企業秘密漏洩のリスクマネジメント

銀行では起こりえないであろう、と言われていた「行員による裏組織への顧客情報漏洩」が実際に起こってしまったようです。みずほ銀行元課長（５１歳）による顧客情報漏洩

昨年２月から３月にかけて、ということですから個人情報保護法施行前の事件ですが、どうしてこのようなことが起こったのか。昨日逮捕された宝塚市長の贈収賄事件と同じく、親しくしていた友人が別件で逮捕されたことをきっかけに問題が発覚した、ということですから、組織の内部管理体制といったものは機能しえなかった、というほかはありません。内部統制システム構築、といいましても、こういった事件の発生を食い止める有効な手段というものはすぐには思いつきません。しかしながら、今後みずほ銀行に及ぶ顧客への対応（クライシスマネジメント）や金融庁による業務改善命令による営業損失などを考えますと、明確な改善方法を検討する必要性もありそうです。

通常、営業秘密漏洩リスクといったものは、漏洩防止規定の策定→「秘密」認識の全社的共有→秘密取扱部署、統括者の特定→秘密認定、保管手順の遵守→物理的セキュリティの確保→運用のモニタリングといったＰＤＣＡサイクルを用いるところが多いと思います。

そこで、このみずほ銀行のケースで考えてみますと、秘密（顧客の取引履歴や個人情報）へのアクセス権者であったかどうかがまず問題になりそうです。「本店調査役」だった容疑者の肩書きが、いわゆる内部調査担当だったものかどうかは不明ですが、本来顧客情報にアクセスできる立場であったとすれば、なんら防止策としては機能しえなかったことになります。つぎに、物理的セキュリティにつきましても、持ち出された企業秘密が暗号化されている場合には、容易に譲渡することができないことになりますが、果たしてこのケースではどういったセキュリティが施されていたかは不明であります。ただ、一方におきまして、業務の効率性や予算を考えますと、ただ厳重にすればいい、という問題でもありません。

企業による防衛策といった面とは別に、やはりアクセス権者による漏洩の危険も考えた場合、社員ひとりひとりが「漏洩発覚の可能性とペナルティの厳格化」について認識していただくような啓蒙活動も必要になってくるのではないでしょうか。たとえば、仕事上、プライベート上の付き合いのある友人知人からの頼みごとであっても、今回のように事件が発覚する可能性はあるわけでして、また発覚した際のペナルティが割に合わないものであることまで、十分認識してもらうしか方法がないように思います。社内とは異なり、社外の知人と共謀したうえでの犯行といったものは、内部通報制度によってもなかなか発覚しにくいところが、マネジメントの難しいところです。