情報漏洩はサイバー攻撃だけじゃない！中小企業が陥る身近な落とし穴

メール誤送信や生成AIのリスクから、少人数でも実践できる対策まで専門家が解説

情報漏洩というとサイバー攻撃をイメージしがちですが、メールの誤送信や私物端末の利用、情報共有の不備など、日常業務の中にもさまざまなリスクが潜んでいます。

一方、中小企業や創業間もない会社では、専任の情報管理担当者を置くことが難しく、十分な社内ルールが整備されていないケースも少なくありません。しかし、「知らなかった」「悪気はなかった」という不注意による情報漏洩であっても、企業の信用を大きく損なう事態へと発展してしまうことがあります。

今回は、中小企業情報化塾の代表を務める村松 真氏に、日常業務に潜む身近な情報漏洩の事例や、専任担当者がいない小規模企業でも実践できる対策、万が一の際の初動対応について伺いました。

村松 真（むらまつ まこと）

中小企業情報化塾 代表

中小企業診断士、ITコーディネータ、情報処理安全確保支援士（登録番号 第022452号）、経営心理士。富士ゼロックス、マイクロソフト、システムインテグレーターで30年以上にわたりシステム開発・サポート・ネットワークやセキュリティの構築に携わり、技術セミナーの企画・登壇は400回を超える。2023年にMicrosoft Top Partner Engineer Award（Security／Modern Work部門）を受賞。2026年に独立し、中小企業情報化塾の代表として、公的機関の専門家派遣などを通じて中小企業のDX推進、情報セキュリティ強化、生成AI活用を支援している。現場に寄り添い、無理なく一歩を踏み出せる伴走支援がモットー。

メールやExcelからも情報漏洩？日常業務に潜む意外な落とし穴

村松：最近はAIの影響でサイバー攻撃が高度化して、そちらの事例がクローズアップされますが、それ以外でも漏洩は発生しています。

従業員が意図的に持ち出す場合と、意図せず漏洩させてしまう場合があります。

意図せず漏洩させてしまうケースとしては「メール誤送信」が典型ですが、それ以外にもさまざまなシーンがあります。

• Excelの非表示にした部分に重要情報や個人情報が含まれていた
• 写真やWeb会議の画面の背景に重要情報が映り込んだ
• PCの廃棄や返却時に記憶装置の中身を消去しなかった
• PDFで黒塗りしたけれど、実はコピーすると読めてしまった
• 重要情報を送ったメールグループや、LINEグループに意図しないメンバーが含まれていることに気づかなかった
• Web会議で画面を共有するときに、対象のファイルだけを共有しようとして誤って画面全体を共有してしまい、背景に見られたくないものが映っていた

村松：漏洩しやすいのは、“機密”としての意識の薄い情報です。“守らなければいけない”と思わなければ守る行動はとられません。

顧客名簿や見積・取引条件、従業員の個人情報などは意識が薄れがちです。

「常識だから大丈夫」が危ない！中小企業が見直すべき情報管理の習慣

村松：小規模企業の場合、セキュリティ規定等のルール整備が不十分で、“何をしてはいけないか”が従業員の常識任せになっていることがよくあります。そのため、従業員は“やってはいけない”という認識がなく、リスクを知らずに情報漏洩につながる行動をとってしまうのです。

まず“漏洩とは何か？”、“漏洩させてはいけない情報はどれか？”、“やってはいけない行動は何か？”を決めて、周知するところから始めましょう。

“常識だからわかっているだろう”は危険です。リスクは常識の中に潜んでいます。

村松：実は、経営者自身も“どの情報が誰に漏れると何が困るのか”をきちんと整理できていないケースが多いように思います。個人情報と一口に言ってもその中身のレベルは色々ありますし、その情報がなければできない仕事もあります。

まずは、自分たちにとって重要な情報はどれで、それはどんなものか、どこにあってどう扱われているかを共有しましょう。これが「情報の棚卸し」で、最も重要なステップです。

その上で、アカウント保護、権限制御、私用IT制限を実施します。

【アカウント保護】

• パスワードを使い回さない
• できる限り多要素認証の設定をする
• 使っていないアカウントを削除もしくは無効化する

【権限制御】

• 管理者権限を限定する
• ファイルサーバーやリモートアクセスの権限を最小限に絞る

【私用IT制限】

• 私物PC・個人LINE・個人アカウントの無償生成AIなどをどこまで許容するかを話し合い、ルール化する

また、メールの送信前に送信先および本文に書かれた宛先を確認するなど、うっかりを防ぐための習慣を定着させることも有効です。

生成AIに顧客情報を入力しても大丈夫？外部委託先との共有にも注意

村松：生成AIのリスクも色々ありますが、ここでは“情報漏洩”という視点で整理してみます。

漏れてはいけない情報を扱うツールは、その特性や注意点を理解して使う必要があります。例えば電子メールでは誤送信が発生しやすいので気を付ける必要があるなどです。

生成AIが従来のツールと異なる点としては、次の2つの特性が挙げられます。

• 特性1：クラウド型の場合、情報をクラウドの先の運営企業に見られたり、AI自体の学習に使われる可能性があること
• 特性2：生成AIが自律的に動作し、人間の想定外の動きをする可能性があること

特性1の運営企業への漏洩や学習リスクへの対応としては、学習されない設定をしたり、できれば情報保護契約が含まれる法人契約で使うことをお勧めします。将来的にはクラウド型ではない、ローカルAIの活用も良いと思います。

特性2の生成AIが自律的に情報漏洩につながる動きをする可能性への対策としては、そもそもAIが触る範囲に顧客情報や重要情報をおかないか、もしくはAIにその権限を与えないことをお勧めします。

先の質問の回答でもお話ししましたが、会社で使う情報もすべての情報が同じように重要なわけではありません。顧客情報も、固有情報のみマスクをして、漏洩しても影響のない形に加工してから生成AIに渡すことも考えられます。

いずれにせよ、こうしたルールを運用するには、“会社が認めたAI以外使ってはいけない”ということが条件となりますので、従業員が勝手に個人アカウントのAIを使うことを禁止しなければなりません。

村松：外部の業務委託先と情報を共有する場合も、ケアを怠らないことが大切です。具体的には以下の点を徹底しましょう。

• どのような情報を共有するのかを精査し、必要な範囲に絞ること
• 秘密保持の約束を書面で交わすこと
• 業務が終わったら共有の解除やデータの返却・削除を確認すること

情報漏洩が発覚したら？最初にすべきは「社員を責めないこと」

村松：経営者が情報漏洩の可能性を知るのは、たいていは「すみません、メールを間違えて送ってしまいました」といった、社員からの報告でしょう。

そのとき経営者が最初にすべきことは、報告してくれた社員を責めずに「よく知らせてくれた」と伝えることです。

ここで叱ってしまうと、次からミスが隠されるようになります。漏洩そのものより怖いのは、報告が上がってこない組織です。

そのうえで、落ち着いて指示を出します。まずは被害を広げないこと。

• 誤送信の場合：相手への削除のお願い
• ウイルス感染の疑いがある場合：ネットワークからの切り離し

あわせて「ファイルや記録は消さないように」と伝えてください。

次に、いつ・何の情報が・どこへ漏れたのかを、分かっていることと推測とを分けて整理してもらい、対応の窓口を一人に決めます。

村松：専門家への相談を決めるのも経営者の役割です。

確定を待たず、「疑い」の段階で普段のIT業者や保険会社、IPA（情報処理推進機構）の相談窓口などに相談してください。

個人情報保護委員会への報告や本人への通知は、漏洩の内容によって法律上の義務となる場合があります。また、顧客や取引先への連絡が必要になることもあるため、報告・連絡の要否を速やかに確認し、必要に応じて専門家に相談しましょう。

分からないことは「調査中」と正直に伝え、推測で「被害はありません」と言い切らないことが、信頼を守ることにつながります。

情報管理は「A4一枚」から！小規模企業が守るべき3つのルール

村松：ルールを挙げる前に、共有すべき意識を2つ挙げさせてください。

1つ目は、情報を守るのは、特定の担当者でもセキュリティツールでもなく、社長を含めた従業員全員だということです。

もう1つは、守るべき情報が何か分からなければ守れない、ということです。自分たちにとって“守るべきものは何か”を確認する機会を設けましょう。

そのうえで、行動の決まりとして最低限のルールを3つ挙げるなら、次のとおりです。

• 1. 仕事の情報は会社が認めた道具でしか扱わないこと
  私物のパソコンや個人のLINE、無料のクラウドや生成AIに重要な情報を持ち込まない、ということです。
• 2. パスワードを使い回さない、人と共有しないこと
  社員が辞めたら、その日のうちにアカウントを止めます。
• 3. 「おかしい」と思ったときに誰に知らせるかを決めておくこと

村松：ルールはA4一枚に収まるくらい少なく、短くし、「なぜそうするのか」を必ずセットで伝えてください。意識と理由が共有されていれば、ルールにない場面でも社員が自分で判断できます。そして、経営者自身が守る姿を見せることが一番の近道です。

創業間もない経営者の方には、完璧を目指さず、小さく始めてほしいと思います。

お客様から預かった情報を守ることは、そのまま会社の信用を守ることにつながります。

（編集：創業手帳編集部）