独立行政法人情報処理推進機構（IPA）技術本部 セキュリティセンターは、7月17日付けで、「組織内部者の不正行為によるインシデント調査」の報告書を公表しました。この中で、社員の内部不正行為への対策として「社内システムの操作ログが残る」ことが最も効果的であると分かりました。

この調査は、国内の3,000名の一般社員と、110名の経営層やシステム管理者の双方に対して、ネット経由で実施されたものです。

まず、社員として、内部不正の気持ちが高まる要因として下記があがりました。

（調査１）あなたは、どのよう条件が整えば不正をしたいという気持ちが高まると思いますか。当てはまるものを上位 5つまでをお答えください。

1位　不当だと思う解雇通告を受けた（34.2%）
2位　給与や賞与に不満がある（23.2%）
3位　社内の人事評価に不満がある（22.7%）
4位　職場で頻繁にルール違反が繰り返されている（20.8%）
5位　システム管理がずさんで顧客情報を簡単に持ち出せることを知っている（20.1%）

やはり、社員に不満を抱かせると、内部不正をしたくなるということですね。

そして、社員が内部不正を思いとどまる対策として、下記があがりました。

（調査２）あなたは、どのような条件が整えば不正を行いたいと思う気持ちが低下すると思いますか。当てはまるものを上位 5つまでをお答えください。

1位　社内システムで行ったルール違反の痕跡を消すことが難しい（54.2%）
2位　顧客情報などの重要な情報にアクセスした人が監視される（アクセスログの監視等を含む）（37.5%）
3位　これまでに同僚が行ったルール違反が発覚し、処罰されたことがある（36.2%）
4位　社内システムにログインするためのID やパスワードの管理を徹底する（31.6%）
5位　顧客情報などの重要な情報を持ち出した場合の罰則規定を強化する（31.4%）

これは注目です。社内の情報システムを使用してルール違反した場合にその痕跡が残り、それを消すことが困難である＝すなわちログ取得が効果的であると半数以上の社員が言っています。

一方で、経営層やシステム管理者は、下記の対策が有効と考えています。

（調査３）あなたの企業では、社員等の内部者によるインシデント等の不正行為に対して、今後どのような対策を行いたと思いますか？

1位　開発物や顧客情報などの重要情報は特定の職員のみアクセスできるようになっている（20.9%）
2位　情報システムの管理者以外に、情報システムへのアクセス管理が操作できないようになっている（12.7%）
3位　社内システムにログインするためのIDやパスワードの管理が徹底されている（11.8%）
4位　ネットワークへの利用制限がある（8.2%）
5位　開発物や顧客情報などの重要情報にアクセスした人がアクセスログ等によって確認されるようになっている（7.3%）

IPAでは、調査2と調査3の食い違いが問題だとしています。

http://www.ipa.go.jp/security/fy23/reports/insider/index.html

（私のコメント）
会社側はアクセス制限や権限管理などの包括的な対策から始めようとしていますが、社員側はむしろ「監視」や「処罰」など不正を起こした後のことを気にしています。結論としては内部不正対策にはログ取得が効果的ということです。ログ取得は、費用もかかりますし、チェック体制を構築することも大変ですが、内部不正対策としては間違いなく有効な対策といえそうです。