研修を受ければ、内部不正は防げる？——内部不正・教育・異動と退職の要点｜支援士解説3の9

この記事の重要度：Cランク（主に午前II（科目A-2）で問われる論点。午後では問題文の前提として読めれば十分）

この記事で分かること：

• 不正のトライアングル（動機・機会・正当化）と、内部不正を防ぐ対策の考え方
• 雇用前・在職中・異動・退職の各段階で行う人的管理
• 教育・訓練の設計と、効果の測り方

シラバスとの対応：小項目3-9「人的管理」。アカウントと権限の管理は支援士解説3の8、規程の整備は支援士解説1の4、法令（営業秘密・労働者派遣など）は支援士解説3の11で扱います。

---

退職した元従業員の利用者IDが、退職から1週間たっても有効なままで、外部から社内のフォルダに大量にアクセスされていた。午後の過去問に出てきた場面です。原因は技術ではなく、退職の手続の中で、ID停止の申請が止まっていたことでした。全員が研修を受け、秘密保持の誓約書を出していても、手続や権限の仕組みに穴があれば、この種の事故は防げません。

人的管理は、午後の大問の主題になることは多くありません。一方、午前IIでは不正のトライアングルや内部不正の対策がよく問われ、午後の問題文には退職者のID、委託先の作業者、特権IDの共用といった人に関わる弱点が繰り返し出てきます。この記事では、それらを読み解くための要点を整理します。

1. 人的管理で扱う問題：故意と過失

人的管理は、組織で働く人（職員、派遣社員、委託先の作業者などを含む）による情報の取扱いを、適切な状態に保つための管理です。扱う問題は、二つに分かれます。

• 故意の不正：情報の持ち出し、改ざん、不正な閲覧、破壊など
• 過失：誤送信、置き忘れ、設定の誤り、不審なメールの添付ファイルを開く、など

内部の人だから安全、とは限りません。内部の人は正規の権限と業務の知識を持っているので、外部からの攻撃より発見しにくいことがあります。一方、過失への対策と、故意への対策は違います。誤送信を減らすには手順と仕組みの改善が効き、故意の持ち出しを減らすには権限の制限と記録が効きます。故意の不正と、誤操作・不注意を区別して、事実と推測を分けて調べます。

人は、外部の攻撃者に狙われる入口にもなります。人の心理や不注意を突いて情報を得る手口を、ソーシャルエンジニアリングと呼びます。

• 社員や取引先になりすまして電話をかけ、「パスワードを忘れたので教えてほしい」と聞き出す
• ごみや廃棄物（紙、PC、記録媒体）をあさって情報を探す（スキャベンジング。トラッシングとも呼ぶ）
• 肩越しに画面や入力をのぞき見る（ショルダーハッキング）
• 来訪者や清掃業者になりすましてオフィスに入り、会話や机の上の書類から情報を集める

対策は、重要な情報の扱いのルール、本人確認の手順（電話で聞かれても、決めた経路で折り返して確かめる）、重要度に応じた廃棄、入退室の管理、そして継続的な教育です。手口は単純でも、人の心理を突くので、日頃から意識していなければ防げません（入退室の管理とクリアデスクは支援士解説3の7）。

教科書では、内部要員への対策として、権限とルールの明確化、それに基づくアクセス制御、教育、監査が挙げられています。組織の内部の人には直接働きかけられるので、教育や監査で抑止の働きを高め、業務の手順や仕組みの不備を直すことが効果的です。

2. 不正のトライアングルと、内部不正の対策

不正のトライアングルは、米国の犯罪学者クレッシーの理論で、不正は次の三つがそろったときに起きる、という考え方です（図1）。

• 動機（プレッシャー）：過剰なノルマ、金銭のトラブル、恨みなど、不正のきっかけになる事情や圧力
• 機会：ずさんなルールや対策の不備など、不正を可能に、又は容易にする環境
• 正当化：「会社が悪い」「みんなやっている」など、良心の呵責を乗り越えるための都合のよい解釈や責任転嫁

午前IIでは、三つの説明を入れ替えた選択肢がよく出ます。対策は、それぞれの要因に向けて組み合わせます。

• 動機を減らす：過大な目標や負担を見直す。困りごとを相談できる経路を用意する
• 機会を減らす：業務に不要な権限を取り除く。職務を分離し、操作を記録し、点検する
• 正当化をさせない：禁止する行為とその理由を明示し、共有する。秘密保持の誓約を求める。管理職も例外なくルールを守る

一つの対策で、すべての不正を防げるわけではありません。教育、職場の環境、権限の制御、相互の確認を組み合わせます。また、この理論は、特定の人を「不正をしそうだ」と決め付けるための道具ではありません。人の内面を推測することで終わらせず、組織が実際に変えられる条件（権限、手順、記録、職場の環境）を見ます。

IPAの「組織における内部不正防止ガイドライン」は、犯罪が起きにくい状況を作るという考え方（状況的犯罪予防）を応用し、対策の基本原則として次の五つを示しています。

• 犯行を難しくする（やりにくくする）：アクセス権の最小化、持ち出しの制限
• 捕まるリスクを高める（やると見つかる）：操作の記録と監視、その周知
• 犯行の見返りを減らす（割に合わない）：データの暗号化、消去
• 犯行の誘因を減らす（その気にさせない）：公平な評価、職場環境の改善
• 犯罪の弁明をさせない（言い訳させない）：ルールの明示、誓約

午後で出てくる場面

• 平成27年度秋期 午後I問2（情報セキュリティスペシャリスト試験）：保守の委託先が使う特権IDの管理が題材だった。業務アプリケーションがデータベースに接続するIDと同じIDを保守にも使っていると、誰がアクセスしたかを特定できないことが問われた。追加の対策として、特権IDを使った人が特定されることをログイン画面に表示して作業者に周知する対策について、その効果の名称が問われ、解答例は「抑止効果」だった。見つかると分かれば思いとどまる、つまり「捕まるリスクを高める」対策。委託先が個人IDを本人以外に使わせないよう管理しているかを確かめることも問われた

【図1】不正の三つの要因から、組織の対策を考える

3. 雇用前から退職までの人的管理

人的管理は、雇用の前から退職の後まで続きます。

雇用前・業務開始前

• 職務に応じて、経歴などの確認を行う（法令やプライバシーに配慮した範囲で）
• 雇用契約や職務規程で、情報セキュリティの責任を明確にする
• 秘密保持契約（NDA）・誓約書で、守るべき情報の範囲、目的外の利用の禁止、退職後も続く義務を具体的に示す。何を守るかが曖昧な誓約は、効き目が弱い
• 派遣社員や委託先の作業者にも、守るべきルールが届くようにする。委託先とは、契約に秘密保持と管理の条項を入れる

在職中

• 役割に応じた教育を行う（次の節）
• 業務と権限が合っているかを定期的に点検する
• 職務の分離：申請と承認、作業と確認を別の人に担わせる。一人で完結できる業務は、不正も誤りも見つけにくい
• 担当者の交代や休暇の取得で、特定の人しか知らない業務を作らない。代わりの人が業務を見ることで、隠れた不正や誤りが見つかることもある

異動・担当変更

• 新しい業務に必要な教育と権限を与える
• 古い業務の権限と、例外的に許可していた設定を取り除く。新しい権限の追加だけが行われ、古い権限が残り続けることが多い

退職・契約の終了

• 端末、記録媒体、入館証などを返却させる
• 利用者IDを停止し、クラウドサービスや委託先のシステムを含めて権限を取り除く
• 業務と記録を引き継ぐ。記録や業務データの保存・引継ぎと、本人の利用の停止は分けて考える
• 退職後も続く秘密保持の義務を確認する
• 申請や連絡が済んだかではなく、停止・返却の結果まで確かめる

アカウントの登録から削除までの管理と、権限の棚卸しは支援士解説3の8で扱います。

午後で出てくる場面

• 平成25年度春期 午後I問4（情報セキュリティスペシャリスト試験）：退職の手続は、人事部からの通知を受けた部門長が各プロジェクトマネージャに知らせ、プロジェクトマネージャがIDの停止を申請する流れだった。ところが、プロジェクトマネージャが長期の海外出張中で申請せず、1週間前に退職した元従業員のIDが有効なまま、外部から大量にアクセスされた。システムの改修までの緊急の対策として、運用担当者が人事部からの連絡を受けて、退職日の終業時刻の後、速やかにIDを停止する運用が問われた。人事の情報と停止の手続を、途中の人に依存させない改善

4. 教育と訓練：知っているから、できるへ

教育の目的は、知識を増やすことではなく、必要な場面で正しく行動できる状態にすることです。

目的で使い分ける

• 啓発：問題に気付き、日常で思い出せるようにする。短い注意喚起、ポスターなど
• 教育：必要な知識と、判断の理由を学ぶ
• 訓練：想定した場面で手順を使い、行動できるかを確かめる。不審なメールの報告、端末を紛失したときの連絡など

設計の順序

1. 学んだ後に、どんな行動ができてほしいかを決める。「意識を高める」では、教材も評価も決まらない。例：ファイルを共有するとき、許可された方法と共有の範囲・期限を設定できる。判断できないときに相談先へ聞ける
2. 全員に共通の内容（情報の扱い、認証情報の保護、報告先）と、役割ごとの内容を分ける。窓口の担当には本人確認や宛先の確認を、管理者には権限の承認と例外の判断を、情報システムの担当には管理者の操作とログを、幹部には重大な事案の意思決定を教える
3. 時期を合わせる。年に一度の研修だけでは、着任した直後の人に間に合わない。着任、異動、新しいサービスの導入、規程の改定、事故の後に教育を見直す

効果の測り方は、段階を分けて見ます。

• 受講率：教育が届いたか。100％でも、理解や行動は保証しない。対象者の名簿から委託先や新任者が抜けていれば、分母が正しくない
• 理解度：知識や判断を確かめる。似た事例のどちらに承認が必要かを選ぶ問題など
• 行動：正規の方法を使えるか、相談・報告できるか
• 運用の結果：報告が担当へ届き、判断が進み、改善につながったか

訓練の方法も、目的で選びます。机上演習は、想定した事案を示し、誰が何を判断するかを話し合いながら確かめる方法で、責任分担の抜けを見つけるのに向きます。実動訓練は、連絡網や検証用の環境を実際に使い、手順を実行できるかを確かめる方法です。どちらも、本番の業務を止めたり、実データを操作したりする必要はありません。範囲と中止の条件を事前に決めます。

標的型メール訓練の結果は、開封率（リンクをクリックした人の割合）だけで判断しません。クリックした人が減っても、報告した人も減っていれば、組織の対応力が高まったとは言えません。訓練の目的は、クリックさせないことだけでなく、不審に気付いた後や、誤って開いた後に、隠さず速やかに報告できることです。報告した人を責める運用は、次の報告を遅らせます。訓練用のサイトで本物のパスワードを集めたり、業務データを送らせたりする必要もありません。取得する記録と閲覧できる人を事前に決め、訓練そのもので新たな漏えいを作らないようにします。

振り返りでは、「誰が間違えたか」で終わらせず、手順が分かりにくかったのか、報告先が決まっていなかったのか、承認者が不在だったのかを確かめます。改善の項目には担当、期限、完了の確かめ方を付け、次の訓練で直した箇所が働くかを確かめます。

5. 自己点検と、違反への対応

自己点検は、職員が自分の役割に応じて、規程を守れているかを確かめる活動です。「適切に管理しているか」のような曖昧な質問ではなく、「共有リンクに期限を設定しているか」のように確かめられる項目にします。回答は「実施」「未実施」「該当なし」「例外（承認済み）」を区別します。結果は、個人の課題と、組織に共通する課題（手順が分かりにくい、使える仕組みがない）に分けて改善につなげます。

違反への対応では、報告を促すことと、違反に対処することを両立させます。

• 事故の疑いは、確定を待たずに相談できるようにする。報告すると罰せられると思えば、報告は遅れる
• 初動の安全の確保（被害の拡大を止める）と、責任の判断は分けて進める
• 懲戒は、規程に基づき、事実を確かめ、公正な手続で行う。違反の重大さや状況に応じて判断する
• 報告の件数を減らすことだけを目標にしない。報告しやすくなれば、件数は増えることがある

内部不正の疑いが出たときは、本人に問いただす前に、操作の記録や端末などの証拠を保全します（支援士解説4の4）。調べる範囲は業務上必要な範囲に限り、相談の内容や健康の情報を安易に不正の根拠として扱いません。そうした扱いをすると、正規の相談までしにくくなります。

内部不正の対策として操作を記録・監視する場合は、目的、対象、閲覧できる人、保存期間を規程で定め、従業員に周知します。目的を超えた無制限の監視は、プライバシーを損ない、職場の信頼を失わせます。

6. セキュリティクリアランス

セキュリティクリアランスは、特に保護すべき情報を扱う人について、定められた制度の下で適格性を確かめる仕組みです。日本では、特定秘密の保護に関する法律と、重要経済安保情報の保護及び活用に関する法律（2025年5月施行）に基づく適性評価があります。後者では、個人の適性評価と、事業者の認定（適合事業者）が分かれています。

• クリアランスを持っていても、担当外の情報を見てよいわけではない。業務上知る必要があるか（need-to-know）は別に判断する
• 本人の同意を前提とし、法で定めた事項以外は調べない。結果を目的の外に使わない
• 一般の業務システムを扱うという理由だけで、全員にこの制度の適性評価が必要になるわけではない。採用担当者やシステム管理者が、この名前を使って独自に広い身辺調査をしてよいわけでもない

7. 午前II（科目A-2）で正誤を見分けるポイント

• 「不正のトライアングルの『機会』とは、不正をする人の金銭的な事情である」→ 誤り。それは動機。機会は不正を可能にする環境
• 「『正当化』を防ぐには、アクセス権を最小にすればよい」→ 誤り。権限の最小化は機会を減らす対策。正当化にはルールの明示や誓約
• 「特権IDの利用者が特定されることを周知する対策は、犯行の見返りを減らす」→ 誤り。捕まるリスクを高める（抑止効果）
• 「内部の職員は信頼できるので、操作の記録は不要である」→ 誤り。内部不正と過失の両方に記録が要る
• 「異動のときは、新しい業務の権限を追加すればよい」→ 誤り。古い権限と例外の設定を取り除く
• 「退職者のIDは、停止の申請が済めば対応完了である」→ 誤り。停止の結果まで確かめる
• 「研修の受講率が100％なら、教育の効果は十分である」→ 誤り。理解・行動・運用の結果を見る
• 「標的型メール訓練の開封率が下がれば、組織の対応力は高まった」→ 誤り。報告の状況も見る
• 「セキュリティクリアランスを持つ人は、すべての機密情報を閲覧できる」→ 誤り。need-to-knowは別に判断する
• 「秘密保持の誓約は、在職中だけ有効である」→ 誤り。退職後も続く義務を定めることが多い
• 「スキャベンジングとは、肩越しに画面をのぞき見る手口である」→ 誤り。それはショルダーハッキング。スキャベンジングはごみをあさる手口
• 「ソーシャルエンジニアリングは技術的な攻撃なので、教育では防げない」→ 誤り。人の心理を突く手口で、本人確認の手順と継続的な教育が対策の中心

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　不正のトライアングル

不正のトライアングルの「機会」を減らす対策として、最も適切なものはどれか。

• ア：業務の目標を見直し、過大な負担を減らす
• イ：業務に不要なアクセス権を取り除き、申請と承認を別の人に担わせる
• ウ：禁止する行為とその理由を、全職員に説明する
• エ：困りごとを相談できる窓口を設ける

正解：イ。権限の最小化と職務の分離は、不正を可能にする環境を減らします。アとエは動機、ウは正当化に向けた対策です。

問2　退職時の手続

退職者のIDが、退職から1週間たっても有効なままだった。調べると、ID停止の申請は、退職者が参加していたプロジェクトの責任者が行う手順で、その責任者は長期出張中だった。改善として、最も適切なものはどれか。

• ア：プロジェクトの責任者に、出張中も申請するよう注意する
• イ：人事部門の退職の情報を受けて、運用担当者が退職日の後に速やかに停止し、停止の結果を確かめる手順にする
• ウ：退職者に、退職後はIDを使わないよう誓約させるだけにする
• エ：IDの停止は、次の定期の棚卸しで行う

正解：イ。途中の人に依存しない経路で、停止の結果まで確かめます。アは同じ原因が残り、ウは技術的に止めていません。エは不正に使える期間を長くします。

問3　教育の効果

情報セキュリティ研修の受講率が100％になった。この結果の評価として、最も適切なものはどれか。

• ア：教育の目的は達成されたので、次年度も同じ内容でよい
• イ：教育が届いたことは確かめられたが、理解・行動・運用の結果は別に確かめる必要がある
• ウ：事故はもう起きないと判断できる
• エ：受講率が高いので、自己点検は不要になる

正解：イ。受講率は教育が届いたかの指標です。理解や行動までは保証しません（ア、ウ）。自己点検は、実際の実施状況を確かめる別の活動です（エ）。

問4　標的型メール訓練

2回目の標的型メール訓練で、リンクをクリックした人の割合は1回目より下がったが、不審なメールとして報告した人の割合も大きく下がった。この結果の扱いとして、最も適切なものはどれか。

• ア：クリックした人が減ったので、訓練は成功したと判断する
• イ：報告が減った理由（報告の方法が使いにくい、訓練と分かって無視した、など）を確かめる
• ウ：クリックした人を公表し、注意する
• エ：報告の件数は評価に関係しないので、記録しない

正解：イ。訓練の目的には、気付いた後に報告できることも含まれます。アは一つの指標だけで判断しています。ウは報告をためらわせ、エは大切な指標を捨てています。

実務と国・自治体では

• 政府機関等の統一基準：教育の実施計画と体制の整備、計画の見直し、受講、実施状況の記録と報告、分析・評価を定めている。自己点検についても、点検票と手順の整備、課題の分析、改善の指示と結果の報告までを扱う。政府機関等向けの基準なので、自治体や企業の直接の義務として読み替えない
• 自治体向けガイドライン：総務省のガイドラインの例文は、規程を守ることに加え、不明な点や守ることが難しい点を管理者へ相談することを示している。異動・退職時の情報資産の返却、非常勤職員への説明と同意書、委託事業者への説明も扱う。毎年度最低1回の研修の受講機会の確保は「推奨事項」として示されており、法律による一律の義務と説明しない
• 調達・委託：「従業員教育を行うこと」の一文で終わらせず、作業の開始前と担当者の交代時に、守るべき情報の範囲と手順を説明し、再委託先まで届くかを確かめる

まとめ

• 不正のトライアングルは、動機・機会・正当化。 説明の入れ替えに注意し、対策を組み合わせる。
• 「捕まるリスクを高める」ことの効果が抑止効果。 特権IDの利用者の特定と周知が典型。
• 人的管理は雇用前から退職後まで。 異動では古い権限を外し、退職では停止の結果まで確かめる。
• 教育は行動を目標に設計し、受講率だけで効果を判断しない。 報告しやすい運用が前提。

関連記事

• 前提：ログインできれば、その先まで見てもいい？｜支援士解説3の8（アカウントのライフサイクル・最小権限）
• あわせて読む：法律を知っていれば、コンプライアンスは守れる？｜支援士解説3の11（営業秘密・労働者派遣・公益通報）
• あわせて読む：そのルールでセキュリティ担当者は動ける？｜支援士解説1の4（規程と手順書）
• あわせて読む：鍵を掛ければ物理セキュリティは完璧？｜支援士解説3の7（入退室管理・媒体の管理）

2026年10月改訂：午前IIで問われる不正のトライアングルと内部不正の対策、人的管理の各段階、教育の設計と効果の測り方に絞って構成を見直しました。