警察内部の情報漏えい事件が示す「内部脅威」の深刻さ｜組織のセキュリティ対策を見直す時

今回、警視庁の現職警察官が違法スカウトグループに捜査情報を漏らしたという衝撃的な事件が発覚しました。この事件は、どんな組織でも起こりうる「内部脅威」の典型例として、私たちに重要な教訓を与えてくれます。

フォレンジック調査の現場に長年携わる立場から言わせてもらうと、実は内部犯行による情報漏えいは、外部からのハッキングよりもはるかに深刻な被害をもたらすケースが多いんです。

今回の事件で浮き彫りになった内部脅威の実態

警視庁・暴力団対策課の神保大輔容疑者（43歳）は、4月から5月にかけて違法スカウトグループ「ナチュラル」の関係者に捜査情報を漏らした疑いで逮捕されました。警察庁の楠芳伸長官が「言語道断」と強く非難したのも当然でしょう。

この事件で特に注目すべきは、内偵捜査が春頃から開始されていたという点です。つまり、組織内部で「情報を漏らしている人物がいる」という疑いが持たれ、長期間に渡って調査が行われていたということです。

私がこれまで手がけた企業のフォレンジック調査でも、内部犯行の発覚パターンには共通点があります：

「うちは警察じゃないから関係ない」と思っている方、それは危険な考えです。実際に私が調査した中小企業の事例をいくつか紹介しましょう。

従業員数50名程度のシステム開発会社で、退職予定の営業マンが顧客リストを競合他社に持ち出した事件がありました。被害額は推定2,000万円。この会社は顧客からの信頼を失い、結果的に事業縮小を余儀なくされました。

家族経営の小さな製造業で、長年勤務していた技術者が独立時に設計図面を無断で持ち出し、類似商品を製造・販売。特許侵害で訴訟になり、法的費用だけで500万円を超えました。

美容院を経営する個人事業主が、元従業員にSNSアカウントの管理を任せていたところ、退職後にアカウントを勝手に使われ、虚偽の情報を拡散された事例もあります。

これらの事例から学べるのは、内部脅威は規模に関係なくどこでも起こりうるということです。では、具体的にどう対策すれば良いのでしょうか？

業務に必要最小限のアクセス権限のみを付与する「最小権限の原則」を徹底しましょう。定期的な権限の見直しも重要です。

システムへのアクセスログを定期的にチェックし、異常なパターンを早期発見することが重要です。アンチウイルスソフトの多くは、このような監視機能を搭載しています。

退職が決まった時点で、システムアクセス権限の即座の削除、業務用端末の回収、機密情報への接触制限などを実施しましょう。

従業員への継続的なセキュリティ意識向上が不可欠です。情報漏えいのリスクや法的責任について定期的に教育を行いましょう。

コロナ禍以降、リモートワークが普及したことで、内部脅威のリスクはさらに高まっています。

自宅から会社のシステムにアクセスする際、家族が画面を覗き見したり、プリンターから印刷物が盗まれるリスクがあります。

カフェや図書館などで仕事をする際、VPN を使わずに機密情報にアクセスすると、第三者に情報を傍受される危険があります。

今回の警察の事件でも、警察庁長官が「国民の信頼を著しく損なう」と述べているように、内部犯行による情報漏えいは組織の信頼失墜に直結します。

私の経験上、一度失われた顧客の信頼を回復するには、最低でも2-3年、場合によっては5年以上の時間と、売上の10-20%に相当する費用がかかることが多いです。

内部脅威と同時に、外部からの攻撃リスクも忘れてはいけません。定期的なWebサイト脆弱性診断サービスにより、システムの弱点を把握し、対策を講じることが重要です。

今回の警察内部の情報漏えい事件は、どんな組織でも内部脅威は起こりうるということを示しています。重要なのは、事後対応ではなく予防策の徹底です。

規模の大小に関係なく、適切なセキュリティ対策を講じることで、大切な情報と顧客の信頼を守ることができます。今回の事件を教訓に、自分の組織のセキュリティ体制を見直してみてはいかがでしょうか。