従業員の退職が決まったとき、「顧客リストや設計データ、こっそり持ち出されていないだろうか」と不安になったことはないでしょうか。社員や退職者による業務データの持ち出しは、USBメモリや私用メール、個人のクラウドなど身近な経路で起こり、気づいたときには情報が社外に渡っています。
データ持ち出しには、社員や退職者による内部からの持ち出しと、マルウェアや不正アクセスによる外部からの持ち出しの両方があります。自社を守るには、まずどんな経路で持ち出しが起こるのかを把握し、経路ごとに運用ルールとツールで塞いでいくことが欠かせません。
この記事では、データ持ち出しの経路・手口の全体像から、経路別の具体的な対策、退職者への備え、発覚したときにできる法的措置とその現実、そして対策に使えるツールの種類と選び方までを整理します。自社の穴を見つけ、どこから手を付けるかを判断する材料としてご活用ください。
一括ダウンロードする
目次
一括ダウンロードする
データ持ち出しとは？「内部不正」と「外部攻撃」の2つの起点
データ持ち出しとは、企業が管理する機密情報や個人情報が、本来の管理下から許可なく社外へ運び出されることを指します。持ち出された結果として情報が外部に知られる「情報漏えい」とは、情報が外へ運び出される行為そのものに焦点がある点が異なります。まずは、持ち出しがどこから起こるのかという起点を押さえておきましょう。
社員・退職者による内部からの持ち出し
1つ目は、社員や退職者が自らの手でデータを持ち出すケースです。業務で正規にアクセスできる立場の人が、顧客リストや技術資料をUSBメモリや私用メールで社外へ移します。退職や転職にあたって「担当していた資料を手元に残したい」という動機が働きやすく、持ち出しが起こりやすい場面です。正規の権限で行われるため、外部からの攻撃よりも気づきにくいのが特徴です。
内部からの持ち出しは、明確な悪意によるものばかりではありません。「持ち帰って作業したい」という軽い気持ちや、ルールを知らずに行う無自覚なものまで幅があり、動機の違いに応じた備えが求められます。
マルウェアや不正アクセスによる外部からの持ち出し
2つ目は、社外の攻撃者がデータを抜き取るケースです。フィッシングやマルウェア感染で従業員のIDとパスワードを盗み、正規の利用者になりすまして社内システムにアクセスし、データをダウンロードします。誤って公開設定のまま放置されたクラウドストレージから抜き取られることもあります。
内部と外部は対策が重なる部分も多くありますが、本記事は正規の権限で行われ気づきにくい内部からの持ち出しを中心に、経路ごとの防ぎ方を解説します。
社員・退職者がデータを持ち出す経路・手口【網羅リスト】
ここからは、データが実際にどこから持ち出されるのか、経路と手口を一通り並べます。自社でどの経路が空いているかを確かめながら読み進めてください。主な経路は次のとおりです。
- USBメモリ・外付けHDD：ファイルをコピーして物理的に持ち出す。短時間で大量のデータを複製でき、記録も残りにくい
- 私用メールへの転送・添付：業務データを個人のフリーメール宛てに送る。本文への貼り付けや添付ファイルの形で社外へ出る
- 個人のクラウドストレージへのアップロード・同期：個人契約のオンラインストレージへ保存・同期する。会社が把握していないサービス（シャドーIT）が使われることもある
- スマートフォン・タブレットでの撮影：画面やプリントアウトをカメラで撮る。端末に触れずに情報だけを持ち出せるため、制御が難しい
- 印刷して持ち帰り：紙に出力して社外へ持ち出す。電子的なログが残りにくく、見落とされやすい
- 業務端末そのものの持ち出し・紛失：ノートPCやスマートフォンを社外に持ち出し、紛失・盗難に遭う。端末内にデータが残っていれば、そのまま流出につながる
- 画面キャプチャ・スクリーンショット：画面を画像として保存し、メールやクラウド経由で持ち出す。閲覧しかできない情報でも画像にできる
これらの経路は、どれか1つを塞いでも別の経路が空いていれば持ち出しは起こります。「USBとメールだけ対策した」状態では、個人クラウドやスマホ撮影の穴が残ります。経路を一覧で押さえ、抜けなく対策につなげることが出発点です。
出典・参考資料（1件）
経路別に見る対策一覧｜運用で止める・ツールで塞ぐ
経路が把握できたら、それぞれにどう対策するかを対応づけます。対策には、ルールや手順で止める「運用」と、仕組みで止める「技術・ツール」の2通りがあり、多くの経路は両方を組み合わせることで実効性が高まります。まずは費用のかからない運用から着手し、運用だけでは止めきれない経路をツールで塞ぐのが現実的な進め方です。
| 経路別の対策 | USBメモリ・外付けHDD | 私用メールへの転送・添付 | 個人クラウドへのアップロード・同期 | スマホ撮影・画面キャプチャ | 印刷して持ち帰り | 業務端末の持ち出し・紛失 |
|---|---|---|---|---|---|---|
| 運用・ルールで止める | USB利用の許可制・持ち込み禁止、台帳での貸与管理 | 私用メール利用の禁止、送信前の上長承認ルール | 利用可能なクラウドの指定、私的利用の禁止 | 執務エリアでの私物スマホの扱いルール、画面持ち出し禁止の周知 | 機密文書の印刷ルール、持ち出し時の申請 | 端末の社外持ち出しルール、貸与・返却の管理 |
| 技術・ツールで塞ぐ | 外部メディアの書き込み制限・接続禁止、USB使用履歴の記録 | 外部ドメイン宛て送信の制限・監視、送信ログの記録 | 許可外クラウドへのアクセス制限、アップロード操作の記録 | 画面キャプチャの制限、閲覧端末へのデータ非保持（データレス化） | 印刷枚数の制限、印刷ログの記録、透かし印刷 | 端末へのデータ非保持（データレス化）、ディスク暗号化、遠隔での利用停止 |
※上記は一般的な対策の整理です。自社で必要な対策は、業務内容や扱う情報の性質に応じてご判断ください。
このうちUSBメモリや外付けメディアへの書き込み制限は、Windowsのグループポリシーで設定する方法と、専用のデバイス制御ツールでまとめて管理する方法があります。何をどこまで止められるのか、自前の設定と製品のどちらが自社に合うかは、次の解説で整理しています。
経路ごとの対策に加え、組織全体での取り組みも持ち出しの抑止に効きます。従業員への定期的な教育・研修で、何が持ち出しにあたるか・違反するとどうなるかを周知すれば、ルールの認識不足による持ち出しを減らせます。
社員が不正に気づいたときに声を上げられる内部通報窓口（通報者は公益通報者保護法で保護されます）は、発見と抑止の両面で役立ちます。ISMS（ISO/IEC 27001）やプライバシーマークといった枠組みの運用も、ルールと管理体制を継続的に保つ土台になります。
運用ルールは費用をかけずに始められる一方、人の行動に依存するため、徹底しきれない部分が残ります。誰がいつ何を操作したかを記録したり、そもそも端末にデータを残さなかったりといった仕組みでの対策を重ねることで、ルールの抜けを補えます。次の章では、運用で塞ぎきれない経路をツールで補う前提として、退職者という持ち出しが起こりやすい場面での備えを整理します。
一括ダウンロードする
退職者のデータ持ち出しを防ぐチェックリスト
退職や転職は、担当データを手元に残そうとする動機が高まる場面です。退職の意向が示されてから退職後までの流れに沿って、やるべきことを順番に確認しておきましょう。
- アクセス権限の棚卸しと最小化：退職の意向が示された段階で、本人が持つシステム・フォルダへのアクセス権限を洗い出し、業務に不要な権限は早めに外す
- 退職日のアカウント停止・削除：社内システム・クラウドサービス・VPNなどのアカウントを退職日に合わせて確実に停止する。消し忘れたアカウントは退職後の不正アクセスの入口になる
- 貸与物の回収と確実なデータ消去：PC・スマートフォン・USBメモリ・入館証などの貸与物を回収し、私物端末に業務データが残っていないかを確認する。再利用・廃棄する端末や記録媒体は、復元できない方法でデータを消去する
- 秘密保持契約・誓約書の締結と再確認：入社時・退職時に、持ち出し禁止と守秘義務を定めた誓約書・秘密保持契約を結び、対象となる情報の範囲を本人に確認してもらう
- 操作ログ・アクセス履歴の保全：退職前後のファイル操作・ダウンロード・メール送信などの記録を残し、持ち出しが疑われたときに確認できる状態にしておく
- 持ち出し痕跡の確認：退職直前の大量ダウンロードや、個人クラウド・私用メールへの転送といった痕跡がないかを点検する
このうち、誓約書や秘密保持契約には法律上の意味があります。持ち出された情報を「営業秘密」として法的に守るには、その情報を日頃から秘密として管理している実態が必要とされます。不正競争防止法は、営業秘密を次のように定めています。
この法律において「営業秘密」とは、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものをいう。
出典：不正競争防止法 第2条第6項｜e-Gov法令検索
条文の「秘密として管理されている」「事業活動に有用な」「公然と知られていない」の3つが、営業秘密として認められるための要件です。誓約書や秘密保持契約は、この「秘密として管理されている」状態を客観的に示す措置であると同時に、本人に持ち出し禁止の義務を課す根拠にもなります。退職時の手続きは、持ち出しそのものを防ぐだけでなく、万一の際に法的に争える状態を整えるうえでも重要です。
持ち出しが発覚したときの対応｜法的措置でできること・できないこと
実際に持ち出しが疑われたとき、企業は何ができるのでしょうか。結論から言えば、民事での差止・損害賠償や刑事告訴は可能ですが、いずれも事実と営業秘密性の立証が前提になります。
発覚直後の初動（証拠の保全と事実確認）
持ち出しが疑われたら、まず該当者の操作ログ・アクセス履歴・メール送信記録などの証拠を保全します。対象端末を初期化・返却してしまうと記録が失われるため、調査が済むまで現状を維持することが肝心です。そのうえで、いつ・どの情報が・どの経路で持ち出された可能性があるかを事実として確認します。
民事・刑事でできること
在職中に正当に示された営業秘密を、不正の利益を得る目的などで使用・開示する行為は、不正競争防止法上の「不正競争」に当たります。これに該当すれば、民事上は侵害行為の差止めを請求できます。
不正競争によって営業上の利益を侵害され、又は侵害されるおそれがある者は、その営業上の利益を侵害する者又は侵害するおそれがある者に対し、その侵害の停止又は予防を請求することができる。
出典：不正競争防止法 第3条第1項｜e-Gov法令検索
あわせて、故意または過失による不正競争で損害が生じた場合は、損害賠償を請求できます（不正競争防止法第4条）。刑事面では、営業秘密を不正に取得・使用・開示した者に対する罰則が定められています。
次の各号のいずれかに該当する場合には、当該違反行為をした者は、十年以下の拘禁刑若しくは二千万円以下の罰金に処し、又はこれを併科する。
出典：不正競争防止法 第21条第1項｜e-Gov法令検索
この罰則には、在職中に営業秘密を示された役員・従業者であった人が、在職中の働きかけをもとに退職後に使用・開示した場合を対象とする類型も含まれています（同条第2項第4号）。退職者による持ち出しも刑事事件になり得ます。また、法定刑は刑法改正にともない、従来の「懲役」から「拘禁刑」という表記に改められました（2025年6月施行）。
一方で、退職者に関してよく引き合いに出される「不正アクセス禁止法」は、適用できる場面が限られます。この法律が対象とするのは、他人のIDやパスワードを使うなどしてネットワーク越しに権限外のシステムへログインする行為です。
そのため、退職後に消し忘れたアカウントで社内システムへ侵入するケースには当たりますが、在職中に自分の正規の権限でデータをコピーして持ち出す行為は「不正アクセス」には当たりません。在職中の持ち出しは不正競争防止法などで捉える、と押さえておくと、どの場面にどの法律が効くかを見誤らずに済みます。
さらに、持ち出された情報に個人データが含まれる場合は、加害者への責任追及とは別に、企業側に報告義務が生じることがあります。個人情報保護法は、個人データの漏えい等で個人の権利利益を害するおそれが大きい事態が生じたときに、個人情報保護委員会への報告と本人への通知を義務づけています（第26条）。
その対象を定めた施行規則では、「不正の目的をもって行われたおそれがある」行為による漏えいが報告対象とされ、件数の要件がありません。このため、社員や退職者が意図的にデータを持ち出した場合は、対象が少数でも報告・通知が必要になり得ます。
出典・参考資料（4件）
立証の現実（証拠の確保が前提になる）
法的措置が「とれる」ことと、実際に「通る」ことは別です。営業秘密として保護を受けるには、前述の3要件、とりわけ「秘密として管理されている」状態を満たしていなければなりません。日頃からアクセス制限や管理区分を設けず、誰でも自由に閲覧できる状態だった情報は、営業秘密と認められにくく、持ち出されても不正競争防止法で争うことが難しくなります。
加えて、「誰が・いつ・何を持ち出したか」という事実と、それによって生じた損害を、企業側が示す必要があります。操作ログや誓約書といった事前の備えがないと、この立証が難航します。実務では損害額の立証も難しく、全額の回収に至らないことも少なくありません。裏を返せば、退職時の手続きや日常の記録・権限管理は、持ち出しを防ぐだけでなく、起きたときに法的に争える状態を保つうえでも効いてきます。
データ持ち出しが企業にもたらす被害と内部不正の実態データ
なぜここまで備える必要があるのか、被害の大きさと実態のデータから確認します。社内で説明資料をつくる際の根拠としてもご活用ください。
企業が受ける被害
データ持ち出しが起きると、損害賠償や調査にかかる直接のコストに加え、顧客や取引先からの信用の低下、競合への情報流出による競争力の低下といった影響が生じます。個人データが流出した場合は、前章のとおり報告・通知の対応も重なります。被害は金銭面だけでなく、事業の基盤そのものに及びます。
内部不正の実態を示すデータ
情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、「内部不正による情報漏えい等」が組織向けの脅威の第7位に挙げられています。この脅威は11年連続で選ばれており、順位の上下にかかわらず主要な脅威であり続けています。
漏えいの実態も深刻です。IPAの「企業における営業秘密管理に関する実態調査2024」（2025年8月公表）によると、過去5年以内に自社の営業秘密の漏えいを認識している企業は35.5%にのぼりました。
漏えいルート（複数回答）は「外部からのサイバー攻撃」が36.6%で最多でした。一方で「現職従業員等によるルール不徹底」が32.6%、「金銭目的等の具体的な動機」が31.5%、「誤操作・誤認」が25.4%と、社内に起因するルートを合わせると大きな割合を占めます。意図せぬルール違反から明確な動機を伴う持ち出しまで、内部からの漏えいへの備えが欠かせません。
情報漏えい事故そのものも高い水準で続いています。東京商工リサーチの調査では、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件、漏えいした個人情報は3,063万人分を超えました。持ち出しを含むデータ流出が、依然として多くの企業で現実の問題になっていることを示しています。
実際に起きた内部不正の例
内部からの持ち出しは、大規模な事故として実際に表面化しています。2023年には、株式会社NTTマーケティングアクトProCXからNTTビジネスソリューションズ株式会社に派遣され、コールセンタシステムの運用保守を担当していた元派遣社員が、システム管理者の権限を悪用して顧客情報を不正に持ち出していたことが公表されました。
持ち出しは約10年にわたって続いていたとされ、委託元69団体・約928万件という大量の顧客情報（一部クレジットカード情報を含む）が流出したと公表されています。正規の権限を持つ内部の人物による持ち出しは、外部からの攻撃より気づきにくい典型例です。
出典・参考資料（5件）
【セルフチェック】自社のデータ持ち出し対策はどこまで塞げているか
ここまでの内容をもとに、自社で塞げている経路と、まだ空いている経路を点検してみましょう。次の項目に「いいえ」が残るところが、優先して手を付けるべき穴です。
- USBメモリなど外部メディアへの書き込みを、ルールまたは仕組みで制限できているか
- 私用メールへの転送や、許可していないクラウドへのアップロードを制限・監視できているか
- 誰がいつどのファイルを操作・持ち出したかを、後から確認できる記録が残っているか
- 退職時にアクセス権限の停止・端末回収・誓約書の手続きが、手順として定まっているか
- 業務端末を紛失しても、端末内にデータが残らない、または読み取れない状態になっているか
このチェックで挙げた「誰がいつどのファイルを操作・持ち出したか」の記録は、PCの操作ログとして残せます。操作ログで具体的に何が取れ、USBへの持ち出しやWeb閲覧までどこまで追えるのか、どう確認するのかは、次の記事で詳しく解説しています。
運用ルールだけでは「いいえ」が残りやすいのが、操作の記録、許可外の送信・アップロードの制限、端末へのデータ非保持といった項目です。これらは人の注意に頼るよりも、仕組みで塞ぐほうが確実です。次章では、空いた経路を塞ぐための対策ツールを種類ごとに整理します。
データ持ち出し対策ツールの種類と選び方｜どの経路を塞げるか
運用ルールで止めきれない経路は、ツールで仕組みとして塞ぎます。対策ツールは、塞ぎたい経路に応じて大きく次の4種類に分けられます。自社で空いている経路に対応する種類から検討するのが近道です。
| 対策ツールの種類 | デバイス制御 | 操作ログ・IT資産管理 | データレスクライアント | 端末フォレンジック診断 |
|---|---|---|---|---|
| 主に塞げる経路 | USB・外部メディア、印刷 | ファイル操作、私用メール、クラウド、印刷の記録 | 端末の持ち出し・紛失、端末へのデータ保存 | 退職者・内部不正の持ち出し痕跡の事後確認 |
| 代表的な機能 | 外部メディアへの書き込み禁止、印刷制限、接続機器の制御 | ファイル操作・送信・印刷・USB利用の記録と可視化、不審操作の検知（DLP製品もこの系統） | 端末本体にデータを残さず、クラウド側にデータを保持。紛失時も読み取り不可 | 端末ログの解析による持ち出し痕跡の検出、証拠保全 |
※種類の分け方は手段に着目した整理です。1つの製品が複数の種類の機能を備えている場合もあります。
選ぶ際は、次の3つの観点で自社に合うものを絞り込みます。第一に、自社で空いている経路に対応しているかです。USBやクラウドからの持ち出しが課題なら操作ログやデバイス制御、端末の紛失が不安ならデータレス化、退職者の持ち出しを後から確かめたいなら端末フォレンジック診断が候補になります。
第二に、導入・運用の負担と費用です。常時使う記録・制御のツールは月額の継続費用、スポットで使う診断は実施ごとの費用と、料金の考え方が異なります。
第三に、業務効率とのバランスです。制限が強すぎると現場がシャドーITに流れて逆効果になるため、業務を止めない範囲で塞ぐ設計が欠かせません。
データ持ち出し対策は、社内セキュリティ全体の一領域です。不正アクセス対策や端末管理、ログ管理なども含めて、守るべき対象ごとにどんなソリューションがあるかを俯瞰したいときは、次のまとめ記事が検討の出発点になります。
ここからは、データ持ち出し対策に使える具体的なサービスを紹介します。また、デバイス制御は操作ログ・IT資産管理のツールが兼ねることが多く、ここで紹介する3つのサービスで先ほどの4種類の手段を一通りカバーできます。まずは主なサービスの比較から見ていきましょう。
| データ持ち出し対策サービスの比較 | Eye"247" Work Smart Cloud | CoWorker 端末侵害診断サービス | Shadow Desktop |
|---|---|---|---|
| 対策の種類 | 操作ログ・デバイス制御・IT資産管理 | 端末フォレンジック診断 | データレスクライアント |
| 主に塞げる経路 | USB・外部メディア、Web閲覧・ファイル操作、印刷の記録と制御 | 退職者・内部不正による持ち出し痕跡の事後確認 | 端末の持ち出し・紛失、端末へのデータ保存 |
| 提供形態 | クラウド型（常時稼働のSaaS） | スポット／定期の診断（事後調査型） | 既存PCにインストール（常時稼働） |
| 料金 | 初期費用0円＋月額400〜1,100円/台（台数が多いほど安くなる従量制、最低5ライセンス、税別） | 端末1台あたりの単価制（税別・要見積もり） | 初期費用0円＋月額950円〜/ユーザー（Standard、Premiumは1,350円〜、税別） |
| 無料トライアル | ●14日間 | ×（無料相談は可） | ●最大30日間 |
| 対応OS | Windows / Mac | Windows / Mac | Windows のみ |
| こんな企業に向く | 複数経路の操作を記録・制御し、IT資産管理も一本化したい企業 | 退職者・内部不正による持ち出しを事後に確かめたい企業 | 端末の紛失・盗難や私物端末（BYOD）の持ち出しリスクを抑えたい企業 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金・仕様は2026年11月時点の各社公式情報にもとづきます。最新の内容は各社の資料でご確認ください。
1. Eye”247″ Work Smart Cloud（株式会社フーバーブレイン）
Eye”247″ Work Smart Cloudは、PCの操作ログから「誰が・いつ・何を操作したか」を記録・可視化するクラウド型のサービスです。内部不正による情報漏えい対策を主な用途の一つに掲げ、ファイル操作・印刷・USB利用・個人情報を含むファイルの扱いまで記録します。
記録だけでなく、外部メディアへの書き込み禁止や印刷枚数の制限、利用禁止ソフトの制御といったデバイス制御も備え、USBや印刷経由の持ち出しを仕組みで塞げます。クライアント端末の情報を自動で集めるIT資産管理の機能も持ち、持ち出し対策と端末管理を1つのツールで扱える点が特徴です。
料金は初期費用が無料で、月額は契約台数に応じた1台あたりの従量制（税別で100台以上は1台あたり400円）、最低5ライセンスから利用できます。14日間の無料トライアルも用意されています。
USB・メール・印刷など複数の経路の操作を記録・制御したい企業や、持ち出し対策とあわせてIT資産の棚卸しも進めたい企業に向いています。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
CoWorker 端末侵害診断サービスは、対象のPCから専用ツールでログを集め、AIとセキュリティ専門家が事後に解析する、端末フォレンジックの診断サービスです。常時監視するのではなく、退職時やインシデントの疑いがあるタイミングで「すでに持ち出しや侵害が起きていないか」を調べる位置づけになっています。
退職者PCの診断では、顧客リストやソースコードの持ち出し、個人クラウドへの同期、退職直前の大量ダウンロードやメール転送といった痕跡を検出し、訴訟に備えた電子証拠の保全にも対応します。WindowsとMacに対応し、最大100台までの一括診断が可能です。
料金は端末1台あたりの単価制で、速報レポートは1週間以内、最終レポートと報告会は1か月以内に提供されます。持ち出しが疑われる場面で、証拠を押さえながら事実を確かめたい企業に適しています。
どのような場面でこうした事後の診断が必要になるのか、提供元のCoWorker株式会社は次のように述べています。
特に、営業職の転職が激しい業界の企業には向いていると考えています。顧客リストの漏洩が問題になりやすく、転職する社員が自社の顧客リストをダウンロードして転職先で活用してしまうといった、社内の顧客情報の漏洩リスクが疑われるケースが少なくありません。こうした顧客情報を管理する必要がある企業様にとっては、定期的にチェックを行うことで情報管理の担保につながると考えています。
3. Shadow Desktop（アップデータ株式会社）
Shadow Desktopは、PC内のデータを自動でクラウドなどの外部ストレージへ退避し、端末本体にデータを残さない状態をつくる「データレスクライアント」です。既存のWindows PCにインストールして使い、通常のPCと同じ操作感を保ちながら、端末にデータを持たせない運用を実現します。
端末に開いたファイルは暗号化された一時領域にのみ保持され、PCを紛失・盗難された場合でも、ディスクを取り出して読み取ることはできない設計とされています。管理コンソールから紛失端末の利用停止も行えるため、端末の持ち出し・紛失という経路を根本から塞ぐ発想の対策です。
料金はStandardプランが月額950円から、Premiumプランが月額1,350円から（いずれも税抜・ユーザー単位、公式価格表の2024年10月時点の版）で、原則5ライセンスから、最大30日間の無料トライアルがあります。対応OSはWindowsです。
端末の紛失・盗難や、私物端末（BYOD）での業務に伴う持ち出しリスクを抑えたい企業に向いています。
まとめ
データ持ち出しを防ぐ第一歩は、USB・私用メール・個人クラウド・スマホ撮影・印刷・端末の持ち出しといった経路を漏れなく把握することです。そのうえで、権限の見直しや退職時の手続きといった運用で止められるところを固め、運用だけでは塞ぎきれない経路を、操作ログ・デバイス制御・データレス化・端末診断などのツールで補っていきます。
万一持ち出しが起きた場合でも、日頃の記録や秘密保持の手続きがあれば、法的に争える余地が広がります。まずは自社で空いている経路を点検し、対策ツールの資料を取り寄せて、自社の課題に合うものを比較するところから始めてみてください。
一括ダウンロードする
データ持ち出し対策に関するよくある質問（FAQ）
Q. データ持ち出しとは何ですか？
A. データ持ち出しとは、企業が管理する機密情報や個人情報が、許可なく本来の管理下から社外へ運び出されることを指します。社員・退職者による内部からの持ち出しと、マルウェアや不正アクセスによる外部からの持ち出しの両方を含み、情報が外へ運び出される行為そのものに焦点がある点で、結果として情報が外部に知られる「情報漏えい」と区別されます。
Q. データ持ち出しは法律で罰せられますか？
A. データ持ち出しは、営業秘密の不正な取得・使用・開示にあたる場合、不正競争防止法により10年以下の拘禁刑または2,000万円以下の罰金（両方が科されることもあります）の対象になり得ます。ただし罰則が科されるには、その情報が「秘密として管理されている」などの営業秘密の要件を満たし、「誰が・いつ・何を持ち出したか」を企業側が立証できることが前提です。
民事上は、侵害行為の差止めや損害賠償の請求もできます。ただし、在職中に自分の正規の権限でデータをコピーして持ち出す行為は「不正アクセス」には当たらず、不正アクセス禁止法ではなく不正競争防止法などで捉える点に注意が必要です。
出典・参考資料（1件）
Q. 個人データが持ち出された場合、1件でも報告が必要ですか？
A. 社員や退職者が個人データを意図的に持ち出した場合は、対象が1件・少数であっても、個人情報保護委員会への報告と本人への通知が必要になり得ます。個人情報保護法は「不正の目的をもって行われたおそれがある」個人データの漏えい等を報告対象としており、これには件数の要件がないためです。加害者への責任追及とは別に、企業側に報告・通知の義務が生じる点を押さえておきましょう。
出典・参考資料（2件）
Q. データ持ち出しはツールを入れずに防げますか？
A. データ持ち出しは、費用をかけない運用ルールだけでもある程度は抑えられますが、人の行動に依存するため完全には防ぎきれません。アクセス権限の最小化、私用メール・私物USBの利用禁止、退職時の権限停止・端末回収・誓約書といった運用で、多くの経路を狭められます。
一方で、操作の記録、許可外の送信・アップロードの制限、端末へのデータ非保持などは、人の注意に頼るより仕組みで塞ぐほうが確実で、運用だけでは残る抜けを補えます。まず運用から着手し、止めきれない経路をツールで補うのが現実的です。
Q. 私物スマートフォンによる画面の撮影はどう防げばよいですか？
A. 私物スマートフォンによる画面撮影は、端末に触れずに情報だけを持ち出せるため技術的な制御が難しく、執務エリアでの私物スマホの扱いルールと、画面に機密情報を不要に表示させない運用で抑えるのが基本です。あわせて、閲覧端末にデータを残さないデータレス化や画面キャプチャの制限によって、そもそも画像化できる情報を減らす対策も有効です。
Q. 退職者によるデータ持ち出しはどうやって見つけられますか？
A. 退職者による持ち出しは、退職前後の操作ログやアクセス履歴から、大量ダウンロードや個人クラウド・私用メールへの転送といった痕跡をたどることで把握できます。ログを残していなかった場合でも、退職者PCを対象にした端末フォレンジック診断で、持ち出しや消去の痕跡を事後に解析できることがあります。いずれの方法でも、対象端末を初期化・再利用する前に証拠を保全しておくことが前提になります。
Q. データ持ち出し対策は何から始めればよいですか？
A. データ持ち出し対策は、まず自社で空いている経路を洗い出し、費用のかからない運用ルールから着手するのが現実的です。アクセス権限の見直しや退職時の手続きで止められるところを固め、運用だけでは塞ぎきれない経路（USB・クラウド・端末の紛失など）を、操作ログ・デバイス制御・データレス化といったツールで補っていきます。本記事のセルフチェックで「いいえ」が残った項目から優先して手を付けるとよいでしょう。
データ持ち出し対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、操作ログ・デバイス制御・データレスクライアント・端末診断など、データ持ち出し対策に使えるサービスの最新資料を無料で一括請求できます。塞げる経路や料金、サポート体制をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
