2023年度「内部不正防止対策・体制整備等に関する中小企業等の状況調査」報告書

公開日：2024年5月30日

独立行政法人情報処理推進機構
セキュリティセンター

IPAでは、これまで企業経営上の重要な課題である秘密情報の管理と保護に関する実態調査を通じ、「守るべき情報資産の認識不足や内部不正防止対策の取組の遅れ」などの問題点や課題を示しました。特に中小企業等においては以下の課題が顕著であると示唆されてきたところです。

そこで、今次調査ではそれらの課題に沿った改善策に関する中小企業の状況を把握し示唆を抽出するため、経営者の意識、基本方針の策定状況、組織体制の整備状況、対策の実態、企業の取り組み事例などの調査を実施し、報告書としてまとめました。

中小企業の内部不正対策推進のヒント

内部不正防止の課題が顕在化してしまう要因には、中小企業のリソース不足と、多岐にわたる対策の優先度の判断が後手に回っていたことなどがありました。まず、今回の調査から得られた中小企業として対策推進のファーストステップとなりうる示唆を以下に示します。

中小規模を逆手に取ったリーダーシップ発揮や訓示の活用
- 中小企業における経営層の意識やリーダーシップが持つ意味は大変大きい。そうした意識のもと、リーダーシップを発揮し、リスクや対策優先度の判断を行い内部不正対策強化の推進力とする。
  さらに、中小企業では経営者と従業員の距離が近く、経営層のメッセージが響く。そこで朝礼や全社集会等を活用し、全従業員に、内部不正対策の経営方針や判断、蓄積した知見を直接伝える。
リソース節約型の部門連携
- 内部不正防止に特化したリスク管理体制がない場合でも、情報システム／セキュリティ部門が内部不正防止で必要とされるIT技術面をカバーし、総務・人事部門が内部不正防止体制をカバーするように指向し、少ないリソースで専門管理部門設置と同等の効果を期待する。
最小限の内部不正対策付加
- サイバーセキュリティ対策でカバーできない内部不正特有の対策等は、ある程度実施されている既存のサイバーセキュリティ対策に上乗せすること（共通の対策を適用しつつ、守るべきものとリスクの違いに応じて足りないところを補うのみとする）が、効率的かつ効果的。

従業員数が100人以下の企業では、内部不正防止の基本方針を別建てで定めているところは、全体平均と比べて格段に少なく、割合は42-44%と半数以下（下記赤破線部）。

中小企業では秘密情報の格付け表示が実効性を持って実施されている割合が22%前後と全体平均と比べて低く、従業員が秘密情報か否かを中身を見ずに認識できる状況とは言い難い（下記赤破線部）。

取りかかるきっかけを生かす
- 経営者が自ら主導して技術情報管理やISMS等の可視化しやすい認証を取得すること等が秘密情報漏えい／内部不正リスクを重要な経営課題として認識するための契機となりうる。未導入であれば情報資産台帳を用いた秘密情報管理の導入も同時に期待できる。
小回りの利く機動力を生かす
- 経営者が自ら戦略を語り、基本方針を周知徹底し、自身の想いを伝えることで従業員に対するリーダーシップを発揮し、中小企業ならではの機動性を生かしながら、事業リスクの判断や秘密情報の特定・格付けをスピードアップさせることが有効。
風通しの良さを生かす
- 社員が少数という中小規模ならではの風通しの良さ、顔の見える人間関係を生かし、内部不正防止のための監視・報告体制整備に際しては、その意義をじっくり説明しながら構築し、唐突な体制整備による不信感を抑止することが有効。

その他聴取できた取り組みや事例は多岐にわたり、調査報告書の「結論と今後の方向性」（P155）の章や概要説明資料「7-2.改善策と現状を比較した結果～中小企業について～」に記載しています。

セキュリティセンターリスクマネジメント部　
セキュリティ制度グループ
佐川、銭谷