情報漏洩対策の事例10選｜企業が実施した再発防止策と具体的対応

情報漏洩は、ひとたび発生すれば、経営に大きなダメージを与える可能性があります。実際、情報漏洩を防ぐには、セキュリティ製品を導入するだけでは不十分です。自社でどのようなリスクが発生しやすいのかを把握し、原因ごとに対策を講じる必要があります。

特に、情報システム部門や管理部門では、端末、アカウント、SaaS、アクセス権限などを適切に管理しながら、運用として再発防止策を定着させていく視点が欠かせません。本記事では、情報漏洩の主な原因を整理しつつ、企業が実施した具体的な対策事例を紹介します。

情報漏洩の原因

情報漏洩は、単一の原因で起こるとは限りません。外部からの攻撃によって侵入を許すケースもあれば、運用管理上の不備が引き金になることもあります。まずは、情報漏洩の代表的な原因を4つに分けて整理します。

情報漏洩の対策について詳しくは以下の記事もご覧ください。
note記事：情報漏洩対策とは？原因・防止策・運用改善まで徹底解説

外部攻撃による漏洩

情報漏洩の代表的な原因は、外部からの不正アクセスです。近年は、VPN機器やネットワーク機器の脆弱性を放置したままにしたことで侵入を許し、社内システムやファイルサーバーへアクセスされるケースが見られます。

フィッシングメールを通じて認証情報を盗まれるケースも珍しくありません。加えて、クラウドストレージや共有フォルダの公開設定ミスによって、社外から閲覧可能な状態になってしまう事例もあります。

人的ミスによる漏洩

情報漏洩は、悪意ある攻撃だけでなく、日常業務の中の小さなミスから発生することも少なくありません。よく知られているのがメールの誤送信です。宛先の選択ミスやCC・BCCの設定誤りによって、本来共有すべきでない相手に個人情報や機密情報を送ってしまうケースがあります。

そのほかにも、クラウド上のファイルや共有フォルダを誤って公開設定にしてしまう、アクセス権限を広く付けすぎてしまうといったミスも起こりがちです。USBメモリやノートPCなどの記録媒体・端末を紛失したことで、情報漏洩につながるケースもあります。

内部不正・権限管理不備 

情報漏洩には、社内関係者による不正行為や、権限管理の甘さが原因となるケースもあります。たとえば退職者や異動者のアカウントが削除されずに残っていると、不要なアクセス権限が放置され、不正利用のリスクが高まります。

また、現職社員に必要以上の権限が付与されていると、閲覧不要な顧客情報や営業情報、機密ファイルにアクセスできてしまう状態が生まれます。その結果、意図的な持ち出しや不正利用につながるリスクがあります。

IT資産・アカウント管理不足

情報漏洩の背景には、IT資産やアカウントの管理不足が潜んでいることも多くあります。たとえばSaaSアカウントの棚卸しを長期間実施していないと、誰がどのサービスを利用しているのか把握できず、不要アカウントや放置アカウントが残りやすくなります。こうした状態は、不正アクセスや権限管理漏れの原因になりかねません。

さらに、会社で把握していないクラウドサービスやアプリが現場で利用される、いわゆるシャドーITもリスク要因です。管理部門の目が届かないまま業務データが外部サービスに保存されると、情報の所在やアクセス制御が不透明になります。

加えて、未管理端末から社内システムへアクセスできる状態になっていると、セキュリティ対策が不十分な端末経由で情報が漏れる可能性もあります。

情報漏洩対策の具体的な事例10選

情報漏洩対策では、発生原因をどう捉え、再発防止策をどこまで運用に落とし込めているかが重要です。以下、企業や団体が実際に講じた対応をもとに、情報漏洩対策の具体例を確認します。

大手自動車メーカーの事例

多数の顧客データを扱う企業の事例です。事案は、クラウド環境の公開設定ミスにより、顧客情報が外部から閲覧可能な状態になっていた可能性があるというものです。

原因は、担当者の設定誤認だけでなく、公開設定を防ぐ技術的な制御不足、周辺担当者を含むセキュリティ理解の不足、委託先管理の甘さが重なっていました。情報漏洩対策としては、仕様決定前の影響評価、クラウド設定を機械的に監視する仕組みの導入、従業員への再教育、委託先への定期報告や監査強化を実施しています。

大手インターネットサービス企業の事例

大規模なインターネットサービスを展開し、ユーザー情報や取引先情報を幅広く扱う企業の事例です。委託先従業員の端末がマルウェア感染したことを起点に、不正アクセスによる情報漏洩が発生しました。

問題となったのは、委託先への安全管理措置、接続先企業とのネットワークや認証基盤のあり方、従業員向けシステムのセキュリティ統制です。対策として、委託先リスク評価の見直し、社内ネットワーク接続時の管理下PC利用と二要素認証の徹底、認証基盤やネットワークの分離、重要システムへの追加診断などを進めています。

業務システム関連企業の事例

業務システムや人事系サービスを提供するIT関連企業の事例です。親会社側で発生したランサムウェア攻撃の影響を受け、一部の取引先情報や社内文書の流出が確認されました。一方で、提供中のクラウドサービスや顧客向け環境は分離されており、直接の影響は確認されていません。

情報漏洩対策として、サーバー設定と全パスワードの見直し、多要素認証の導入、外部専門家の支援を受けたグループ全体でのセキュリティ強化、情報管理ルールの徹底教育を実施しています。

大規模医療機関の事例

多くの患者情報と職員情報を扱う大規模医療機関の事例です。院内で利用する検査関連システムや人材育成システムに対し、外部からの不正アクセスがあり、個人情報が漏洩した可能性が生じました。

不正利用は確認されなかったものの、患者・職員双方に関わる情報が対象となっています。情報漏洩対策としては、対象サーバーの遮断、パスワード変更、ネットワーク再構成、監視体制の強化、多要素認証導入、さらに一部システムを閉域的な運用へ移行する方針が示されました。

自治体の事例①

住民向け業務を担う自治体組織の事例です。会員向けの案内メールを送る際、本来はBCCで送るべきところをTOで一斉送信してしまい、氏名とメールアドレスが互いに見える状態になりました。

原因は、送信前の確認不足とダブルチェック不徹底に加え、組織内での情報共有が遅れた点にもありました。情報漏洩対策として、全件BCC設定の徹底、送信前の複数人確認、個人情報取り扱い研修の実施、定期的な注意喚起が打ち出されています。

自治体の事例②

多くの住民情報や医療・福祉関連情報を扱う行政組織の事例です。単発の大規模侵害ではなく、メール誤送信、誤封入、誤送付、公開資料への個人情報混入、書類紛失、委託先の確認不足など、さまざまな人的ミスが継続的に発生していました。

共通する原因は、ダブルチェック不徹底、手作業リストの加工ミス、委託先を含めた確認体制不足、書類やデータの保管・発送ルールの弱さです。情報漏洩対策として、複数人確認、専用の一斉送信システム活用、発送管理簿の整備、チェックリスト導入、委託先指導、研修の実施などが行われています。

BtoB向けクラウドサービス企業の事例

業務用のデータ処理サービスを提供するBtoB企業の事例です。提供中のクラウドサービスのサーバーに対して不正アクセスが発生し、一部データベース内の情報が窃取された可能性が生じました。

直接的な二次被害は確認されていないものの、利用企業の担当者情報や処理済みデータが対象となっています。情報漏洩対策として、全サービスのセキュリティリスク再評価、運用チェックリストの改善、インシデント対応マニュアルの見直しと訓練、監査の強化、従業員教育を進めています。

大手通信事業者の事例

多数の個人顧客情報を扱う通信事業者の事例です。委託先企業での不適切な情報取り扱いが発覚し、元従業員によるUSBを使った持ち出しの可能性や、クラウド上で第三者が閲覧できる状態が確認されました。

背景には、委託先の入退室管理や監査対応の甘さ、契約ルールに反する運用がありました。情報漏洩対策としては、対象業務の停止と契約解除、フォレンジック調査、問い合わせ窓口の設置に加え、委託先からの営業架電の見直しや、個人情報を扱う環境を元請け側で用意して常時監視する方針へ転換しています。

プラットフォーム運営企業の事例

さまざまな情報を扱うプラットフォーム運営企業の事例です。管理者画面への不正アクセスが発生し、個人情報や発表前の情報が漏洩した可能性が判明しました。原因として、過去に追加されたIPアドレス許可設定の管理不備や、普段使われていない共有アカウントの存在が侵入経路になったとされています。

情報漏洩対策としては、アクセス許可IPの最小化、侵入経路の遮断、パスワード変更、不正ファイル実行の防止設定、WAF設定の見直し、新管理画面への移行、共有アカウントの廃止などが挙げられています。

企業グループの事例

複数の事業会社を抱える企業グループにおける、メールアカウント不正利用事例です。グループ社員のメールアカウントに関するパスワードが外部に漏洩し、そのアカウントが第三者に不正利用され、複数人にフィッシングメールが送られました。

機密情報や顧客情報の漏洩は確認されなかったものの、メールアカウント起点の被害拡大リスクが顕在化したケースです。情報漏洩対策として、パスワード変更、多要素認証の導入、不正アクセスの痕跡調査、社員向けのセキュリティ教育とフィッシング対策研修の強化を進めています。

情報漏洩対策をするならIT withがおすすめ

情報漏洩は高度なサイバー攻撃だけで起こるものではありません。クラウド設定ミス、委託先管理の不備、メール誤送信、退職者アカウントの放置、未管理端末からのアクセスなど、日常業務の運用上のほころびが事故につながるケースも多くあります。情報漏洩対策は、アカウント管理、端末管理、問い合わせ対応、運用ルール整備まで含めて、継続的に回せる体制をつくることが重要です。

IT withは、ソフトバンクのグループ企業で培われた運用ノウハウや標準化の考え方をベースに、企業の情報システム担当者が抱えやすい幅広い業務を支援するサービスです。情シス領域の多岐にわたる業務をカバーしており、必要な支援を必要な範囲で受けやすい構成になっています。定型化しやすい業務を切り出して支援を受けられるため、情報漏洩対策に直結する業務から優先的に整理しやすいのが特長です。

たとえばアカウント棚卸し、退職者アカウントの無効化、端末管理台帳の整備、権限管理の見直し、手順書の作成、問い合わせ対応の整理などは、事故を未然に防ぐうえで重要な基礎業務ですが、社内だけで回すには負荷が大きくなりがちです。IT withは、こうした後回しにするとリスクになる業務を支援対象として取り込みやすいサービスです。

BPO型サービスのwith IT業務支援に加えて、セキュリティにも配慮した運用支援を行うマネージドサービスも活用できます。

事例を参考にして情報漏洩対策を強化しよう

情報漏洩は、外部からの不正アクセスだけでなく、メール誤送信や公開設定ミス、退職者アカウントの放置、委託先管理の不備など、日常業務の中にある小さなほころびからも発生します。実際の事例を見ても、事故の原因は1つではなく、技術面・運用面・人的面の課題が重なって表面化しているケースが少なくありません。

こうした状況で有効なのが、必要な業務から整理し、段階的に運用体制を整えていく進め方です。IT withは、アカウント管理、端末管理、ヘルプデスク、運用整備といった情報漏洩対策に直結しやすい業務を支援しています。情報漏洩対策の運用を見直したい方は、下記フォームからお気軽にお問い合わせください。

 資料ダウンロードはこちら（無料）