Information Security

Imagine if an important business message or a newsletter you put your heart into creating ended up in the recipient’s “Junk” folder. In fact, this problem is almost always caused not by the content of the email, but by the sender domain authentication configured in the DNS (Domain Name System). The DNS is a system that links domains to servers on the Internet, and it also serves as the foundation for determining the reliability of emails. In February 2024, Google significantly strengthened its sender guidelines. Businesses sending more than 5,000 emails per day are now required to implement all three of the following: SPF, DKIM, and DMARC. Furthermore, starting in January 2025, NTT Docomo will begin gradually displaying “spoofed email warnings” on emails that do not have sender domain authentication enabled. We are now entering an era where emails with incorrectly configured DNS settings simply won’t be delivered. However, there are likely quite a few people who are thinking, “SPF? DKIM? DMARC? What are those? I don’t really understand.” In this article, we’ll provide a thorough explanation of how these three technologies work, how they differ, and how to configure DNS—all presented in a way that’s easy to understand even for those with zero technical knowledge. Why is “sender domain authentication” necessary right now? Damage caused by phishing emails is increasing year by year, leading to financial losses for companies, data breaches, and even damage to their brand reputation. The sender domain authentication technologies known as SPF, DKIM, and DMARC are designed to counter these threats. SPF is a mechanism that verifies whether the sending server is legitimate. DKIM applies a digital signature to emails to verify “whether the email is a spoof” and whether the content has been tampered with. DMARC is a policy that determines how to handle emails that fail SPF or DKIM authentication based on the results of those checks. By configuring these technologies properly, you can significantly reduce the risk of spoofed emails. Let’s take a closer look at their importance. The Current State of Phishing Emails In recent years, damage caused by “phishing emails”—which impersonate real companies or individuals—has surged. There are cases where emails posing as business partners infect recipients with malware (a general term for software created for malicious purposes), leading to the leakage of personal information, or where emails instructing recipients to transfer funds to fake bank accounts result in financial fraud. What makes spoofed emails so sophisticated is that, from a technical standpoint, the “From” address can be freely altered. Attackers impersonate legitimate company domains to send emails that appear completely legitimate at first glance. It is extremely difficult for humans to distinguish these from genuine emails, which is precisely why incidents continue to occur. Furthermore, phishing emails pose a direct risk of brand damage. If your company’s domain is misused to send large volumes of phishing emails, it could significantly erode recipients’ trust. Furthermore, this could cause legitimate emails to be filtered into the spam folder, potentially disrupting important communications with customers. Impact of Gmail Sender Guidelines In February 2024, Google strengthened its “Sender Guidelines.” The guidelines are summarized as follows: Mandatory for all senders: Compliance with either SPF or DKIM. High-volume senders (5,000 or more emails per day): Compliance with all three—SPF, DKIM, and DMARC. Failure to comply may result in emails failing to reach Gmail users. Furthermore, in practice, DKIM is becoming virtually mandatory even for non-high-volume senders, as emails without DKIM are highly likely to be flagged by Gmail’s spam filter. [Reference] Gmail, “Guidelines for Email Senders”; NTT Docomo’s “Phishing Email Warning” Starting in January 2025, NTT Docomo began gradually displaying “phishing email warnings” for emails that do not comply with sender domain authentication. For businesses that send emails to individual users, compliance has become an urgent priority. [Reference] NTT DOCOMO, “Spoofed Email Warning Display” Return to Table of Contents How Are Emails Sent? (The Basics) To understand sender domain authentication, the first thing you need to know is the difference between the “Envelope From” and the “Header From.” The mechanism of email is easiest to understand by comparing it to the relationship between an envelope and a letter. Envelope From (Sender on the Envelope) This is the sender for delivery purposes. In postal terms, it’s the name written on the envelope. It is not displayed on the recipient’s screen. Header From (Sender in the Header) This is the sender displayed on the screen. The “sender information” we see on our email inbox screen refers to this one. Spammers exploit this. The Basic Structure of Email (Envelope From and Header From) Even if the sender on the envelope and the sender of the letter are different, the email will still be delivered. It’s also possible to change only the name that is displayed. For example, an email can be sent from one location while appearing to come from “info@大手銀行.co.jp.” This is the technique used in spoofed emails. SPF, DKIM, and DMARC are mechanisms designed to prevent this problem. For now, just remember that “there are two senders.” Back to Table of Contents What is SPF? (A Mechanism for Verifying the Sender’s IP) The first step in preventing spoofing is SPF. This is a mechanism where you register the servers authorized to send emails from your domain with DNS. When Gmail receives an email, it verifies whether the sender is legitimate. Let’s start by understanding this “sender verification” mechanism. Basic Concepts of SPF SPF (Sender Policy Framework) is a system that allows you to pre-register in DNS which servers are authorized to send emails from a given domain. For example, you would pre-register information in the DNS such as, “Emails from example.com are sent only from the server with IP address 203.0.113.1 (*for illustrative purposes only).” The recipient checks whether the IP address of the server that actually sent the email is included in that registered list. If the email is sent from an IP address not on the list, it can be judged as “potentially spoofed.” How SPF Works The SPF verification process follows these steps: The sender sends the email. The receiving server records the IP address of the server from which the email arrived. It queries DNS using the domain in the envelope “From” field (e.g., example.com). It compares the SPF record in the DNS TXT record with the actual sending IP address. If they match, the result is “SPF authentication successful (Pass)”; if there is a mismatch, it is judged as “Fail/SoftFail.” How SPF Works: The receiving server references DNS to verify the IP address. How to Read SPF Records (Reference) The actual SPF record is written in a DNS TXT record as follows: v=spf1 include:spf.google.com ip4:203.0.113.1 ~all Meaning of each element v=spf1: Declaration of SPF version 1 include:spf.google.com: Allow messages sent from Google’s mail servers (when using external services such as Gmail) ip4:203.0.113.1: Permits sending from this IP address ~all: Treats anything other than the above as a “SoftFail” (warning) (-all results in a complete rejection) The difference between ~all and -all lies in the severity of the response to an SPF failure. While -all (HardFail) recommends complete rejection, it is often recommended to start with ~all and monitor the situation, as legitimate emails may be falsely flagged when forwarding messages. Limitations of SPF Reading this far, you might think, “If I configure SPF, I can prevent spoofing.” However, SPF alone is not sufficient. In fact, SPF has structural weaknesses that are simply unavoidable. Does not verify the “From” header: SPF verifies the envelope “From” (the sender on the envelope). It does not verify the “From” header displayed in email clients (the sender of the message). In other words, SPF alone cannot prevent spoofing where the “Envelope From” is set to the legitimate domain, but the “From” header is forged. Cannot Handle Forwarding When an email is forwarded, the IP address of the forwarding server becomes the new “sender IP.” However, since the forwarding server’s IP is not registered in the SPF record, SPF authentication fails even though the email is legitimate. DKIM, which we’ll explain next, was introduced to address these weaknesses. Back to Table of Contents What is DKIM? (Digital Signature for Tamper Prevention) If SPF is a mechanism for verifying the “sending server,” the next step is a mechanism to verify whether “the email itself is authentic.” This is where DKIM comes in. Basic Concept of DKIM If SPF is a “list of authorized sending servers,” then DKIM is a “seal of authenticity.” The concept of DKIM is similar to affixing a company seal to an important document. The sender applies an “electronic signature” to the email, and the recipient verifies that signature to confirm that “this email was created by the genuine sender and has not been tampered with in transit.” How DKIM Works DKIM is a mechanism for applying an “electronic signature” to emails. While SPF verifies the sender’s IP address, DKIM verifies whether “the email was sent from a legitimate source (not a spoof)” and whether “the email’s content has not been tampered with.” DKIM operates using digital signatures based on public-key cryptography. The sender’s process is carried out as follows: Calculate a hash value from the email’s contents (headers + body). Encrypt the hash value with a private key to create a “signature.” Add the signature to the email as a DKIM-Signature header and send it. * A hash value is a fixed-length string generated by applying a special calculation (a hash function) to data; it is produced through a one-way (irreversible) transformation that cannot be reversed. The recipient’s process is carried out as follows: Retrieve the signing domain (d=) and selector (s=) from the DKIM-Signature header. Retrieve the public key from DNS. Decrypt the signature using the public key to extract the hash value. Verify that it matches the hash value of the received email body. *d= (signing domain) refers to the domain name that signed the email. This means “This domain is responsible.” *s= (selector) is the name (identifier) used to locate the public key. It allows a single domain to use multiple keys. How DKIM Works: Detects email tampering using digital signatures based on public-key cryptography. If the values match, “DKIM authentication succeeds,” confirming that the email has not been tampered with and was created by the authentic sender. Contents of the DKIM-Signature (for reference) The DKIM-Signature actually added to the email header has the following structure: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=google; …omitted… bh=hash value; b=signature data Main parameters d= (domain): The domain that performed the signature. Important values used for DMARC alignment checks: s= (selector): The key used to look up the public key via DNS. a= (algorithm): The signing algorithm (rsa-sha256 is common). What is a selector? A selector is an identifier used to distinguish between multiple DKIM key pairs within a single domain. For example, if d=example.com and s=google, the receiving server will look up the DNS record google._domainkey.example.com to retrieve the public key. This allows you to manage multiple email services using separate selectors. Mechanism for Using Different Keys Across Multiple Services Limitations of DKIM It is often assumed that if SPF and DKIM are configured, “spoofing protection is complete.” However, DKIM also has weaknesses. Replay Attacks: DKIM cannot prevent “replay attacks,” in which a malicious third party intercepts an email with a valid DKIM signature and resends it to a different recipient. No Policy Control on Its Own: While DKIM verifies authenticity, it does not define policies for how to handle emails that fail authentication. DMARC handles the response to authentication failures. DKIM is a mechanism for verifying “authenticity.” However, it cannot determine how to handle emails that fail authentication. That role is fulfilled by DMARC, which we’ll explain next. Back to Table of Contents What Is DMARC? (The Command Center That Makes the Final Decision) SPF and DKIM now allow us to verify the “sender” and “whether the message has been tampered with.” But what happens to an email if either of these checks fails? DMARC is responsible for making that final decision. The Role of DMARC DMARC (Domain-based Message Authentication, Reporting, and Conformance) is the command center that receives the “results” from SPF and DKIM and determines how to handle emails that fail authentication. DMARC has the following three roles. Final Determination: It comprehensively assesses the authenticity of an email by combining the SPF and DKIM authentication results with alignment (discussed later). Policy Declaration: Specifies how the receiving server should handle emails when authentication fails. Receiving Reports: Allows you to receive aggregated reports showing who is sending emails from which domains. DMARC Policy: A DMARC record is a “rule for handling email” configured in DNS. It is displayed as follows: v=DMARC1; p=none; The “p” in the DMARC record stands for “policy” and specifies how to handle emails that fail authentication. Three Policy Levels DMARC allows you to set three policy levels. Policy Meaning Recommended Use none Monitoring only. Does not affect email processing. Initial investigation and monitoring phase. quarantine Sorts emails that fail authentication into the spam folder. Intermediate stage. reject Completely rejects emails that fail authentication. Full-scale operation. Reasons for a Phased Implementation You should not set DMARC to “reject” right away. There are two reasons for this. First, if you set the policy to “reject” without fully understanding all legitimate email delivery paths, even legitimate emails sent from newsletter services, internal systems, and external applications will be rejected. Second, if you set the policy to “reject” while SPF and DKIM configurations are incomplete, a large number of legitimate emails may be rejected. Recommended Steps: Start monitoring with `p=none` (use DMARC reports to identify sending paths). Once SPF and DKIM are configured for all paths, transition to `p=quarantine`. If no issues are found, escalate to `p=reject`. An important concept called “alignment” is involved in DMARC decisions. Next, let’s take a closer look at how this works. Return to Table of Contents What Is DMARC “Alignment”? So far, we’ve examined how SPF, DKIM, and DMARC work. However, there are cases where “authentication succeeds but DMARC fails.” The cause of this is alignment mismatch. Why Is Alignment Important? Alignment is a mechanism that verifies whether the domain used for authentication matches the sender (From) displayed on the screen. DMARC performs this check against both SPF and DKIM. SPF Alignment: SPF verifies the domain of the “envelope From” (Envelope From). DMARC checks whether the domain that passed SPF authentication matches the displayed “From” (Header From) domain. DKIM Alignment: DKIM verifies the “d=domain” included in the signature. DMARC checks whether the DKIM signature was successful and whether that “d=domain” matches the displayed “From” (header “From”) domain. The Difference Between “Relaxed” and “Strict” “Relaxed” and “Strict” are settings that determine the strictness of the alignment (domain match) check. They are specified within the DMARC record. “Relaxed” is a lenient check that allows subdomains, while “Strict” is a strict check that permits only exact matches. Unless there is a specific reason, using “Relaxed” is generally sufficient. DMARC is Valid if Either Condition is Met It is important to note that DMARC is considered a “PASS” (successful) if either the SPF alignment or the DKIM alignment passes. This means that even in cases where SPF authentication fails—such as when emails are relayed—DMARC will still pass as long as DKIM alignment passes. That is why it is crucial to “configure both SPF and DKIM.” Illustrated Guide to How DMARC Works Return to Table of Contents Frequently Asked Questions Here, we address some frequently asked questions. Q. Why does it end up in the spam folder? A. If SPF or DKIM is not configured or is configured incorrectly, the recipient’s mail server will deem the sender “untrustworthy” and route the email to the spam folder. Gmail, in particular, strictly handles emails that are not DKIM-signed. Q. Can “display name” spoofing be prevented? A. SPF, DKIM, and DMARC cannot prevent “display name” spoofing. For example, even if the actual sender is evil.com, as in “Taro Yamada attacker@evil.com,” the display name in the email client can be spoofed to appear as “Taro Yamada.” Implementing BIMI (Brand Indicators for Message Identification) is an effective countermeasure against display name spoofing. Q. Why does SPF authentication fail when an email is forwarded? A. When an email is forwarded, the forwarding server becomes the new “sender IP address.” However, since the forwarding server’s IP address is not registered in the original sender’s SPF record, SPF authentication fails. To work around this, the “SRS (Sender Rewriting Scheme)” mechanism rewrites the envelope “From” field during forwarding to ensure SPF authentication passes. DKIM is resistant to forwarding because the signature remains valid as long as the email body and headers are not altered during forwarding. Back to Table of Contents Summary In this article, we explained the mechanism of “sender domain authentication,” which is a common cause of emails ending up in the spam folder. SPF (Sender Policy Framework): A mechanism that declares the sender’s IP address via DNS to detect spoofed emails. While configuration is relatively simple, it has the limitation that it does not verify the “From” header, so there are cases where emails fail authentication due to forwarding. DKIM (DomainKeys Identified Mail): Uses digital signatures to verify the authenticity of an email and ensure it has not been tampered with. It is robust against forwarding and can also verify the “From” header domain. DMARC (Domain-based Message Authentication, Reporting, and Conformance): A mechanism that uses the results of SPF and DKIM to declare how to handle authentication failures (none/quarantine/reject) and receive reports. It is considered valid if either SPF or DKIM alignment passes. These three work together as a set. Each one alone is insufficient; only when combined do they form a robust sender domain authentication system. Start by “configuring SPF and DKIM” and “beginning DMARC monitoring with p=none.” Check out learningBOX’s feature list and pricing table now! Download materials ▼ You might also like! Related articles

Due to the spread of the novel coronavirus in 2020, telecommuting and remote work have become common ways of working. While many companies have not yet implemented telecommuting, there are likely many that are currently considering whether to do so in the future. When companies implement telecommuting, information security measures are essential. To prevent problems within your own company, it’s important to thoroughly understand these security measures. In this article, we’ll explain why information security measures are necessary for telework. We’ll also introduce the benefits of implementing telework and specific examples of security measures, so if you’re considering implementing telework, be sure to read this article to the end. The Need for Information Security Measures in Telework and Potential Risks While an increasing number of companies are adopting telework, many are facing challenges in ensuring security. According to a survey by the Ministry of Internal Affairs and Communications, 47.6% of responding companies stated that “ensuring security was a challenge when introducing telework.” [Source] Ministry of Internal Affairs and Communications, “Second Survey on the Actual State of Telework Security.” Failing to implement security measures when conducting telework can lead to various risks. To prevent financial losses to your company, it is important to understand the potential risks. There are four primary risks. Loss or Theft of Devices: When implementing telework, it is common for companies to provide laptops to employees. While there is little concern about device loss or theft when working from home, employees must be vigilant against such incidents when working in coworking spaces or similar locations. If a device contains customers’ personal information or other sensitive data, its loss or theft can lead to serious problems. Data Breaches: When working from home or at coworking spaces, employees typically use internet connections different from those in the office. Since security strength varies by connection, using a connection with weak security poses a risk of data breaches. Malware Infection: Devices provided in the office are generally equipped with antivirus software. However, it is not uncommon for devices used by employees for personal purposes to lack antivirus software. As a result, the risk of infection by malware, such as malicious viruses, increases. Communication Interception and Eavesdropping: Extra caution is required when using public Wi-Fi at places like cafes. Since free Wi-Fi is accessible to anyone, there is a risk that communications could be intercepted. In some cases, there is even a risk of eavesdropping, so it’s essential to exercise the utmost caution when using free Wi-Fi. Back to Table of Contents With the Right Information Security Measures in Place, Telework Offers Many Benefits! Although telework poses security risks, it also offers benefits for both employees and companies. Specific benefits are listed below. Reduced Commuting Time For employees, commuting time is a major source of stress. In particular, riding on crowded trains can be extremely stressful. If a company implements telework, employees will no longer need to commute and can use the time they save more productively. Additionally, this can lead to improved work efficiency. Preventing Employee Turnover: By creating an environment where employees can work from anywhere, companies can broaden their talent pool—for example, by recruiting people living in rural areas. Furthermore, there are cases where employees leave their jobs because commuting becomes difficult due to reasons such as raising children or caring for family members. If such employees can work remotely, it is possible to prevent them from leaving the company. Other benefits include cost savings from reduced office space and commuting expenses. Return to Table of Contents Examples of Information Security Measures for Remote Work When implementing remote work, it is essential for companies to implement security measures. Here are seven specific measures. Establishing Security Guidelines One effective approach is to establish security guidelines that clearly outline what the company expects employees to prioritize. It is crucial to formalize the key principles employees should keep in mind while performing their duties and ensure all employees are fully aware of them. Note that security guidelines are not set in stone once established; their content should be updated as circumstances change. Implementing Security Software: While formalizing guidelines is effective, another approach is to implement software that can provide additional security protection. If a device becomes infected with a virus, it could result in significant losses for the company. To prevent the worst-case scenario, be sure to install security software on all devices used for work. Strict Password Management: It is crucial to set passwords that are difficult to guess when entering them during work. Passwords such as birthdays, names, or consecutive numbers are easy to guess and can lead to unauthorized access. Therefore, we recommend setting strong passwords that combine letters and symbols. Promoting a Paperless Environment: While paper documents are easy to carry, they also carry the risk of theft or loss. If paper documents are stolen or lost while you are out of the office, it could lead to irreparable consequences. To eliminate the drawbacks of paper documents, it is essential to promote a paperless environment. Encryption of Personal Information: If your organization handles large amounts of personal information, be sure to encrypt the data itself. In companies that use cloud-based applications, employees may access personal information through these apps. Encrypting the data in advance helps protect against unauthorized access. Regular OS and App Updates: Since updates for operating systems and apps are released daily, be sure to install them as soon as possible. Update programs often include fixes for vulnerabilities. Failing to update leaves the system in a state of high security risk, so prompt action is essential. Implementing Security Training: Among the various security measures available, conducting security training is recommended to help employees understand the necessity of these measures. Security training curricula are often designed to cater to individuals with low security literacy. By taking the time to share case studies of information security incidents with employees, you can help them recognize the importance of security measures and aim to raise the overall level of security literacy throughout the organization. Back to Table of Contents Summary In this article, we discussed why information security measures are essential for remote work and provided examples of such measures. While remote work involves various security risks, it also offers many benefits. To promote diverse work styles and create a comfortable work environment, consider implementing remote work. When raising awareness about information security within your company, please make use of the information security training content available on “learningBOX ON.” learningBOX ON is a service that allows you to easily add essential corporate training content to learningBOX, an e-learning creation and management system. You can easily design original learning courses by combining this content with materials developed in-house. Content for information security and compliance training is available free of charge, so please make full use of it for your in-house training. ▼Also Recommended! Related Articles Return to Table of Contents

In today’s world, everyone involved in a company’s operations handles some form of confidential information, making information security training increasingly important. This is because even if hardware and software are properly maintained, a lack of security awareness among individual employees can lead to serious incidents caused by external attacks or human error. In this article, we will explain the necessity, objectives, and implementation methods of information security training. We will also introduce content and materials that will be useful for conducting training, so please use them as a reference. Basics of Information Security Training To protect companies from information security incidents caused by cyberattacks or mismanagement of information assets, it is crucial to conduct employee training aimed at strengthening security awareness. First, we will discuss the necessity, benefits, and objectives of information security training. The Necessity and Benefits of Information Security Training Thorough information security training for employees makes it easier to prevent data breaches before they occur. This is because data breaches caused by human error—such as “loss or misplacement,” “operational errors,” “management mistakes,” “configuration issues,” and “theft”—account for more than 60 percent of all incidents. This approach can also help mitigate risks such as liability for damages resulting from incidents and a loss of public trust. [Reference] “2018 Survey Report on Information Security Incidents” | Japan Network Security Association Return to Table of Contents Objectives and Roles of Information Security Training Ensuring Thorough Awareness and Compliance with Information Security Policies An information security policy refers to the guidelines for information security measures within a company or organization. It primarily outlines guidelines for conduct, plans and measures, as well as operational frameworks and regulations. To raise information security awareness within an organization, ongoing efforts and systems are necessary to ensure that all employees comply with the established policies. Possible methods include imposing penalties for violations, illustrating the potential harm to the organization, conducting tests to assess understanding, and strictly enforcing rules regarding the handling of personal information. Understanding Information Security Threats and Countermeasures In information security training, it is also important to share real-world examples to ensure employees comply with the established policies. For example, it is effective to explain online threats and the damage they can cause, basic countermeasures such as virus protection and vulnerability management, and the proper mindset for handling email and other tools. Return to Table of Contents: How to Systematically Plan Information Security Training Next, we’ll explain step-by-step how to implement information security training. Conduct information security training on a regular cycle to help improve your company’s information security literacy. Step 1: Set Training Objectives and Learning Topics Clarifying objectives from the outset makes it easier to ensure consistency in your efforts and results. Identify and organize past incidents and challenges related to information security within your company to help set these objectives. Additionally, by examining external case studies, you can anticipate risks that have not yet occurred but could arise in the future. Once you have set the objectives for information security training, determine the security knowledge and skills employees need to acquire to address these challenges, and select learning themes accordingly. Examples of learning topics include the following: Risks of information leaks; Confidentiality obligations; Types of confidential information; Threats posed by targeted phishing emails and countermeasures; Rules for using social media; The importance of managing information devices; Security risks associated with using cloud services and public Wi-Fi; The latest cyberattack techniques; Password management. Step 2. Selecting Training Participants Next, select the participants based on the training objectives and learning themes. Depending on the training content, you may determine the target audience by considering factors such as department, job title, role, and office location. Examples include full-time employees in the Sales Department and contractors involved in their operations, as well as full-time employees at the Tokyo office. Select all individuals involved in business operations as participants, regardless of employment status—including temporary staff, contract employees, part-time workers, and contractors. Step 3. Determine the Timing and Frequency of Training Next, determine the timing and frequency of the training to incorporate information security training into the schedule. Potential timing includes when new or mid-career employees join the company, when a security incident occurs at your company or another organization, or when internal policies change. The key is to conduct training at times when employee interest in information security is high. As for frequency, options include once a year, once a month, or once every half-year or quarter. Make your decision after considering the importance of the content and the frequency of personnel changes, and be sure to hold sessions regularly. Step 4. Select the Training Format and Prepare Content In the next step, consider the format for delivering information security training. Common options include in-person training, e-learning, and external seminars. Select the most appropriate method based on the training content, costs, and the participants’ level of literacy. E-learning is particularly recommended. This internet-based learning format allows learners to access an online server via a computer or tablet to take the necessary courses. Unlike in-person training, there is no need to gather participants in one location; as long as an internet connection is available, the content can be accessed anytime, anywhere, making it particularly suitable for companies that have adopted remote work. Once the training format has been decided, begin preparing the content. Create original materials or purchase existing content to ensure that participants can acquire the required knowledge and skills. With e-learning, depending on the service, it is possible to combine not only existing content but also materials produced in-house for delivery. Step 5. Conduct Follow-Up Based on Training Effectiveness Measurement After conducting information security training, measure its effectiveness through assessment tests and surveys. If the results indicate that certain employees have gaps in their understanding of information security, provide feedback and follow-up. Additionally, if your company has prepared its own training materials, it is important to review the content based on the results of the effectiveness measurement. Return to Table of Contents Content and Resources Useful for Information Security Training When conducting information security training, it is most efficient to combine external content and resources in a way that suits your company’s needs. Here, we introduce content and resources that can be utilized for information security training. IPA “Security Measures Guide” This is a document publicly available from the IPA (Information-technology Promotion Agency), which is under the jurisdiction of the Ministry of Economy, Trade and Industry. The IPA engages in activities such as human resource development aimed at strengthening competitiveness in Japan’s IT sector. It outlines specific security measures tailored to various purposes and situations—such as web conferences, remote work, and extended holidays—and is often used as training or handout material. [Reference] Security Measures Guide | IPA (Information-technology Promotion Agency) Ministry of Internal Affairs and Communications “Cybersecurity Site for the Public” The Ministry of Internal Affairs and Communications’ website provides content on cybersecurity measures for businesses and organizations. The curriculum is organized by role—such as executives, employees, and information management personnel—making it easy to implement company-wide information security training. All content is available for download as PDF files, so distributing these materials after training helps reinforce knowledge. In addition, videos are available for some courses, allowing participants to watch expert explanations repeatedly. [Reference] Cybersecurity Site for the Public | Ministry of Internal Affairs and Communications e-Learning Service “learningBOX ON” is a service that allows you to easily add essential corporate training content to “learningBOX,” an e-learning creation and management system. Another appealing feature is that you can use information security training materials free of charge and combine original materials with existing content for delivery. Back to Table of Contents: Promote Information Security Training to Build a Cyber-Resilient Company In this article, we explained the objectives and implementation methods of information security training. To reduce risks such as damage to a company’s reputation and liability for damages resulting from information security incidents, it is essential to enhance the security awareness of each and every employee. Implement information security training systematically to build an organization that is resilient to cyber risks. When raising awareness about information security within your company, we recommend the information security training content available on learningBOX ON. Compliance training content is also available for free, so please make full use of it for your in-house training. ▼ Also Recommended! Related Articles Return to Table of Contents

社内の従業員や委託先企業などによって、個人情報や情報資産が外部に流出してしまう「内部不正」が後を絶ちません。 近年は故意ではない過失も、内部不正として見なされることがあります。「自分は不正なんて絶対しない」と考えている社員であっても、意図せず内部不正に関わってしまうことがあるかもしれません。そのため、企業は内部不正に細心の注意を払い、日ごろから社内でセキュリティに対する意識を高める取り組みを進めましょう。 今回は内部不正が起こる原因に触れながら、具体的な対策ポイントを解説していきます。経営者や企業で人事を担当している方は、ぜひ参考にしてみてください。 内部不正とは？ 内部不正とは、組織や企業内部の関係者が社内の機密情報や顧客情報を持ち出し、漏えい、消去、破壊することです。また、誤って情報を流出させてしてしまった場合も内部不正に当たります。 情報セキュリティの不正によって起こる事案（セキュリティインシデント）は、世間に報道されてしまうと企業の信頼を大きく損ねてしまうこともあるでしょう。 SNS等の普及で誰もが簡単に情報に触れられる時代、未然に内部不正を防ぐ方法や効果的な対策が各企業に必要とされています。また情報漏えい事件以外にも、金銭の横領や違法残業、賃金未払いも内部不正に含まれます。 目次に戻る 内部不正の対策が注目される背景 2022年4月より改正個人情報保護法が施行され、従来努力義務であった情報漏えいの報告は企業で義務化されました。 次に、内部不正対策が注目されている具体的な背景を見ていきましょう。 内部不正が脅威であると感じている 社会が内部不正を脅威であると感じていることが、注目される大きな背景です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2020」によると、「内部不正による情報漏えい」は組織カテゴリで2位でした。 脅威であるがゆえに、社内で内部不正が発覚しても世間に報道されることを恐れ、公表されていないことも少なくありません。 委託先のセキュリティ対策が不透明 次に業務委託先のセキュリティ対策が不透明であることが挙げられます。委託先の情報管理を怠り業務を丸投げした結果、過去には次のような事例が発生しました。 委託先が別の事業者へ業務を再委託し、マイナンバー情報が流出 案内メールを誤送信し、関連サービスの登録法人のメールアドレスが流出 住民の個人情報の入ったUSBメモリを委託先企業が無断で持ち出し、後日紛失が発覚 情報セキュリティを甘く見る企業や第三者認証を取得していない企業に依頼してしまうと、このような内部不正が起こってしまう可能性があるでしょう。 また海外の委託先は文化や価値観の違いやセキュリティ予算などの関係で、内部不正に関して十分に把握できていないこともあります。データセキュリティソリューション業界大手のVormetric社の「2015 Vormetric insider threat report」では、海外の約89％の割合で企業が内部不正に対して脆弱性があると回答しました。 第三者に業務を依頼することは経営戦略をとる上で有効的ですが、企業はセキュリティ管理（委託先管理）を徹底しなければなりません。 目次に戻る 内部不正の種類 内部不正は情報流出や漏えいに限ったことではありません。次のような事柄についても、内部不正として処罰されることがあります。 業務上横領 業務上横領は、業務上自己の占有する他人の物を横領する行為です。具体的な手段としては次のようなものがあります。 経費の着服 備品の窃盗 不正送金 会社のクレジットカード・マイルの私的利用など 個人による内部不正だけでなく、上層部や外部企業など組織ぐるみで行われることもあります。金銭の横領は額の大小に関わらず、直接的に企業の経済資産に打撃を与える行為と言えるでしょう。 ハラスメント ハラスメントは、相手の意に沿わない言葉や行動によって不快な思いをさせる嫌がらせのことです。具体的には次のようなハラスメントがあります。 パワーハラスメント セクシュアルハラスメント マタニティハラスメント モラルハラスメント アルコールハラスメントなど ハラスメントの加害者は、上下関係や立場の違いといった優位性を利用することが多くみられます。ハラスメントの被害を受けた社員が休職もしくは退職を余儀なくされるなど、人的資源に打撃を与えるのが特徴と言えるでしょう。 労働基準法違反 残業代、賃金の未払いといった労働基準法違反も企業の内部不正です。違反すると社会からの信用を落とすだけでなく、従業員から損害賠償を請求されることもあります。 また労働基準監督官による立入調査と是正報告書提出を拒否した場合、書類送検されるケースもあるでしょう。 目次に戻る 内部不正が起こる3つの要因 さまざまな内部不正について触れましたが、近年特に問題視されているのが情報漏えいに関するものです。テレワークやSNSの普及による影響が大きいと言えるでしょう。 企業の情報漏えいは、次のような3つの要因によって引き起こされます。 ①技術的要因 1つ目が技術的要因です。社内の情報セキュリティが脆弱であればパスワードも漏れることがあります。 本来権限の与えられていない従業員も情報にアクセスできるようになってしまい、内部不正のリスクが高まるでしょう。 また企業によっては、操作ログで履歴が記録されていないこともあります。誰が情報にアクセスしたのか追跡できないシステムを使用している場合は、内部不正が起こってしまっても経路の検出や追跡が困難で、調査に時間がかかってしまうでしょう。 ②人的要因（故意） 2つ目が悪意を持って行われる人的要因です。IPA（情報処理推進機構）の「組織内部者の不正行為によるインシデント調査」によると、内部不正の要因として「不当だと思う解雇処分を受けた」「給与や賞与に不満がある」といった動機・プレッシャー面を挙げています。 不満を持った社員がいる会社では、故意の情報漏えいが起こる傾向にあると言えるでしょう。 ③人的要因（ヒューマンエラー） 3つ目がミスなどによる人的要因です。情報に触れる際の誤操作、ファイルやUSBの紛失などがこれに該当します。 ヒューマンエラーが発生する背景として、当事者の知識や経験が不足している、キャパシティーを超えた業務を請け負っているといったことが考えられるでしょう。 目次に戻る 具体的な情報漏えい対策 企業はどのような対策で内部不正を防ぐことができるのでしょうか。ここでは具体的にさまざまな対策方法について見ていきます。 内部の監視を強化する 企業の情報漏えいを未然に防ぐため、監視を強化しましょう。具体的には次のようなセキュリティ強化があります。 入退室記録の管理 端末の持ち出し記録の管理 セキュリティアラートの送信 アクセスログ管理と監視 不正アクセスの検知など 内部の監視を強化するときは、権限が特定の従業員に偏らないよう相互監視のルールを整え権限を分散させることがポイントです。内部の監視を強化すれば従業員の不正を防げるだけでなく、システム管理者の負担も減らせます。 内部不正のチェックシートを使う 重要情報の管理や運用が正しく行われているか、従業員への教育が適切にできているかなどチェックシートの作成も効果的です。社内での作成が難しい場合は、IPAの「組織における内部不正防止ガイドライン」などで公開されている外部提供のチェックシートをダウンロードしても良いでしょう。 実際にリストアップして確認することで実態調査ができ、自社のセキュリティを強化する必要のある部分が見えてくるでしょう。 従業員の負担を減らす 従業員の負担を減らすことも考えておきましょう。現場が忙しいほど、人手不足から社員の情報セキュリティ教育を実施する余裕がなくなるからです。 セキュリティ教育は年に数回大規模な研修を実施するよりも、短い時間で定期的に受講できる環境が効果的な場合があります。マイクロラーニングやeラーニングなどを導入すれば、隙間時間で無理なく従業員のセキュリティ意識を高めることができるでしょう。 目次に戻る まとめ 今回は内部不正について解説しました。内部不正の対策が喫緊の課題となっている現代、企業は従業員のセキュリティ教育を徹底するなど、策を講じていかなければならないでしょう。 社内で情報セキュリティの意識を向上させる際は、「learningBOX ON」の情報セキュリティ研修のコンテンツをご活用ください。learningBOX ONは、eラーニング作成・管理システムであるlearningBOXに、企業で必須となる研修コンテンツを簡単に追加することができるサービスです。自社で内製したコンテンツと組み合わせて、オリジナルの学習コースを簡単に設計することが可能です。 情報セキュリティ研修やコンプライアンス研修のコンテンツなどを無料で利用できますので、ぜひ社内研修にご活用ください。 ▼こちらもおすすめ！あわせて読みたい 目次に戻る

企業活動では、自社の顧客や取引先などに関する幅広い情報を取り扱います。業務で使用するデータや書類の中には、秘密情報や機密情報を含むものも少なくありません。機密性の高い情報は、社外へ流出すると重大な事故にもつながりかねないため、取り扱いに注意が必要です。 本記事では、そのような「秘密情報」や「機密情報」について解説します。両者の違いや情報漏えい対策についても解説しますので、ぜひ参考にしてみてください。 秘密情報と機密情報の違い ビジネスシーンでは「秘密情報」と「機密情報」という2つの言葉が同じ意味で使われることがあります。どちらも明確な定義がなく混同されやすい言葉ですが、厳密には意味が異なります。初めに、秘密情報と機密情報の違いを解説します。 秘密情報と機密情報の意味 秘密情報とは、秘密保持契約（NDA）を結ぶ際に秘密保持の対象となる情報のことです。どの情報が秘密情報に該当するかは、契約を結ぶ当事者間で取り決めが行われます。また、秘密情報の範囲は締結した契約書の内容によって異なります。 一方で機密情報とは、企業や国の機関にとって重大な情報全般のことです。なかでも企業における機密情報は「企業秘密」や「企業内秘密」とも呼ばれ、取り扱いに注意が必要です。秘密情報と同様に、外部への流出を避けなければなりません。 秘密情報・機密情報の種類と具体例 秘密情報と機密情報は意味が異なるものの、対象となり得る情報は同じです。 対象となり得る情報は、「経営情報」「財務・経理情報」「研究開発・技術情報」「人事情報」「マーケティング・広報情報」の5種類に大別できます。 秘密情報・機密情報の種類と具体例 情報の種類 該当する情報の具体例 経営情報 事業計画、在庫情報、M＆A情報など 財務・経理情報 予算・売上情報、融資情報、合弁計画など 研究開発・技術情報 設計図、研究報告書、プロジェクト仕様書など 人事情報 給与情報、昇進情報、異動情報など マーケティング・広報情報 販売履歴、販促情報、顧客情報、取引先情報など 代表例として、顧客や従業員に関する個人情報は秘密情報や機密情報に含まれると考えられます。一般的に個人情報に該当するのは、氏名・年齢・住所・性別といったデータのほか、本人の購入履歴やサイトの閲覧履歴などのデータです。 秘密情報・機密情報と似た意味を持つ類語 秘密情報・機密情報と営業秘密の違い 秘密情報と機密情報には明確な定義が存在しないのに対して、「営業秘密」は法律上で定義されています。説明が記載されているのは、不正競争防止法の2条第6項です。 この法律において「営業秘密」とは、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないものをいう。 【出典】 「不正競争防止法（平成五年法律第四十七号）」e-Gov法令検索 不正競争防止法で定義された営業秘密には、3つの要件があります。１つ目は、“秘密として管理されている”の部分に該当する「秘密管理性」。2つ目は、“有用な営業上又は技術上の情報である”の部分に該当する「有用性」。3つ目は、“公然と知られていない”の部分に該当する「非公知性」です。 ただし、脱税などの反社会的な活動についての情報、特許として公開された情報、刊行物などに記載された情報は、営業秘密には該当しません。 【参考】 「秘密情報の保護ハンドブック ～企業価値向上に向けて～」（経済産業省） 秘密情報・機密情報と社外秘情報の違い 社外秘情報とは、社外への流出によって損失が生じる可能性のある機密情報です。社内の人とは情報を共有できますが、取引先や消費者など外部の人には共有できません。具体例として、議事録や就業規則といった機密文書が挙げられます。 機密情報には重要度に応じてレベルがあり、機密性の高い順に「極秘」「秘」「社外秘」と分類されます。「極秘」や「秘」に該当する特定の情報は、社外秘よりも流出による損失が大きいと考えられており、社内でも限定された一部の人しかアクセスできません。 社外秘情報は秘密情報とは異なり、秘密保持契約を締結しません。また、社外秘情報は社内で共有できますが、機密情報は重要度次第では社内でも共有できない場合があります。 秘密情報・機密情報と機微情報の違い 機微情報は「センシティブ情報」とも呼ばれ、個人情報の中でも慎重な取り扱いが求められるものを指します。情報の流出によって、個人が差別などの社会的なリスクにさらされたり、精神的なダメージを受けたりする恐れがあります。 機微情報の具体例として挙げられるのは、個人の政治的な見解に関する情報、信仰する宗教に関する情報、人種や民族に関する情報、出生地や本籍地に関する情報などです。情報の取り扱いに注意し、個人のプライバシーを守る必要があります。 機微情報は秘密情報とは異なり、秘密保持契約を締結しません。また、機密情報は企業や国の機関などの情報が対象となるのに対して、機微情報は個人の情報が対象となります。 目次に戻る 秘密情報・機密情報を漏えいするリスク 秘密情報・機密情報が流出してしまったら、企業にはどのような危険が及ぶのでしょうか。情報漏えい事故がもたらすリスクについて解説します。 社会からの信用や信頼を失う恐れがある 情報漏えいの発覚・拡散は、顧客や取引先、社会からの信用を下げかねない大きな問題です。違反や事故をきっかけに、第三者のSNSでの発言などで情報の歪曲やデマが生まれれば、自社が風評被害を受ける懸念もあります。こうして社会からの信用や信頼を失えば、企業存続に関わる重大な危機にもなり得るでしょう。 損害賠償を請求される場合がある 万が一、自社の情報漏えい事故で被害者に何らかの損失が発生してしまったら、損害賠償を請求される場合があります。国内でも、過去に大規模な個人情報漏えい事故が発生し、企業が顧客へ損害賠償を行った事例が存在します。 機密性の高い情報ほど、漏えいによる被害が深刻になる可能性があるため、注意が必要です。 目次に戻る 秘密情報・機密情報の漏えいを予防する方法 情報漏えい事故を予防するには、日頃から社内ルールを厳守し、セキュアなIT環境を保つことが大切です。最後に、秘密情報・機密情報の漏えいを防ぐポイントをお伝えします。 記録媒体の持ち込みと持ち出しを制限・防止する 社内では、秘密情報・機密情報を保存できる媒体の持ち込みおよび使用を、原則禁止としましょう。例えば、USBメモリや外付けハードディスクを使ったデータの持ち運びには、紛失や盗難のリスクが伴います。同様に、従業員が個人的に保有する媒体を業務で使うのも好ましくありません。 また、社用パソコンの持ち出しや利用場所に制限するルールを規定し、明示することも大切です。持ち出しの際は事前申請を従業員に義務付けるなど、情報資産を安全に保つために新たな管理方法を導入しても良いでしょう。 テレワークの普及によって、こうしたルールをより厳格に取り決める必要性が高まっています。 セキュリティソフトを導入・更新する 社用パソコンなどの端末にはセキュリティソフトを導入し、ウイルスや不正アクセスによる被害から自社のIT機器やネットワークを守りましょう。すでにセキュリティソフトがダウンロードされた端末も、定期的な更新に対応する必要があります。 アップデートでソフトを最新の状態に保ち、新たなサイバー犯罪の手口に備えましょう。 従業員の情報セキュリティ意識を向上させる 自社の秘密情報・機密情報を安全に保管するには、一人ひとりが情報セキュリティの基礎知識を把握し、社内の情報を適切に取り扱うことが重要です。情報セキュリティの体系的な学習には、研修の実施もご検討ください。 その際は、学習管理の機能も兼ね備えたeラーニングシステムを活用するなど、従業員の習熟度チェックもできるようにしましょう。 目次に戻る 秘密情報・機密情報の違いを押さえて双方に対策を 企業が取り扱う秘密情報と機密情報の違いについて解説しました。秘密情報と機密情報には異なる意味合いがありますが、対象とする情報の種類は共通しています。お伝えした注意点をもとに、社内のセキュリティ対策を強化し、安全な運用を目指しましょう。 社内で情報セキュリティに関する周知をする際は「learningBOX ON」の情報セキュリティ研修コンテンツをご活用ください。learningBOX ONは、eラーニング作成・管理システムであるlearningBOXに、企業で必須となる研修コンテンツを簡単に追加することができるサービスです。自社で内製したコンテンツと組み合わせて、オリジナルの学習コースを簡単に設計することができます。 情報セキュリティ研修やコンプライアンス研修のコンテンツなどを無料で利用できますので、ぜひ社内研修にご活用ください。 ▼こちらもおすすめ！あわせて読みたい 目次に戻る

情報システムやインターネットを使ったデータ管理は今や企業にとって欠かせない手段です。その利便性に疑いの余地はありませんが、そこにはもうひとつの側面があることを改めて意識しましょう。 インターネットを使ったデータ管理は世界中とつながるため、常に外部から攻撃を受ける可能性があります。不正アクセスによる情報漏えいは企業のブランドイメージを失墜させ大きなダメージを与えるため、堅牢（けんろう）なセキュリティ対策は企業にとって大きな課題です。 今回は企業が行うセキュリティ対策の方法やポイントをご紹介します。今一度、あなたの会社のセキュリティ対策を確認しましょう。 セキュリティ対策とは そもそもセキュリティ対策とは、インターネットやコンピュータを安全に使うための対策のことで「情報セキュリティ」とも呼ばれます。IT化が進んだ現代では、企業や組織は重要な営業機密や、顧客・社員の個人情報など、多くの情報をシステム上で保管しています。 これらの情報が漏えいしたり、データが破損したりすると企業は社会的に大きなダメージを受け、場合によっては業績の低下や倒産の可能性すらあります。企業は情報資源を守るために、さまざまなセキュリティ対策を行うのです。 目次に戻る 情報セキュリティの3要素 情報漏えいやデータ破損を防ぐための対策である情報セキュリティは、「機密性（confidentiality）」、「完全性（integrity）」、「可用性（availability）」という3つの要素から構成されています。情報セキュリティはこれらの要素の頭文字を取って「CIA」と呼ばれることもあります。それぞれの要素をもう少し詳しく確認しましょう。 機密性：認められた人だけが情報にアクセスできること完全性：情報が正確であり改ざんや過不足がないこと可用性：必要なときに必要な情報に目的を果たすまでアクセスできること 重要な情報を取り扱う際にはこの3要素をしっかり意識することが大切です。 目次に戻る 情報セキュリティとサイバーセキュリティの違い セキュリティ対策には情報セキュリティの他にもサイバーセキュリティと呼ばれるものがあります。サイバーセキュリティとは情報セキュリティを脅かすものに対しての対処方法です。情報セキュリティが情報の取り扱い方に観点を置いているのに対し、サイバーセキュリティはいわゆるサイバー攻撃などへの対策などに焦点が当てられています。 この２つは全く異なるものではなく、情報セキュリティの中にサイバーセキュリティの概念があるイメージです。 では、実際にどのような事例が情報セキュリティを脅かすのか、次でしっかり確認しましょう。 目次に戻る 具体的なセキュリティ被害の事例を紹介 実際のセキュリティ被害の事例を4つご紹介します。 具体例①マルウェア感染 マルウェアとは、ユーザーのデバイスに不利益をもたらすプログラムやソフトウェアの総称です。ランサムウェアやトロイの木馬などもマルウェアの一種です。マルウェアに感染すると、重要な情報が外部流出したりデータが破壊・書き換えされたり、消失したりします。 具体例②情報漏えい、盗難 情報漏えいはマルウェア感染だけでなく、テレワークなどの業務環境の変化により意図せず起こるものもあります。また、機密情報の入ったパソコンやデータを社員個人が持ち出し、盗難に遭うなどのケースもあります。 具体例③不正アクセス 不正アクセスされると機密情報の流出やサービスの停止、Webサイトの改ざんなどの被害を受ける可能性があります。 具体例④災害などによる機器障害 台風や地震、落雷などの自然災害が発生し、サーバーや電気が使えなくなり、情報システムが停止してしまうことがあります。 目次に戻る 企業が行うセキュリティ対策方法 では、実際に企業が行うセキュリティ対策にはどのようなものがあるのでしょうか。それぞれ具体的な事例への対策を確認しましょう。 対策①マルウェア感染への対策 マルウェア感染を防ぐにはセキュリティソフトの活用が有効です。ただインストールするだけで安心せず、定期的に更新し最新版にアップデートするようにしてください。 マルウェアは常に新たなものが作成され、より巧妙化していくため、古いウィルス定義ファイルのままでは危険です。 対策②情報漏えい、盗難への対策 セキュリティソフトの活用とともに、研修などで社員のセキュリティへの意識を高めることが大切です。書類やPCなどの持ち出しに対しルールを設定し、社員の情報の取り扱いに一定の制限を設けます。 対策③不正アクセスへの対策 不正アクセスの原因はシステムの脆弱性です。不正アクセスを防ぐため、アカウントの適切な管理や、暗号化技術の導入を行いましょう。また、不正アクセスを遮断するファイアーウォールの導入も有効な手段です。 対策④災害などによる機器障害への対策 自然災害は予期できるものではありません。日頃から小まめなバックアップや予備システムの配備などの対策が必要です。 データのバックアップは別の場所で保管します。また、重要書類は災害から保護するため金庫などに保管します。 目次に戻る 中小企業がまず取り組むべき情報セキュリティ対策とは 情報セキュリティ対策は大企業だけのものではありません。中小企業もしっかりとしたセキュリティ対策が求められます。しかし、大企業のようにさまざまな情報セキュリティ対策を行うことは、予算・人材が不足しがちな中小企業では現実的ではありません。 では、どこから対策を始めれば良いのでしょうか。限られた予算でも実施可能な、優先度の高いものを以下に3点紹介します。 ①パソコンのセキュリティを強化する OSなどのソフトウェアはこまめにアップデートし、最新の状態を保ちましょう。またセキュリティソフトの導入をおすすめします。法人向けのセキュリティソフトであれば、社内の端末の一括管理ができます。 業務に関係のないWebサイトの閲覧を制限したり、外部ストレージとの接続を制限したりと、社内のPCのセキュリティ性を高めることができるためおすすめです。 ②従業員への教育の徹底 セキュリティ対策はすべての社員が守らなければ意味がありません。情報セキュリティを実現させるには、社員一人ひとりの意識向上が不可欠です。社員にセキュリティ知識をしっかり浸透させるには、研修が有効です。 電子メールの誤送信対策や安易なパスワード設定、不審なURLはクリックしない、SNSの利用方法など、社員への教育を徹底し情報漏えいを防ぎましょう。 ③テレワークへの対策 近年一気に普及したテレワークですが、オフィス以外での労働には情報漏えいやウイルス感染などのリスクが伴います。まずはテレワーク時のデータの取り扱いや持ち出しに関して社内ルールを定めましょう。 テレワーク時に使う端末にはウイルス対策ソフトの使用はもちろんのことネットワークへのアクセスは安全な回線の使用を徹底してください。 公衆Wi-Fiなどの使用はウイルス感染や情報漏えいの危険があるということを周知しましょう。 目次に戻る まとめ IT化が進んだ現代では、どんな企業にとっても情報システムやインターネットは必要不可欠な存在です。これらには大きな利便性がある一方、情報漏えいなどのリスクがあることに注意しましょう。システムに不具合が生じ、サービスが停止すると会社のイメージは失墜し、業績にもかかわる可能性があるため、しっかりとした強固な対策が必要です。 情報セキュリティは、不正アクセス対策や、マルウェア対策、自然災害の際の対策などと多岐にわたりますが、まず、取り掛かるべきなのは社員教育の徹底です。社員の情報セキュリティへの意識を高め、会社の情報を守りましょう。 社内で情報セキュリティに関する周知をする際は「learningBOX ON」の情報セキュリティ研修コンテンツをご活用ください。learningBOX ONは、eラーニング作成・管理システムであるlearningBOXに、企業で必須となる研修コンテンツを簡単に追加することができるサービスです。自社で内製したコンテンツと組み合わせて、オリジナルの学習コースを簡単に設計することができます。 情報セキュリティ研修やコンプライアンス研修のコンテンツなどを無料で利用できますので、ぜひ社内研修にご活用ください。 ▼こちらもおすすめ！あわせて読みたい 目次に戻る

In recent years, many companies have come to recognize that the risk of data breaches lurks right under their noses. This is because cybercrime tactics are becoming more sophisticated every year, and any company can potentially become a target. Additionally, there are cases where data breaches occur due to human error within the company, often stemming from a lack of employee training. Here, we will explain the risks that such data breaches pose to companies, measures to prevent them, and the response procedures to follow if one occurs. Let’s take this opportunity to review your company’s data breach prevention measures. List of Risks Posed by Data Breaches In recent years, stronger measures have become necessary to mitigate the risk of data breaches. Conventional security measures alone are often insufficient, and there have been numerous cases where serious data breaches have occurred. Contributing factors include the widespread adoption of remote work due to the spread of COVID-19 and the increasing use of mobile devices, including business-use smartphones and tablets. According to a survey by the IPA (Information-technology Promotion Agency), “attacks targeting new normal work styles such as remote work” have been ranked as a new information security threat since 2021. First, we’ll present a list of risks to watch out for. [Reference] “Top 10 Information Security Threats 2021” (Information-technology Promotion Agency, Japan) List of Risks Associated with Information Leaks Category Risk Examples of Actual Incidents Primary Risk Becoming a victim of impersonation or unauthorized use ・ Unauthorized use of customers’ credit cards ・ Hijacking of corporate social media accounts ・ Dissemination of phishing emails impersonating the company Facing Damages and Criminal Penalties ・ Offenders face up to one year in prison or a fine of up to 500,000 yen ・ Payment of 10,000 yen to each victim ・ Distribution of 500-yen gift certificates to all victims Website Defacement ・ Unintended advertisements are displayed ・ Users are automatically redirected to other sites ・ Visitors are infected with malware Secondary Risks Loss of social credibility ・ Business transactions with key customers are suspended ・ Market share shrinks ・ Negative reputation spreads on social media This leads to employee anxiety and distrust ・ An increase in resignations ・ Deterioration of the workplace atmosphere. Victimization by identity theft and unauthorized use. Identity theft occurs when a third party impersonates another person online to commit fraud. This leads to incidents where personal information—such as IDs, passwords, and email addresses—is misused. There are concerns about incidents such as emails impersonating the company being circulated, unauthorized use of customers’ credit cards, or the company’s social media accounts being hijacked. Liability for Damages and Criminal Penalties If a personal information leak is discovered, the company may face corrective orders or fines from the government. The amendments to the Personal Information Protection Act, which took effect in April 2022, strengthened these corrective orders and fines. Violating a corrective order is punishable by up to one year in prison or a fine of up to 1 million yen. In addition, data breaches may give rise to civil liability for damages. This is because a data breach constitutes a tort—an unlawful act that infringes upon the rights or interests of others. Furthermore, in some cases, companies have paid compensation in the form of gift certificates, electronic money, or reward points, separate from any monetary damages awarded. [Reference] “Regarding the Revised Personal Information Protection Act of Reiwa 2” (Ministry of Internal Affairs and Communications) Website Tampering There is a risk that malicious third parties will exploit vulnerabilities in a website to gain unauthorized access and tamper with its content without the owner’s knowledge. Caution is required because tampering can result in the display of advertisements unrelated to the company’s business, as well as tactics that redirect users to fake websites or infect their devices with malware. Damage to Social Credibility: Data breaches undermine trust from business partners and customers, leading to a decline in social credibility and brand image. There are also concerns about reputational damage on social media and a drop in stock prices. If the incident leads to an unavoidable suspension of business operations or service provision, it could result in significant financial losses. Leading to Employee Anxiety and Distrust Data breaches also have a significant impact within the company. Employees may begin to feel anxious or distrustful toward the company, which can easily lead to a decline in motivation at work. It is also important to note that the external response following an incident can lead to overwork and accumulated stress, which may result in an increase in employee turnover. Back to Table of Contents: Main Causes of Data Breaches and Examples of Measures to Reduce Risks What are the primary causes of data breaches in companies? Implement countermeasures tailored to each cause to ensure thorough information management within the company. Main Causes of Data Leaks The causes of data leaks can be broadly categorized into three types: “leaks due to internal human error,” “intentional leaks from within the company,” and “leaks resulting from external attacks.” To prevent data leaks before they occur, it is necessary to implement measures from multiple angles depending on the cause. Causes, Sources, and Contributing Factors of Information Leaks Category Main Causes Source Contributing Factors Internal Human Error ・ Leaving items behind or losing them ・ Careless conversations or social media posts ・ Errors in email or system operations ・ Full-time employees ・ Former employees ・ Contract workers ・ Part-time and temporary employees ・ Vendors and contractors, etc. ・ Carelessness, lack of knowledge, etc. Intentional: Unauthorized removal of data, unauthorized system manipulation, financial motives, distrust or dissatisfaction with the organization, etc. External: Malicious attacks, cyberattacks, malware infections, eavesdropping or theft, lone perpetrators or organized crime, pranksters, Domestic/International Offenders, etc. [By Cause] Examples of Measures Against Information Leaks Human errors—such as “loss or misplacement,” “operational errors,” “management mistakes,” and “theft”—account for over 60% of information leak causes. These figures were published in a 2018 survey conducted by the Japan Network Security Association. [Reference] “2018 Survey Report on Information Security Incidents” (Japan Network Security Association) Based on these results, it can be said that a relatively large number of data breaches could be prevented depending on employees’ knowledge and awareness of security information. Measures such as conducting regular training and establishing guidelines and rules are effective. The table below summarizes effective information security countermeasures by cause of human error. Please refer to it for guidance. Causes of Data Breaches Due to Human Error and Examples of Countermeasures Cause Examples of Countermeasures Management Errors ・ Do not connect personal computers to the company network ・ Always shred paper documents before disposal ・ Use separate email addresses for work and personal use ・ Do not leave your work computer unlocked when stepping away from your desk. Operational Errors ・ Implement a system to prevent accidental email sending. Implement a system to prevent accidental email sending. ・ Encrypt data before sending. Leaving Items Behind, Loss, Eavesdropping, and Theft ・ Do not leave belongings on train overhead racks. ・ Do not take company information home. ・ Do not use portable storage devices such as USB drives. • Do not post work-related information on social media. • Do not discuss work in public places such as elevators or bars. Return to Table of Contents Response Flowchart to Mitigate Risks in the Event of an Information Leak If an information leak occurs at your company, respond promptly by following the flowchart below. Finally, here is a response flowchart you should review in preparation for emergencies. Step 1: Assess the Situation and Report Immediately If you notice any signs of a data breach or identify its impact after it occurs, report it immediately to the person in charge. First, led by the person in charge, establish an internal response structure and define the policy and details for the initial response. At this time, please be careful not to inadvertently operate any devices, as this could destroy evidence that might be crucial for determining the cause. For example, do not delete any emails or files related to the incident. Step 2. Initial Response to Mitigate Secondary Damage Next, implement emergency measures to prevent the data breach from escalating and to mitigate secondary damage. Depending on the situation, measures such as temporarily suspending services may be considered. In the case of a personal information leak, it may also be necessary to contact the affected individuals and request that they change their passwords or suspend their use of the service. Step 3. Investigating the Cause and Disclosing Information: Conduct an investigation into the facts, identify the cause of the data breach, and then disclose accurate information. It is crucial to release information that is well-founded and highly reliable. Be careful to avoid releasing information that could cause confusion, such as vague details or speculation. Step 4. Reporting to Relevant Parties and Public Disclosure To fulfill its accountability regarding the data breach, the company must report the incident to relevant parties and make a public disclosure. In addition to notifying business partners and customers, it is also necessary to file reports with regulatory authorities, the police, and the IPA (Information-technology Promotion Agency). The timing of the public announcement should be determined after carefully considering whether there is any risk of the damage spreading further. Step 5. Development and Implementation of Measures to Prevent Recurrence Once the initial response is complete and business operations and services have been restored, the company must implement measures to prevent recurrence. Identify issues based on the causes of the data breach, implement countermeasures, and address matters such as compensation for victims and disciplinary actions against employees. Note that, depending on the content of the public announcement regarding recurrence prevention measures, there is a risk that third parties may become aware of vulnerabilities; therefore, carefully consider the scope of the disclosure. [Reference] “Key Response Points in the Event of a Data Breach” (Information-technology Promotion Agency, Japan) Return to Table of Contents Preparing for the Risk of Data Breaches We have introduced measures to prepare for the risk of data breaches and a response workflow to minimize damage. Human error by employees accounts for the majority of data breach causes. Enhancing in-house information security training is believed to help reduce these risks. Be sure to prioritize employee training to prepare for any potential incidents. When raising awareness about information security within your company, please make use of the information security training content available on “learningBOX ON.” “learningBOX ON” is a service that allows you to easily add essential corporate training content to “learningBOX,” an e-learning creation and management system. You can easily design original learning courses by combining this content with content developed in-house. Content for information security training and compliance training is available free of charge, so please be sure to utilize it for your in-house training. ▼ Also Recommended! Related Articles Return to Table of Contents

企業による情報漏えいは、従業員のリテラシー不足が原因となるケースも多く、情報セキュリティ教育の重要性が高まっています。社内研修で知識の定着を図る場合は、eラーニングシステムの活用がおすすめです。 本記事では、情報セキュリティ研修をeラーニングで実施する際のコンテンツ例や、サービスの選び方をお伝えします。コンテンツの作成に役立つサービスや資料もご紹介しますので、ぜひ参考にしてみてください。 情報セキュリティ研修のeラーニングコンテンツの種類 情報セキュリティ教育は、集合研修もしくはeラーニングで行うのが一般的です。情報セキュリティ研修のeラーニングコンテンツには、数多くの学習分野があるので、研修の目的や予算などを考慮し、適切なコンテンツを選定・準備しましょう。 情報セキュリティのeラーニングコンテンツ例 個人情報漏えいをはじめとしたセキュリティインシデントは、業務内容に関わらず発生する可能性があります。発生の要因は、情報資産の紛失からサイバー攻撃までさまざまです。そのため、情報セキュリティ研修を実施する際は、契約形態や役職に関わらず全従業員を対象とするのが望ましいでしょう。 以下に、情報セキュリティ研修のeラーニングコンテンツ例を列挙します。 個人情報保護法の理解や個人情報の適切な取り扱い SNSの利用ルールやリスク コンプライアンス 標的型攻撃メールの脅威と対応策 情報資産や端末管理の重要性 情報セキュリティインシデントの最新事例 IDやパスワード管理 サプライチェーンセキュリティの重要性 クラウドサービスの利用におけるセキュリティリスク 目次に戻る 情報セキュリティ研修用eラーニングコンテンツの選び方 さまざまなサービスから情報セキュリティ研修用のeラーニングが提供されています。社員教育に活用して会社全体のセキュリティ意識を向上させるには、どのような基準で選ぶのが良いのでしょうか。こちらでは、情報セキュリティ研修用eラーニングの選び方のポイントを解説します。 学習分野は汎用型か特化型か eラーニングの学習分野は、提供サービスによって「汎用型」と「特化型」に分けられます。 汎用型 汎用型は、企業ニーズの高い学習分野を幅広く提供しているのが特徴です。コンテンツ内容には情報セキュリティ研修だけでなく、ビジネスマナー研修やハラスメント研修も含まれます。 その時々のニーズに応じて幅広い選択肢から学習分野を選びたい場合は、汎用型がおすすめです。 特化型 特化型は、特定の分野に特化したコンテンツを提供しているのが特徴です。そのため、特定の学習分野における研修の質や頻度を高めたい場合は、特化型がおすすめといえます。例えば、中長期にかけて情報セキュリティ関する研修を集中的に強化する方針を掲げているケースなどが代表的です。 情報セキュリティに関する自社の課題に応じて、重視したい学習分野が提供されているサービスを選びましょう。 コンテンツのカスタマイズは柔軟か eラーニングサービスは、提供会社によってカスタマイズ性に違いがあります。具体的には、提供会社が作成したオリジナルコンテンツを編集せずに利用するタイプと、自社向けにカスタマイズして活用するタイプに分類できます。 情報セキュリティ研修の内容を自社に最適化するには、コンテンツのカスタマイズが柔軟なサービスを導入するのがおすすめです。従業員のリテラシーや業務上求められるノウハウは、組織ごとに異なります。 カスタマイズ性に優れたサービスを選ぶことで、従業員の理解度や受講状況に応じて研修内容を改善でき、継続的な情報セキュリティ教育が可能になります。 料金形態や金額が予算に見合っているか eラーニングサービスの料金形態や金額は、提供会社ごとにさまざまです。具体的には、無料で利用できるサービスや月額費用がかかるサブスクリプションタイプ、初期費用のみ必要な買い切り型、講座を一つ受講するたびに料金がかかるタイプなどがあります。 eラーニングサービスを導入する際は、事前に予算を確保しておき、利用を検討しているサービスの料金形態や金額がそれに見合っているか確認しましょう。 また、無料トライアルを積極的に活用し、使いやすさやコストパフォーマンスが十分か見極めることも重要です。 目次に戻る eラーニングでの情報セキュリティ研修に役立つ情報 最後に、情報セキュリティ研修をeラーニングで実施する際に役立つコンテンツやサービスをご紹介します。求める機能や利用規模、利用頻度に応じて最適なサービスを選択しましょう。 IPA「情報セキュリティ対策支援サイト」 経済産業省が管轄するIPA（情報処理推進機構）が情報セキュリティ対策に関する資料を一般に公開しています。IPAは、国内のIT分野における競争力強化に向けた人材育成などの活動を行っている組織です。 同ページでは、Web会議やテレワーク、長期休暇など目的や場面に応じた具体的なセキュリティ対策が紹介されています。研修資料や配布資料としてダウンロードして活用することも可能です。ログイン不要で手軽に閲覧できるため、一度目を通してみると良いでしょう。 【参考】 対策のしおり | IPA 独立行政法人 情報処理推進機 総務省「国民のためのサイバーセキュリティサイト」 情報セキュリティの基礎知識や対策方法を提供する総務省のWebサイトです。企業や組織における対策では、幹部や社員、情報管理担当者など役割別にカリキュラムが分かれており、全社的に研修を行う場合でも利用しやすい設計となっています。 また、同ページには、過去に行われた情報セキュリティ対策に関するオンライン講座の動画や資料も掲載されています。PDF資料はダウンロードして配布することもできるため、知識の定着に役立つでしょう。 【参考】 国民のためのサイバーセキュリティサイト｜総務省 eラーニングシステム「learningBOX」 learningBOXは、オンラインで社員研修を実施できる学習管理システムです。教材やテストの作成、採点、受講履歴の管理などeラーニングに必要な機能が網羅されており、情報セキュリティ研修の内製化に役立ちます。 また、「learningBOX ON」を利用すれば、learningBOXに既存の研修コンテンツを追加することも可能です。情報セキュリティ研修はもちろん、ハラスメント研修やビジネスマナー研修、コンプライアンス研修などのコンテンツを無料で利用でき、自社コンテンツと組み合わせてオリジナルの学習コースを簡単に設計することもできます。 10アカウントまで無料で受講可能ですので、情報セキュリティ研修をeラーニングで実施する際は、ぜひお気軽にお試しください。 目次に戻る 情報セキュリティ研修をeラーニングで実施して学習効率を高めよう 今回は、情報セキュリティ研修をeラーニングで実施する際のコンテンツ内容やサービスの選び方などを解説しました。情報管理のリスクが複雑化・多様化している現代では、企業は情報セキュリティ対策への積極的な投資が求められます。 社内研修もその一種であり、eラーニングで実施することで従業員のリテラシーや階層に合わせたコンテンツの提供が可能になります。情報セキュリティ研修をeラーニングで実施して、知識の定着と学習効率の向上を両立しましょう。 learningBOX ONでは情報セキュリティ研修だけでなく、ハラスメント研修やコンプライアンス研修などの社内研修に必須のコンテンツも無料で利用できますので、ぜひ社内研修にご活用ください。 ▼こちらもおすすめ！あわせて読みたい 目次に戻る

ネット社会の到来により情報管理の重要性が説かれているものの、対応の遅れから情報漏えいに至るケースも少なくありません。企業で情報漏えいが発生すると、イメージの低下だけでなく、損害賠償請求など事業の存続に関わる事態となる可能性があります。 上記のようなリスクを低減するためには、事前に対策を講じることが大切です。そこで本記事では、情報漏えい対策のポイントや発生の主な原因について解説します。 情報漏えいの具体的な対策・ポイント 企業は機密性の高い情報を数多く管理しており、一度漏えいしてしまえば、取引先からの信頼低下や多額の損害賠償金の支払いなど影響は計り知れません。そのような事態を防ぐためにも、以下のポイントを参考に情報漏えい対策を講じましょう。 情報漏えい対策の具体例・ポイント 対象 対策の具体例・ポイント 従業員 ガイドラインとルールを策定する 定期的な情報セキュリティ教育を実施する 情報や機器の持ち出しや持ち込みを制限・禁止する メールの誤送信防止システムを導入する 情報の安易な放置や廃棄を禁止する 情報の不注意な公言を禁止する 外部者 IDやパスワードなどの情報は厳重に管理する セキュリティソフトを導入・更新する 定期的なシステムのアップデートや脆弱性チェックを行う 従業員向けの情報漏えい対策・ポイント ガイドラインとルールを策定する 人為的なミスを防ぐためには、全社のガイドラインに沿ったルールの作成と運用が必要です。経営陣の示す方針と現場における運用の課題を、双方向からすり合わせます。その際は、IPA（情報処理推進機構）が公表しているガイドラインを参考にすると良いでしょう。 【参考】 「中小企業の情報セキュリティ対策ガイドライン第3版」（独立行政法人情報処理推進機構） 情報セキュリティ教育を定期的に実施する 従業員の情報セキュリティに関する知識や意識を高めるため、情報セキュリティ教育を定期的に実施することも重要です。業務内容によらず、常に情報漏えいのリスクと隣り合わせである自覚を持ってもらうことで、従業員のセキュリティ意識の向上につながります。契約形態に関わらず業務に携わる全員を研修の対象にするほうがリスクを回避しやすいでしょう。 情報や機器の持ち出しや持ち込みを制限・禁止する 紛失や盗難による情報漏えいを予防するためには、情報資産の持ち出しや私物の持ち込みを制限・禁止することが大切です。 また、やむを得ず持ち出しや持ち込みが必要な場合やテレワークを導入する場合に備えて、運用ルールも設ける必要があります。具体的には、責任者の許可を得る、許可を出す情報やデバイスを限定するなどの方法が考えられます。 メールの誤送信防止システムを導入する メールの誤送信や添付ファイルの不備による情報流出を未然に防ぐには、誤送信防止システムの導入が効果的です。上長承認後の自動送信や宛先の自動CC、送信前の再確認などの機能が搭載されており、情報管理体制の強化に役立ちます。 情報の安易な放置や廃棄を禁止する 機密情報の流出を防ぐには、情報の安易な放置や廃棄を禁止する必要があります。誰もがアクセスできる状態で情報が放置されていたり、回収や読み取りが可能な状態で情報が廃棄されたりすると、悪意ある第三者に利用される可能性があるためです。 離席時は書類やパソコンを外部から見える状態にしない、電子媒体やクレジットカードを処分する際は物理的に破壊するなどのルールを設けましょう。 情報の不注意な公言を禁止する 情報の取り扱いや廃棄を適切に行っても、従業員が口外することで情報漏えいにつながる場合があります。具体的にはSNSやブログ、他社従業員との会話の中で、社内で得た情報を漏えいしてしまうケースなどが考えられます。そのため、情報セキュリティに関する社内研修を実施する際は、従業員に守秘義務を徹底するよう指導することが大切です。 目次に戻る 外部者向けの情報漏えい対策・ポイント IDやパスワードなどの情報は厳重に管理する 巧妙化している外部からの攻撃を避けるには、IDやパスワード管理の強化が重要です。名前など推測しやすい文字列を使用しない、使い回しをしない、外部から見える場所で管理しないなどの基本的な対策を徹底しましょう。 セキュリティソフトを導入・更新する サイバー攻撃による個人情報漏えい対策には、セキュリティソフトの導入が効果的です。OSの標準機能では対応が難しい新たな手口にも対処でき、セキュリティインシデントのリスクを低減できます。日々進化する手口やウイルスに対応するためには、定義ファイルの更新を忘れずに行うことも重要です。 システムのアップデートや脆弱性チェックを定期的に行う 外部からの攻撃は、システムやアプリの脆弱性を狙って行われるケースも少なくありません。そのため、外部者による情報漏えいを防ぐには、システムのアップデートや脆弱性チェックを定期的に行う必要があります。 万が一脆弱性が発見された場合は、その危険度や影響を確認した上で、新しいセキュリティツールの導入やシステムの使用停止・改修などで適切に対処しましょう。 目次に戻る 情報漏えいの主な原因と発生要因 情報漏えいの主な原因は、内部職員のヒューマンエラーや意図的な不正、外部からの悪意ある攻撃に分類できます。ここでは、それぞれの具体例や発生要因をお伝えします。 情報漏えいが発生する原因と発生元・発生要因 区分 主な原因 発生元 発生要因 内部 人為的ミス ・ 置き忘れや紛失 ・ 不注意な会話やSNS発信 ・ メールやシステムの誤操作 ・ 正社員 ・ 退職者 ・ 業務委託 ・ パート・アルバイト ・ 出入り業者など ・ 不注意 ・ 知識不足 など 意図的 ・ 不正持ち出し ・ 不正操作 ・ 経済的な理由 ・ 組織への不信不満 など 外部 悪意による攻撃 ・ サイバー攻撃 ・ マルウェア感染 ・ 盗聴や盗難 ・ 単独犯／組織犯 ・ 愉快犯 ・ 国内犯／国際犯など 内部の人為的ミスによる情報漏えい 内部の人為的ミスによる情報漏えいは、パソコンや書類、USBメモリなどの記録媒体の置き忘れや紛失、送信先や添付ファイルの誤りなどのメールの誤操作などが主な原因です。 また、公共の場における不注意な会話が原因で情報が流出する場合もあります。例えばオフィスビルのラウンジやエレベーター内、カフェ、居酒屋などの場所で、会話を第三者に聞かれている可能性もあるため注意が必要です。「うちの会社は近々上場する予定で……」「来年の新製品は〇〇の技術が……」といった発言は避けるべきでしょう。 そのほかには、リリース前の秘密情報や顧客の個人情報を投稿するなど、SNSにおける不用意な発信も情報漏えいの原因となり得ます。匿名でも、発信内容から発信者や所属組織の情報を特定されるリスクにも注意が必要です。 内部の意図的な情報漏えい 内部の意図的な情報漏えいでは、退職者によって情報が持ち出されるケースなどが想定されます。経済的な理由や組織に対する不信・不満が原因となる場合があります。 外部からの攻撃による情報漏えい 外部攻撃による情報漏えいの代表的な原因は、不正アクセスやマルウェア感染です。マルウェアとは、端末の不具合や情報漏えいを引き起こす悪質なプログラムやソフトウェアを指します。個人情報や顧客情報の流出、IPアドレスの悪用などの発生を引き起こします。また、オフィスの盗聴や不法侵入による盗難によって情報漏えいが発生するケースにもご注意ください。 目次に戻る 情報漏えいが発生した際の対応方法・手順 万が一情報漏えいが発生した場合は、被害を最小限に抑えるために速やかな対処が求められます。こちらでは、情報漏えいが発生した際の対応方法について、手順ごとに解説します。 Step1. 実態確認と即時報告 まず、情報漏えいの予兆や影響を確認した場合、すぐに責任者に報告しましょう。責任者を中心に対応する体制や、一次対応の方針・内容を定めます。原因究明の手がかりとなる証拠を消さないよう、メールやファイルの削除などの不用意な操作を行わないことが大切です。 Step2. 二次被害を抑える初動対応 次に、情報漏えいの被害拡大、二次被害の防止に向けた応急処置を行いましょう。ネットワークの遮断やサービスの停止などの対応策が検討されます。個人情報漏えいの際は、被害を受けた方に連絡を取り、パスワード変更やサービス利用の停止を依頼することもあります。 Step3. 原因究明と情報公開 次のステップでは、情報漏えいが発生した原因を調査します。5W1Hの視点で情報漏えいに関する事実関係を調査し、証拠の確保に努めましょう。また、対応策が明確になった場合は、同様の被害事例を減らすためにも、企業には速やかに情報を公開することが求められます。 Step4. 関係各所への報告や公表 次は、取引先や消費者、関係省庁への報告や公表の要否を検討します。取引情報や個人情報が漏えいしている場合は、特段の理由がない限り取引先や本人へ通知し、謝罪と二次被害への注意喚起を行うのが基本です。 関係者や被害件数が多岐にわたり、個別の通知が難しい場合は、ホームページや記者会見にて公表するケースもあります。また、金銭の要求や不正アクセスなど犯罪が疑われる場合は、速やかに警察へ届け出ましょう。 Step5. 再発防止策の検討と実施 最後に、情報漏えいの再発防止策を検討して実施します。また、調査報告書をもとに被疑者への損害の補償や、内部職員の処分について検討するのもこちらの段階です。 【参考】 「情報漏えい発生時の対応ポイント集」（独立行政法人情報処理推進機構） 目次に戻る 情報漏えい対策を実施してセキュリティリスクを低減しよう 情報漏えいは、どの企業でも発生し得るリスクです。内部の従業員による不手際や外部からの攻撃などさまざまな原因が考えられるため、漏えいを未然に防止するには、網羅的な対策を講じる必要があります。この機会に情報漏えい対策を実施し、セキュリティリスクの低減に努めましょう。 社内で情報漏えい対策を周知する際は、「learningBOX ON」の情報セキュリティ研修をご利用ください。「learningBOX ON」は、eラーニング作成・管理システムであるlearningBOXに、企業で必須となる研修コンテンツを簡単に追加できるサービスです。自社で内製したコンテンツと組み合わせて、オリジナルの学習コースを簡単に設計することができます。 情報セキュリティ研修やコンプライアンス研修のコンテンツなどを無料で利用できますので、ぜひ社内研修に ご活用ください。 ▼こちらもおすすめ！あわせて読みたい 目次に戻る