情報漏洩対策とは何を指すのか

情報漏洩対策とは、企業が扱う重要な情報が外部へ流出することを防ぐ取り組み全体を指します。守る対象は顧客の個人情報だけではなく、手段も技術的な仕組みにとどまりません。範囲を狭くとらえたままでは、対策に抜けが残ります。

情報漏洩対策が守る情報の範囲、技術・組織・人という3領域での対策の組み立て方、経営課題として扱われる理由の3点を、根拠となる法令とガイドラインを示しながら説明します。

情報漏洩対策が守る情報の範囲

情報漏洩対策が守る対象は、顧客の個人情報だけではありません。国の監督機関である個人情報保護委員会のガイドライン（通則編）は、役員や従業員に関する情報も個人情報に含まれるとしています。また、見積書や契約書、新製品情報、研究データは、不正競争防止法が保護する営業秘密に該当します。

個人データについては、個人情報保護法第23条が漏えい防止に必要かつ適切な措置を事業者に義務づけています。着手点となるのは、漏れた場合に事業へ影響する情報を自社で洗い出す作業です。

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

技術・組織・人の3領域で対策を組む

技術的な仕組み、社内の規程、従業員の行動という3領域は、どれか一つが欠けるだけで対策に抜けが生じます。総務省の「テレワークセキュリティガイドライン（第5版）」は、情報資産を守るには「ルール」「人」「技術」のバランスがとれた対策が必要だとし、最も弱い部分が全体の水準になるとセキュリティ対策の特徴を説明しています。

同ガイドラインは、技術面の対策を「ルール」や「人」で対応できない部分を補うものと位置づけます。ツールを導入した時点で対策が完結するわけではありません。

参照元：総務省｜テレワークにおけるセキュリティ確保

対策が経営課題と位置づけられる理由

機密情報が外部に流出すると、社会的信用の低下や損害賠償の請求、取引先との取引停止、事業の停止を招きます。経済産業省と独立行政法人情報処理推進機構（IPA）による「サイバーセキュリティ経営ガイドライン Ver3.0」は、漏えいで損害が生じた場合、経営者が善管注意義務違反などに基づく損害賠償責任を問われ得るとし、担当者への丸投げは許されないと明記しています。

経営者の指示事項には、組織全体での対応方針の策定と予算・人材の確保が並びます。情報システム部門だけで完結せず、経営層の関与が前提になります。

参照元：経済産業省｜サイバーセキュリティ経営ガイドライン Ver3.0

情報漏洩が起こる3つの原因

情報漏洩の原因は、大きく次の3つに分けられます。どの原因が自社にとって現実的な脅威かを見極めないまま対策を並べると、発生件数の多い経路が手つかずのまま残ります。

• ●外部攻撃による漏洩
• ●人的ミスによる漏洩
• ●内部不正による漏洩

3つの原因について、代表的な手口と発生のしかた、公表統計や公的機関の脅威評価で示された位置づけを順に説明します。

外部攻撃による漏洩

外部攻撃には、データを暗号化して金銭を要求するランサム攻撃、特定の組織を狙う標的型攻撃、脆弱性を悪用した不正アクセス、委託先経由の侵入があります。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」組織編では、ランサム攻撃による被害が1位、サプライチェーンや委託先を狙った攻撃が2位でした。

暗号化による業務停止と情報流出が同時に起こるため、被害は事業全体へ波及します。東京商工リサーチの2025年調査では、子会社が運営する店舗システムへの不正アクセスで729万人分が漏えいした事例や、飲料大手が基幹システムの機能不全で工場稼働と受発注の停止に至った事例が挙がっています。

参照元：IPA｜プレス発表「情報セキュリティ10大脅威 2026」を決定

参照元：東京商工リサーチ　TSRデータインサイト｜上場企業の「個人情報漏えい・紛失」事故　2番目の180件発生、漏えい人数は約2倍増の3,063万人分

人的ミスによる漏洩

人的ミスは、メールの誤送信、システムの設定ミス、端末や記憶媒体の紛失、書類の誤廃棄という形で起こります。東京商工リサーチが集計した2025年の上場企業の漏えい・紛失事故180件では、「誤表示・誤送信」が37件で構成比20.5％、「紛失・誤廃棄」が18件で同10.0％を占めました。内訳として挙がるのは、メール送信時のCCとBCCの取り違え、システムの誤設定、書類の紛失や誤廃棄です。

個人情報保護委員会のガイドライン（通則編）も、設定ミスで個人データが閲覧できる状態を漏えい事例に含めています。悪意がなくても起こるため、技術的な制御と運用ルールの両方で抑える必要があります。

内部不正による漏洩

従業員や退職者、委託先の担当者が、業務で扱う情報を外部へ持ち出したり目的外に使ったりする行為が内部不正にあたります。正規の社員アカウントが使われると、境界での防御は正規の通行として通過させるため、発見が遅れ被害が長期化しやすくなります。

IPAの「情報セキュリティ10大脅威 2026」組織編では、内部不正による情報漏えい等が7位に選出されました。東京商工リサーチの2025年集計でも、「不正持ち出し・盗難」が7件、構成比3.8％と独立して計上され、件数は少ないものの実際に発生しています。許可を得ずに個人契約のサービスを業務で使うシャドーITも、悪意のない規程逸脱として内部起因のリスクに含まれます。

参照元：IPA｜情報セキュリティ10大脅威 2026

参照元：東京商工リサーチ　TSRデータインサイト｜上場企業の「個人情報漏えい・紛失」事故　2番目の180件発生、漏えい人数は約2倍増の3,063万人分

原因の構成比から対策の優先順位を決める

限られた予算と人員で対策を進めるには、原因ごとの発生状況を踏まえて着手順序を決める必要があります。公表された事故の構成比を見ると、どの経路に手を入れれば件数を減らせるかがわかります。

一方で、件数の少ない原因を放置してよいとは限りません。発生件数からの着手順序の決め方、漏洩時の影響度による守る情報の絞り込み方、社内合意と予算化の進め方の3点について解説します。

発生件数の多い経路から着手する

東京商工リサーチが集計した、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故180件の原因別内訳は、次のとおりです。

ウイルス感染・不正アクセスが6割超を占める一方、誤表示・誤送信と紛失・誤廃棄を合わせた人的ミスも3割に達します。不正持ち出し・盗難は7件にとどまりますが、先に挙げたとおり正規のアカウントで行われるため発見が遅れやすく、件数の少なさをそのまま優先度の低さとして扱うと見落としにつながります。

なお表の右列は本記事での原因分類であり、調査元である東京商工リサーチの区分とは別のものです。自社の対策が外部攻撃への防御だけに偏っていないか、この構成比と照らして確かめてください。

参照元：東京商工リサーチ｜上場企業の「個人情報漏えい・紛失」事故　2番目の180件発生、漏えい人数は約2倍増の3,063万人分

漏洩時の影響度で守る情報を絞る

すべての情報を同じ水準で守ろうとすると、コストと運用負荷が現実的でなくなります。先に挙げたサイバーセキュリティ経営ガイドラインも、事業への影響を考慮せずに厳しい対策を一律に定めると、通常の業務遂行に支障をきたす不都合が生じるおそれがあると指摘しています。

絞り込みの目安になるのは、漏洩したときの影響の大きさです。個人情報保護法の施行規則第7条では、要配慮個人情報や、クレジットカード番号のように不正利用で財産的被害が生じるおそれがある個人データは、人数の要件なく個人情報保護委員会への報告対象と定められています。重要度の区分を設け、高い区分から順にアクセス権限の絞り込みや暗号化を重ねます。

参照元：個人情報保護委員会｜漏えい等の対応とお役立ち資料

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

参照元：経済産業省｜サイバーセキュリティ経営ガイドライン

着手順序を社内で合意して予算化する

対策の実行を止めるのは、技術面の検討よりも経営層への説明と予算の確保です。サイバーセキュリティ経営ガイドラインは、リスクの把握とリスク対応に関する計画の策定を指示4、対策のための予算と人材の確保を指示3として、いずれも経営者が担う事項に位置づけています。

社内提案は、現状の対策状況、想定される被害、対応計画の3点で組み立てると判断材料がそろいます。現状の把握にはIPAが提供する「サイバーセキュリティ経営可視化ツール」、被害の見積もりには同ガイドラインが挙げる経営戦略上重要な営業秘密の流出による損害額試算という方法があります。

参照元：経済産業省｜サイバーセキュリティ経営ガイドライン

参照元：IPA｜サイバーセキュリティ経営可視化ツール

ファイルの流通経路ごとに弱点を特定する

原因の分類だけでは、自社のどこに穴があるかまでは見えません。同じ機密ファイルでも、保管されている間と社外へ渡す瞬間とでは、漏洩のきっかけも打つべき手も変わります。ファイルが生まれてから消えるまでの経路をたどれば、統制が抜けている場所を絞り込めます。

保管、社内共有、社外共有、持ち出し、廃棄という5つの経路について、想定される漏洩のきっかけと自社で確認すべき統制を下の表にまとめました。

保管時のアクセス権限設定

保管中のファイルは、アクセス権が業務上必要な範囲を超えて付与されていないかを点検します。手がかりになるのが権限テストです。ファイルにアクセスできない場合は本人から申告がありますが、不適切にアクセスできる場合は申告されないため、組織変更に伴う権限が正しく反映されたかをテスト用ユーザーで検証します。

人事異動や退職のたびにアカウントと権限を見直し、例外的に付与した権限はリストに記録して必要な期間が過ぎたら削除します。フォルダ設計では、管理者アカウントだけをフルコントロールとし、ほかの利用者には業務に必要な範囲で読み取りや変更の権限を割り当てます。

社内共有時のアクセス範囲

共有フォルダは、分け方の基準と管理ルールを決めないまま使うと構成が乱れ、共有範囲が広がり続けます。区切りの単位は、部署、プロジェクト、顧客などから業務に合うものを選びます。階層は3〜4階層までを目安にすると、目的のファイルにたどり着くまでの手数も減ります。

一時的な受け渡しに使うフォルダは、一定期間を過ぎたファイルを削除するルールをあわせて決めます。上位階層にフォルダを増やす場合は管理部署に相談する運用にすると、部門を越えた広がりを抑えられます。共有先については、異動者や退職者のアカウントが残っていないかを定期的に確かめてください。

社外共有時のファイル制御

メール添付とパスワード付きZIPには、送ったあとに取り消す手段がありません。誰が何をいつ受け取り、いつ開封したかも記録されず、ISMSやプライバシーマークの更新で求められるアクセスログや権限管理の証跡を、メール送信ログだけでは満たせません。

共有リンクに切り替えると、有効期限や認証の設定に加え、アクセス回数とダウンロード回数の制限によって、URLが第三者に渡った場合の被害範囲を封じ込められます。宛先確認は、ワークフローを経由したリンク送信や上長承認を経由したゲスト招待を必須にすると、担当者個人のダブルチェックに頼らずに誤送信を防げます。

持ち出し時の端末・媒体管理

社外で業務を行う場合は、テレワーク端末にデータを保存させるかどうかを先に決めます。総務省の「テレワークセキュリティガイドライン（第5版）」は、テレワーク方式を7種類に分け、端末へのデータ保存を制限できるかどうかでセキュリティ統制の容易性が変わると示しています。

端末に保存する方式を選ぶなら、紛失や盗難に備えて端末のパスワード設定の強制とハードディスクの暗号化を組み合わせます。USBメモリや外付けHDDは原則として利用を禁じ、業務上必要な場合に限って申請を求め、媒体の暗号化を条件とします。貸与端末は所在と利用者も管理します。

参照元：総務省｜テレワークにおけるセキュリティ確保

廃棄時のデータ消去

PC、サーバー、外部記憶媒体を処分するときは、データを復元できない状態にします。個人情報保護委員会のガイドライン（通則編）は、個人データを削除し、または個人データが記録された機器や電子媒体を廃棄する場合に、復元不可能な手段で行うことを求めています。

具体的な手段として挙げられているのは、専用のデータ削除ソフトウェアの利用と物理的な破壊です。紙の書類は焼却、溶解、シュレッダー処理が該当します。削除や廃棄の記録を残し、作業を外部の業者に委託する場合は、確実に削除または廃棄したことを証明書等で確認します。

5つの経路について、自社の状況を確認できる項目をまとめました。

• ☐機密ファイルを置くフォルダのアクセス権を、直近1年以内に棚卸ししたか
• ☐異動者・退職者のアカウントが共有先に残っていないかを確認したか
• ☐社外へ送るファイルに閲覧期限とパスワードを設定できる仕組みがあるか
• ☐業務端末へのデータ保存とUSBメモリの利用について方針を明文化しているか
• ☐PCや記憶媒体を廃棄する際の消去方法と記録の残し方を定めているか

未確認の項目が残る経路から、前章で示した原因別の構成比と照らして着手してください。

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

経路を問わず実施すべき基盤的な対策

経路ごとの弱点を塞いでも、どの経路にも共通する土台が弱ければ穴は残ります。認証、脆弱性管理、ログ、生成AI、委託先、規程と教育の6つは、技術、組織、人のいずれかに偏らせず並行して進める必要があります。

技術だけを積み上げても、運用する側の規程と教育が伴わなければ、最も弱い部分が全体の水準を決めてしまうためです。以下では、6つの基盤的な対策について、何を確かめ、どこから手を付けるかを解説します。

認証とアクセス制御を強化する

前章のアクセス権限設定が誰にどこまで開示するかを決めるものであるのに対し、この節では利用者が本人であることをどう確かめるかを扱います。IDとパスワードだけの認証では、正規の社員アカウントやフィッシングで奪われた認証情報を使われた時点で、境界での防御は正規の通行として通過させてしまいます。

そこで、パスワードとは別の要素で本人確認を行う多要素認証、未登録の端末からの接続に管理者の承認を求めるデバイス認証、ログインを許可するグローバルIPアドレスを限定する接続元制限を組み合わせます。社内は安全という前提が崩れた以上、入口で一度確認する方式から、アクセスのたびに検証する方式へ切り替えます。

脆弱性を放置しない更新体制をつくる

OSやソフトウェア、ネットワーク機器に残った脆弱性は、不正アクセスの侵入口になります。脆弱性とは、プログラムの設計上のミスや不具合が原因で生じる情報セキュリティ上の欠陥で、セキュリティホールとも呼ばれます。

独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」組織編では、システムの脆弱性を悪用した攻撃が4位に入りました。インターネットに公開しているサーバーで脆弱性を突かれると、情報漏えいやデータの改ざんに直結します。どの機器にどのバージョンが入っているかを台帳で把握し、資産管理と構成管理、パッチ管理を一元化しないと、更新の適用漏れが特定の機器に残ります。

参照元：IPA｜情報セキュリティ10大脅威 2026

操作ログを取得して監視する

操作ログは、誰がいつどのファイルを操作したかを記録し、不審な動きを早く見つけるための仕組みです。記録しておきたいのは、操作の種別、ファイル名、利用者、デバイス情報、接続元のグローバルIPアドレスです。不審なアクセスが検知されるという前提が共有されること自体も、内部不正の抑止につながります。

ただし取得するだけでは形骸化します。週次または月次でアクセスログを自動で抽出し、一度に大量のファイルをダウンロードした記録や、深夜など業務時間外のアクセスを拾い出す担当者と頻度を決めてください。保管期間も社内ルールとして定めます。

生成AIの利用ルールを整備する

業務で生成AIを使うなら、入力してよい情報と禁止する情報を先に線引きします。IPAの「情報セキュリティ10大脅威 2026」組織編では、AIの利用をめぐるサイバーリスクが3位に初選出されました。どのAIサービスを、どの範囲で、どのデータに対して使えるかを明文化し、全社に周知します。

利用を許可するサービスは限定したうえで、許可していないAIツールが使われていないかは、IT資産管理ツールやネットワーク監視で検知して制御します。利用状況と権限設定、ログについては定期的に見直し、リスクを再評価してください。

参照元：IPA｜プレス発表「情報セキュリティ10大脅威 2026」を決定

委託先とサプライチェーンを点検する

自社の対策が十分でも、委託先や取引先を起点に漏洩が起こります。IPAの「情報セキュリティ10大脅威 2026」組織編で、サプライチェーンや委託先を狙った攻撃は2位でした。個人データの取扱いを委託する場合、個人情報保護法第25条により、委託先が適切な安全管理措置を講じるよう必要かつ適切な監督を行う義務があります。

個人情報保護委員会のガイドライン（通則編）は、委託先の選定にあたり、自社に求められるものと同等の措置が確実に実施されることをあらかじめ確認するよう求めています。契約に安全管理措置の内容と取扱状況の把握を盛り込み、再委託の事前報告や承認、定期的な監査まで決めておきます。

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

規程整備と従業員教育を継続する

情報の取り扱いは文書化し、従業員が判断に迷わない状態をつくります。個人情報保護委員会のガイドライン（通則編）は、取得、利用、保存、提供、削除・廃棄という段階ごとに、取扱方法と責任者・担当者の任務を定めた取扱規程を策定するよう示しています。従業員への教育も義務です。

同ガイドラインは、取扱いの留意事項について定期的な研修を行うこと、秘密保持に関する事項を就業規則等に盛り込むことを挙げています。規程を定めても現場に浸透せず形骸化する例があるため、年間の教育計画を立て、机上訓練や演習まで含めて実施状況を確認してください。

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

情報漏洩が発生した場合の対応と報告義務

対策を尽くしても、漏洩が起きない保証はありません。起きたあとの動き方を決めていないと、被害の拡大を止められないまま、法律上の報告期限だけが過ぎていきます。個人データの漏えいでは、個人情報保護委員会への報告と本人への通知が義務になる場合があり、期限は日数で定められています。

発覚直後の初動、報告の段階と期限、本人への通知と再発防止策の3点について、根拠となる条文とあわせて解説します。

初動で被害の拡大を止める

不正アクセスやマルウェア感染が疑われたら、被害が発覚時よりも拡大しないための措置を最優先で講じます。感染した端末はLANケーブルの抜去や無線LAN接続の無効化でネットワークから切り離し、侵害の疑いがあるシステムは停止します。並行して、該当するアカウントの停止、パスワードの変更、アクセス権の無効化を進めます。

個人情報保護委員会のガイドライン（通則編）は、責任ある立場の者へ直ちに報告することと、事実関係の調査および原因の究明に必要な措置を講じることもあわせて求めています。発覚直後に確認する項目は次のとおりです。

• ●漏洩が疑われる情報の種類と件数を特定したか
• ●該当するシステムやアカウントの利用を停止したか
• ●事象の経緯を記録し、ログを保全したか
• ●社内の報告先と対応責任者を確定したか
• ●個人情報保護委員会への報告対象に当たるかを確認したか

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

個人情報保護委員会へ報告する

個人データの漏えいのうち一定の事態に当たる場合は、個人情報保護法第26条第1項により、個人情報保護委員会への報告が義務づけられています。報告は速報と確報の2段階に分かれます。それぞれの期限と報告する内容は次のとおりです。

期限の起算点は、その事態を知った時点です。法人の場合はいずれかの部署が知った時点が基準になるため、現場が気づいた日から数え始めます。判断が遅れるほど猶予は減るので、報告対象に当たるかどうかは初動と並行して確かめてください。なお、速報の時点で報告事項をすべて出せる場合は、1回の報告で速報と確報を兼ねられます。

参照元：個人情報保護委員会｜漏えい等の対応とお役立ち資料

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

本人への通知と再発防止策を実施する

報告対象となる事態では、本人への通知も義務です。通知する内容は、概要、漏えいした個人データの項目、原因、二次被害またはそのおそれの有無と内容、その他参考となる事項に限られ、本人の権利利益を保護するために必要な範囲で行います。

連絡先が分からないなど通知が困難な場合は、事案の公表や、問合せ窓口を用意して連絡先を公表し、本人が自身のデータが対象かどうかを確認できるようにする代替措置が認められます。再発防止策は、事実関係の調査と原因の究明の結果を踏まえて検討し、システムの改修、運用ルールの見直し、教育の強化として実施します。

参照元：個人情報保護委員会｜個人情報の保護に関する法律についてのガイドライン（通則編）

DirectCloudで実現する情報漏洩対策

ここまでに挙げた対策を個別のツールで積み上げると、管理する仕組みが増え、設定の抜け漏れが起きやすくなります。

法人向けクラウドストレージのDirectCloudは、アクセス権の設定、共有リンクによる社外共有、端末と接続元の制限、操作ログ、暗号化と持ち出し制限を1つの基盤でご提供しています。ファイルとログが分散しないため、監査で求められる証跡もそろえやすくなります。

前章までに挙げた課題と、それに対応する機能、得られる効果を下の表にまとめました。

業務に必要な範囲だけにファイルを開示できる

DirectCloudでは、ユーザーに対して7段階のアクセスレベルを付与でき、フォルダ単位で細かい権限設計をご利用いただけます。共有フォルダのアクセス権は、ユーザー単位でもグループ単位でも設定できるため、部門やプロジェクトの単位で開示範囲を絞り込めます。

管理者がフォルダを作成し、指定のユーザーグループと紐付ける流れで運用でき、権限は読み取り、書き込み、作成の3種類から選べます。ダウンロードやコピー、ファイルリンクの作成、添付ファイル送信ができない「編集者－（マイナス）」もご用意しており、社外に持ち出させずに編集だけを任せる使い方にも対応します。

参照元：DirectCloud｜法人向けクラウドストレージ「DirectCloud」の特徴｜業務負荷を軽減する管理者機能

社外共有をリンクで制御できる

共有リンクには、受信者がダウンロードできる期間と、ダウンロード時にパスワードの入力を求める設定をご用意しています。アクセス回数とダウンロード回数の制限も併用できるため、URLが第三者の手に渡った場合でも被害の範囲を抑えられます。ワークフローを経由してリンクを発行する運用にすれば、送信前に上長の承認を挟めます。

取引先とのやり取りには、ゲスト招待をご利用いただけます。ゲストにもアクセスレベルを設定でき、管理者が招待と承認を行う形で運用できます。取引先はアカウント登録なしでファイルを受け取れるため、メール添付をやめても業務が止まりません。

参照元：DirectCloud｜社内外とのファイル共有・共同作業を実現する

端末と接続元を限定できる

アクセス権を持つ利用者であっても、利用するデバイスや場所を限定できます。デバイス認証では、未登録の端末から接続した場合に管理者の承認を必ず経るよう設定でき、ネットワーク制限と組み合わせると、管理者が指定した範囲内の許可済みデバイスだけが利用できる状態になります。

IPアドレス制限では、許可していないグローバルIPアドレスからのログインを遮断します。ワンタイムパスワードによる二要素認証も標準でご利用いただけます。特定のIPアドレスやデバイスから異常が検知された場合は即座にアクセスを遮断でき、端末を紛失した場合もすぐにロックをかけられます。

参照元：DirectCloud｜法人向けクラウドストレージ「DirectCloud」の特徴｜強固なセキュリティ

操作を追跡して内部不正を抑止できる

取得できるログの合計は250種類以上で、管理者の操作ログも含みます。ログイン、ファイルの送受信、ファイルリンクの作成など、利用者がDirectCloud上で行った操作は管理者がすべて把握できます。

ログには操作の種別、ファイル名、利用者、デバイス情報、グローバルIPアドレスが記録されるため、誰がいつどのファイルを扱ったかを後から確認できます。利用者と管理者に分けて取得できることから、証跡を部門横断で把握することも可能です。ISMSやプライバシーマークの更新で求められるアクセスログの要件にも、この記録でそのまま対応いただけます。

参照元：DirectCloud｜デバイス認証、IPアドレス制限などの高度なセキュリティ

機密ファイルの持ち出しを防げる

オプションのDirectCloud-SHIELDは、持ち出されたあとのファイルまで保護します。IRMを有効にすると、外部に持ち出されたファイルについてもアクセスできる利用者を限定し、閲覧、編集、印刷、キャプチャといった操作を細かく制御できます。

DLPを有効にすると、ダウンロードやリンクでファイルを外部へ持ち出せない環境で利活用いただけます。IRMは機密度の自動判定にも対応しており、ファイル名や文書内のテキストからマイナンバーやクレジットカード番号、住所などを検出し、「極秘」「秘」「社外秘」の機密度ラベルを自動で付与します。

参照元：DirectCloud｜機密ファイルを安全に守り、漏えいリスクをゼロに！

DirectCloud導入で情報漏洩対策を強化した企業の事例

ここで取り上げる3社は、業種も規模も異なりますが、いずれもファイルサーバーの運用に抱えていた課題をDirectCloudの導入で解消されています。

ランサムウェア対策と社外アクセスの両立、ローカル保存とUSB利用の制限、権限の属人化の解消という3つの事例について、導入前の課題と導入後の成果を順に紹介します。

ランサムウェア対策と社外アクセスを両立した事例

清酒「菊正宗」などの製造販売を手掛ける菊正宗酒造株式会社様は、ファイルサーバーのランサムウェア対策に苦慮されていました。社外からのVPN接続によるアクセスも煩雑で、バックアップは取得していたものの、個々のファイルをリストアする対応に手間がかかる状態でした。

DirectCloudの導入後は、ランサムウェアなどのウイルス対策が容易になり、業務効率が向上しています。VPN接続が不要になったことで、社外での連携も円滑になりました。データをDirectCloudに集約したことで、個々のファイルのリストア対応にかかる工数も削減されています。

ローカル保存とUSB利用を制限した事例

オフィスビルや病院などの清掃・設備管理・警備を担う横浜ビルシステム株式会社様では、在宅勤務の際に自宅や外出先からファイルサーバーへアクセスできないことが課題でした。ローカル保存やUSB端末への保存による情報漏えいへの対策も求められており、大容量ファイルを円滑に共有する仕組みも整っていませんでした。

導入後は、在宅勤務時の作業フォルダへのアクセス時間が短縮されています。ローカル保存とUSBの利用制限により情報漏えいのリスクを削減し、共有リンクによって大容量ファイルもスムーズに共有できるようになりました。

権限の属人化を解消し内部統制を強化した事例

ビルメンテナンス業と不動産管理業を手掛けるトーセイ・コミュニティ株式会社様は、ファイルサーバーの故障によるデータ消失を懸念し、堅牢なバックアップ体制を求めていました。管理の前任者が退職して権限設定はブラックボックス化し、Windows Server標準のログ取得機能では詳細な操作ログを取得できていませんでした。

導入後は、ファイルがAWS東京リージョン内のデータセンター3ヶ所に分散保存されるため、ハードウェア故障の不安とバックアップの手間から解放されています。フォルダへのアクセス権やファイル操作の権限もユーザーごとに把握でき、250種類以上の操作ログ取得機能で内部統制を大幅に強化されました。

まとめ

情報漏洩対策は、原因と経路を見極めたうえで着手順序を決めることから始まります。公表された事故では外部からの不正アクセスが6割を超える一方、人的ミスも3割を占めており、技術だけを積み上げても穴は残ります。守るべき情報を絞り込み、保管から廃棄までの経路ごとに統制を確かめ、認証やログ、規程と教育を並行して整える必要があります。

DirectCloudは、7段階のアクセス権で開示範囲を絞り、共有リンクに期限とパスワードを設定して社外共有を制御し、デバイス認証とIPアドレス制限で利用できる端末と接続元を限定します。250種類以上の操作ログは監査対応と内部不正の抑止を支え、オプションのDirectCloud-SHIELDは持ち出された後のファイルも暗号化で保護します。経路ごとの統制を1つの基盤にまとめる進め方や、自社に合う設定については、DirectCloudまでお問い合わせください。