあり、業務に取り入れる企業は多くなりました。

しかし、クラウドサービスをオンプレミスと同じ感覚で利用してしまうと、情報漏えいのリスクが高まります。なぜなら、社外から社内ネットワークに接続する端末や回線のセキュリティの脆弱性をついて攻撃してくるためです。

またクラウドサービスは、リソースの公開設定や認証が適切に設定できていないことによるインシデントの発生もリスクとして挙げられます。

クラウドサービスの運営会社もセキュリティ対策を実施していますが、利用者が認証情報を適切に管理していなかったり、人為的ミスで外部に漏らしたりしたことが原因で不正アクセスされた場合、検知することはできません。

クラウドサービスの利用によって情報漏えいが起きると、利用者側の業務に影響することを忘れてはいけません。

外部からの攻撃の技術は進化し、手口が巧妙化している

外部からの攻撃は、さまざまな手口を活用し、より組織化したプロフェッショナル集団としての犯罪が行われるようになりました。新型コロナウイルス感染症の蔓延以降、リモートワーク対応やDXの推進を急ぐあまり、セキュリティ対策が疎かになってしまっているケースも少なくありません。

また、社員の情報漏えいについての意識を高める施策が、外部からの攻撃の技術進化や手口の巧妙化に追い付いていないこともあります。それらが合わさった結果、不正アクセスなどの外部からの攻撃による被害が増えています。

4.情報漏えいが発生した場合の3つのリスク

情報資産は、規模に関係なく漏えいすれば損害が出ます。情報のセキュリティレベルは関係なく、また直接的・間接的に限らず影響することになり、主に以下の3つのリスクにつながるおそれがあります。

• 情報が悪用される
• 金銭的損失が発生する
• 顧客が離れて売り上げの低下につながる

一度情報漏えいすると、実害が確認できなくとも顧客や取引先からの信頼を失いかねません。ここでは上記の3つのリスクについて詳しく説明します。

情報を悪用される

個人情報を悪用されると、顧客の住所や氏名などは名簿化され、迷惑メールや詐欺などの標的となったり、クレジットカードなどを不正利用されたりする原因になります。

機密情報を悪用されると、社外秘のノウハウがライバル企業に流れ、優位性が失われてしまうでしょう。さらに、新商品やサービスの情報が公式発表より前に流れることがあれば、販売戦略や広告の計画にも影響が出ます。

金銭的損失が発生する

個人情報の漏えいが原因で、迷惑メールを第三者によって送信されるなどの実害が発生すれば、損害賠償の支払いが必要です。それだけでなく、個人情報保護法の罰金も発生します。

さらに、個人情報が漏えいしたことを取引先や顧客に通知・公表するための費用や、再発防止のための原因究明・対策のための経費も発生するでしょう。

顧客が離れて売り上げの低下につながる

情報漏えいの原因に関係なく、顧客離れが起きることは重大なリスクの一つです。漏えいによって自社への信頼が失われてしまいます。また、問題が解決するまでオンラインサービスや事業そのものが停止することになり、投資家に問題のある企業だと判断されると、今後の株価上昇にも影響が及ぶ可能性があります。

5.情報漏えいの事例5選

企業の情報漏えいの実態を見ていきましょう。以下は、不正アクセスにより情報漏えいしてしまった企業の一例です。

不正アクセスによる情報漏えいは、誤送信や紛失などの人為的ミスと比べて、被害が大きくなります。理由として、外部からの攻撃による情報漏えいは、事業停止の期間が長くなる可能性があるためです。さらに、事業停止が長ければ機会損失も増えることになります。

なお、昨今の不正アクセスなどのサイバー攻撃は、意図的に特定の組織を狙っている「標的型」が主流となっています。「標的型」は日々進化しており、突破できる脆弱なセキュリティがないかを常にチェックしているため、完全に防ぐ方法がありません。

また、急激に変化する市場ニーズに対応するための「端末やシステム」や、リモートワークのための「ネットに関連するインフラ」など、全てに対して完璧にセキュリティ対策を施すことは難しいでしょう。

しかしながら、情報漏えい対策は企業にとって避けて通れない重要課題です。事例を参考にして、不正アクセスなどの外部からの攻撃対策を考えることが大切です。

6.個人情報の漏えいが発生した場合にやるべきこと5つ

もし情報漏えいが発生してしまった場合には、初動が大切です。情報漏えいの発覚に社員が気付いた場合でも、外部からの指摘の場合でも、対応は同じです。

1. 事実確認と調査
2. 被害拡大と二次被害の防止
3. 問い合わせと苦情対応
4. 再発防止と復旧の措置
5. 事後対応

法的に義務化されているフローではないものの、顧客の信頼回復や事業再開のためにも、実施しなければいけないといっても過言ではありません。

7.情報漏えいの対策7選

情報漏えいは、しっかりとした対策を実施すればリスクを大幅に低減できます。しかし幅広く対策を講じているからといって、個々の対策が不十分だとそこが脆弱性となり攻撃の標的となるため注意が必要です。

ここでは、外部要因への対策と人的要因への対策に分け、それぞれ説明します。

外部要因による情報漏えいへの対策

前述の通り、情報漏えいが起きる原因の約6割はウイルス感染や不正アクセスなど、外部要因によるものです。ここでは外部要因による情報漏えいへの対策を紹介します。

サイバー攻撃の手口について常に最新の情報を共有

サイバー攻撃はセキュリティの脆弱性をつく技術的な攻撃だけではなく、フィッシングメールやフィッシングサイトを利用して人を騙すものもあります。あらかじめ手口を知っていれば、十分防げる攻撃もあるでしょう。

しかし、攻撃の手口は日々巧妙化しています。企業担当者としては常にアンテナを高くして、自社を守るための最新の情報を共有することが大切です。具体的には「不審なメールは開かない」ことを徹底したり、標的型攻撃メール訓練サービスを利用したりする方法が挙げられます。

認証に必要な情報の適切な管理

不正アクセスや不正操作の足がかりになりやすいのは、IDやパスワードのずさんな管理体制です。昨今は、リモートワークにおいて「リモートデスクトップ」を導入する企業が増えており、不適切な認証情報の管理により不正アクセスされてしまうケースが増加しています。

「リモートデスクトップ」は、社外から社内の端末を遠隔操作できるのが特徴です。それゆえに、リモートデスクトップを介して悪質な第三者に不正アクセスされると、社内ネットワークにつながっている端末が不正操作を受け、マルウェアのダウンロードにつながってしまいます。

システムに脆弱性がないかを定期的に確認する

端末のOSや利用しているソフトウェアは、システム内の脆弱性が見つかった場合に、対処するためにアップデートを推奨してきます。しかし、業務に支障があるからと後回しにして最新ではない状態で使用を続けると、脆弱性を放置することになるため危険性が高まります。

脆弱性を見極めるには、常に最新の状態を維持することが重要です。

人的要因による情報漏えいへの対策

外的要因に対しては、いくら対策を講じても、完璧にセキュリティ対策を施すことは難しいのが現実です。一方、人的要因についてはルール化や管理の徹底などにより、情報漏えいのリスクを低減できる可能性があります。

まずは自社内の状況を把握し、適切な対策を講じることから始めましょう。ここでは人的要因に対する対策について紹介します。

社員の情報漏えいへの意識を高める

社員のセキュリティに対する意識が低いと、さまざまな情報漏えいにつながります。研修やセミナーへ参加させ、セキュリティへの意識を高めてもらうことが大切です。

研修などは、あくまで定期的に行う必要があります。他の対策を組み合わせ、適切なセキュリティを導入していても、社員の意識が低ければ意味がないため注意しましょう。

業務に使用する端末を把握および管理

業務に使用されるパソコンやスマートフォンなどの端末は、きちんと会社側で把握・管理するようにしましょう。端末が会社からの貸与されたものか、社員の私物かに関係なく、不正アクセスの足掛かりとなるためです。

会社が用意したものであれば、セキュリティの導入状況は把握できます。しかし、社員の私物は管理の対象になっておらず、セキュリティが不十分である可能性もあります。

基本的には、不要な端末の持ち出し及び持ち込みは禁止してください。また、社外から社内にネットワーク経由で接続する必要がある場合には、利用する回線のセキュリティについても把握することが必要になります。

何気なく扱っている情報が情報資産であることを認識させる

セキュリティへの認識が低い社員に情報漏えいの危険性を説明しても、習慣的にずさんに扱ってしまう可能性があります。具体的には、個人情報はどのようなものを指すのか、機密情報はどのレベルのものを指すのかを明確にし、言語化しておくことが必須です。

情報資産をずさんに扱ってしまう社員は、重要な書類を放置したり、パソコンの画面を開いたまま離席したりすることがあるため、注意しなければなりません。

誤送信が起きないようルールを定める

ビジネスシーンでメールを利用する際、「あわや誤送信」というヒヤリハットを経験した方は少なくないでしょう。たった一度の操作ミスが、企業の信頼を揺るがす深刻な情報漏えいに直結するリスクは常にあります。

特に大量の顧客データや機密書類を誤った宛先へ送ってしまった場合、法的な責任や損害賠償に発展する恐れもあります。「気をつける」といった精神論だけでは、ヒューマンエラーを完全に排除することは難しいため、組織として「ミスが起こり得ない仕組み」を構築することが重要です。

たとえば「個人情報を含む機密性の高いデータは、メールへの添付を原則禁止する」「送信ボタンを押した直後、一定時間はサーバー側にメールを留める設定を行う」などのルールを定めましょう。

8.「おまかせサイバーみまもり セキュリティパッケージで簡単に情報漏えい対策を

情報漏えいが発生した場合、損害賠償の支払いや会社としての信頼性の失墜など、多方面でのリスクがあります。情報漏えいの原因には主に外部要因と人的要因の2つがあり、両面から対策を行わなければなりません。

「おまかせサイバーみまもり セキュリティパッケージ」は、中小企業に必要なセキュリティ対策をパッケージ化したオールインワンサービスです。

ネットワークの出入口防御と端末の防御に加え、手厚い運用サポートをワンストップで提供。サイバー攻撃への対策で重要な多層防御を、「おまかせサイバーみまもり セキュリティパッケージ」一つで実現可能です。

本サービスは24時間365日専門家が監視^※し、万が一の時も迅速にサポートするため、情報システム担当者不在の企業にもおすすめです。

「情報漏えい対策について、どこから手をつければよいかがわからない」「専任の担当者がおらず手が回らない」など、セキュリティ対策について課題を抱えている企業担当者の方は、まずはお気軽にご相談ください。

• 監視・調査・復旧代行に関しては、【電話によるご連絡時間】9:00～21:00（年中無休）/ 【メールによるご連絡時間】24時間365日です。営業時間外に発生したアラームのお知らせは翌日に適宜対応いたします。監視・調査・復旧代行に関して、感染などを弊社が発見した場合のお客さまへ通知する対象は本サービスにて検知したウイルスや挙動に限ります。また、感染後の万が一の対応に関しても、解決を保証するものではございません。

「おまかせサイバーみまもり セキュリティパッケージ」について問い合わせをする

9.情報漏えいについてよくある疑問

最後に、情報漏えいについてよくある疑問に答えます。

中小企業でも情報漏えい対策は必要？

中小企業でも情報漏えい対策は必要です。サイバー攻撃は企業規模を問わず、被害に遭う可能性があります。最近は標的型攻撃の対象に中小企業が狙われるケースもあるため、対策が欠かせません。

情報漏えいが起きた場合、どれくらいの損失が発生する？

情報漏えいが起きた場合、賠償金の支払い・業務停止による機会損失・再発防止対策への投資などが必要になるため、金額規模は一概には言えません。しかし、決して安く済むことはないため、被害に遭わないためにも対策が重要です。

情報漏えいについて企業が知っておくべき法令は？

情報漏えいに関連する主な法令は以下が挙げられます。

10.まとめ

情報漏えいの原因には、主に外部要因と人的要因の2つがあり、それぞれに対して対策を講じる必要があります。

セキュリティ対策ソフトを導入して、情報漏えい対策を行ったつもりでいるだけでは不十分です。自社が使用している端末の種類や利用方法などによって、適切なセキュリティ対策ソフトは異なります。

特に、近年はリモートワークの推進やBPOの活用によって新たに多種の端末・ネットワークを導入したり、社外からインターネット回線を利用して接続したりすることが増えました。

新しいシステムの導入に気を取られ、セキュリティ対策ソフトの精査が後回しになっている企業担当者の方も少なくないでしょう。

「おまかせサイバーみまもり セキュリティパッケージ」には以下のような機能があり、クラウドサービスの利用におけるセキュリティ向上を図れます。情報漏えいへのリスクに危機感を抱いている方は、ぜひ導入を検討してください。

• インストールされている全端末を自動でバージョンアップ
• ライセンス自動更新のため、更新作業不要
• 一元管理が可能なため、アンインストールや設定変更には制限可能
• ウイルス感染時はNTT東日本から連絡をして、駆除サポートを実施

高度・複雑化するサイバー攻撃へ必要な最低限のセキュリティ対策をパッケージ化し、さらに運用・監視をまるっとすべてNTT東日本におまかせ可能！
「おまかせサイバーみまもり セキュリティパッケージ」の資料をダウンロードする

関連サービス

資料ダウンロード

関連するコラム

• コラムをもっと読む