人事データの情報漏洩、原因は3つ｜外部攻撃・内部不正・委託先から守る対策

企業の情報漏洩が報道されるたびに、「自社は大丈夫だろうか」と不安になる人事・労務担当者は少なくないでしょう。しかし、「情報漏洩 原因」と調べてみると、サイバー攻撃から社員のうっかりミスまで幅広い事例が並び、結局どこに注意すればよいのか分かりにくいのが実情です。

本記事では、情報漏洩の原因を「外部攻撃」「内部不正・人的ミス」「委託先・外部サービス」の3つに分類し、それぞれがどのような経路で発生し、人事・労務データにどんな影響を及ぼすのかを整理します。そのうえで、原因を踏まえた対策の考え方と、給与やマイナンバーといった特に機微なデータを自社の管理下に置き続けるための選択肢として、オンプレミス型の人事・労務管理システム「ADPS（アドプス）」をご紹介します。

情報漏洩の原因は3つに分けて考える

情報漏洩の原因は多種多様に見えますが、「誰が起点になったか」で整理すると、大きく3つに分類できます。1つ目は、社外の攻撃者が侵入して情報を盗み出す「外部攻撃」。2つ目は、従業員や元従業員など社内の人間が起点となる「内部不正・人的ミス」。3つ目は、業務を委託している取引先や、利用している外部サービスの側で発生する「委託先・外部サービス起因」の漏洩です。

この3分類で考えることには意味があります。原因によって、侵入経路も、気づくための手段も、有効な対策もまったく異なるからです。外部攻撃には境界防御や脆弱性対応が、内部起因にはアクセス制御やログ管理、教育が、委託先起因には契約・監督とデータの所在管理が、それぞれ中心的な対策になります。自社がどの原因に対して手薄なのかを把握することが、対策の第一歩です。

また、人事・労務部門が扱うデータは、氏名や住所、マイナンバー、給与、評価、健康情報など、流出すれば従業員本人の生活に直結するものばかりです。漏洩が起きれば、本人への通知や関係機関への報告、信用の失墜、損害賠償といった影響が企業に及びます。どの原因から漏洩したとしても、その影響の大きさは変わりません。だからこそ、3つの原因すべてに目配りした対策が求められます。

原因1：外部攻撃による情報漏洩

最も報道されやすく、イメージしやすいのが外部からのサイバー攻撃です。攻撃の手口は年々巧妙化しており、企業規模を問わず標的になり得ます。

ランサムウェアと二重脅迫

ランサムウェアは、社内のデータを暗号化して業務を停止させ、復旧と引き換えに金銭を要求する攻撃です。近年は暗号化の前にデータを窃取し、「支払わなければ公開する」と脅す二重脅迫の手口が主流になっています。人事データが窃取された場合、支払いの有無にかかわらず、従業員の個人情報が流出するリスクを抱えることになります。

標的型メールとなりすまし

取引先や公的機関、社内の上司を装ったメールで、添付ファイルを開かせたり偽サイトでIDとパスワードを入力させたりする手口です。人事部門は、応募者からの履歴書送付や官公庁からの通知など、外部からファイルやリンクを受け取る機会が多く、攻撃者にとって狙いやすい部門と言えます。

脆弱性を突いた不正アクセス

VPN機器やWebサーバー、業務システムの修正プログラムを適用していない状態を突いて侵入する手口です。インターネットに公開されている機器やサービスは常に攻撃の対象になっており、更新の遅れがそのまま侵入口になります。インターネットからアクセスできる範囲にどのような情報が置かれているのかを把握し、攻撃を受け得る面をできるだけ小さくしておくことが重要です。

原因2：内部不正・人的ミスによる情報漏洩

一方で、実際に発生している情報漏洩の件数で見ると、外部攻撃よりも内部に起因するものが多いとされています。社内の人間が関わる漏洩は、外部攻撃と違って侵入の痕跡が残りにくく、発覚が遅れがちな点にも注意が必要です。

誤送信・紛失・設定ミス

最も多いのが、悪意のない人的ミスです。給与明細や源泉徴収票を別の従業員に送ってしまうメール誤送信、従業員名簿の入ったノートPCやUSBメモリの紛失、クラウドストレージやファイル共有の公開設定ミスなどが典型です。人事・労務部門は日常的に個人情報を扱うため、一つひとつの作業は小さくても、ミスが起きたときの影響は大きくなります。

こうしたミスは、本人の注意力だけに頼って防ごうとすると限界があります。送信前の宛先確認を仕組みとして組み込む、個人情報を端末や外部媒体に保存できないようにする、ファイルの共有範囲を標準で社内限定にするなど、ミスが起きても外部に出ない設計にしておくことが現実的な対策です。

退職者・従業員による持ち出し

転職先への手土産として顧客情報や人事情報を持ち出す、退職後も残っていたアカウントで社内システムにアクセスする、といった不正も後を絶ちません。退職時のアカウント停止やデータ返却の手続きが形骸化していると、こうしたリスクは高まります。

権限の過剰付与と不正閲覧

本来は業務上必要のない従業員の給与や評価、健康情報を、権限があるために閲覧できてしまう状態も、情報漏洩の温床になります。「見ようと思えば見られる」環境では、好奇心からの閲覧や噂話への流用を防ぐことができません。誰がどの情報を見られるのかを職務に応じて絞り込み、閲覧の記録を残して「見られていることが分かる」状態にしておくことが、抑止力として機能します。

原因3：委託先・外部サービス起因の情報漏洩

見落とされがちですが、近年増えているのが、自社ではなく委託先や利用中の外部サービスで発生する情報漏洩です。自社の管理が行き届かない場所で起きるため、発生の把握も、事後の対応も難しくなります。

業務委託先でのセキュリティ事故

給与計算や社会保険手続きのアウトソーシング、人材紹介会社、研修会社、印刷会社など、人事業務にはさまざまな委託先が関わります。委託先でのランサムウェア被害や内部不正、再委託先での管理不備によって、預けていた従業員情報が流出する事例は珍しくありません。委託元の企業には、委託先を適切に監督する責任があり、「委託していたから知らなかった」では済まされないのが現実です。

クラウドサービスの設定不備・事業者側の事故

クラウド型の業務サービスは便利な反面、データが自社の外にあり、インターネット経由でアクセスできる前提で成り立っています。利用者側の共有設定やID管理の不備で情報が外部から閲覧できる状態になっていた事例、あるいはサービス事業者側の障害や不正アクセスで多数の利用企業のデータが影響を受けた事例も報告されています。自社がどれほど注意していても、データの置き場所が社外にある以上、そこで起きる事故の影響を完全には避けられません。

データの所在が見えなくなるリスク

委託先や外部サービスが増えるほど、「自社の従業員情報がどこに、どのような形で保管されているのか」を把握することが難しくなります。保管場所が把握できていなければ、漏洩が疑われた際に影響範囲を特定できず、本人への通知や関係機関への報告も遅れてしまいます。委託先起因の漏洩に備えるには、どの情報をどこまで社外に出すのかを、意識的に決めておくことが欠かせません。

原因別に見る情報漏洩対策の考え方

3つの原因を踏まえると、対策もそれぞれに対応する形で整理できます。

外部攻撃に対しては、機器やソフトウェアの更新、多要素認証、標的型メール訓練といった基本的な防御に加え、インターネットから直接アクセスできる情報の範囲を見直すことが有効です。重要なデータほど、外部から到達しにくい場所に置くという考え方です。

内部不正・人的ミスに対しては、職務に応じた細かなアクセス権限の設定、操作ログの取得と定期的な点検、入退社や異動に合わせた権限の見直し、そして継続的な教育が中心になります。ミスを責めるのではなく、ミスが起きても大きな漏洩につながらない仕組みを作ることが重要です。

委託先・外部サービスに対しては、委託契約でのセキュリティ要件の明記と定期的な監督、そして「そもそも社外に出す情報を最小限にする」という判断が対策になります。すべての人事データを同じように扱うのではなく、給与、マイナンバー、健康情報といった特に機微な情報については、社外に出さずに自社の管理下に置き続けるという選択肢を検討する価値があります。

人事データを「社外に出さない」という選択肢

人事・労務管理システムには、サービス事業者のサーバー上でデータを管理するクラウド型と、自社のサーバーにシステムを構築してデータを自社内で管理するオンプレミス型があります。どちらにも利点があり、一方が無条件に安全というものではありません。クラウド型には導入の手軽さや運用負荷の軽さがあり、オンプレミス型には自社でサーバーを運用する責任が伴います。

そのうえで、情報漏洩の原因を3分類で見てきた視点に立つと、オンプレミス型には「人事データの所在を自社の管理下に固定できる」という特性があります。社内ネットワークに閉じた運用にすれば外部から到達できる面を小さくでき、委託先や外部サービス側で起きる事故の影響を受けにくくなります。また、アクセス権限やログの管理を、自社のセキュリティポリシーやISMSの要求事項に合わせて自分たちで設計し、統制することができます。

「従業員の給与やマイナンバーを、自社の目の届く範囲で管理し続けたい」「どこに何があるかを自社で説明できる状態にしておきたい」と考える企業にとって、人事データを社外に出さないという選択は、十分に検討に値するものです。

人事・給与・マイナンバーを自社の管理下に置き続けるなら「ADPS（アドプス）」

「ADPS（アドプス）」は、人事・給与・就業の業務を統合的に管理するオンプレミス型の人事・労務管理システムです。カシオグループで培った人事業務のノウハウをもとに開発され、長年にわたり多くの企業にご利用いただいています。

人事データの所在を自社に固定する

ADPS（アドプス）は自社サーバーに構築するため、従業員の基本情報から給与、マイナンバーまで、人事データを社外に出さずに管理できます。データがどこにあるのかを自社で把握・説明でき、社内規程に沿った運用を自社の責任のもとで一貫して行える点は、委託先や外部サービス起因の漏洩リスクを意識する企業にとって大きな意味を持ちます。

職務に応じたアクセス制御と履歴管理

利用者ごとに閲覧・更新できる情報の範囲を設定でき、部門の管理職には担当範囲の情報だけを、給与情報は給与担当者だけが扱えるようにする、といった運用が可能です。操作の履歴を記録する仕組みと組み合わせることで、内部不正や不正閲覧の抑止、万が一の際の追跡性の確保につながります。

自社の制度・体制に合わせた運用

企業ごとに異なる給与体系や人事制度に合わせたカスタマイズ、既存の社内システムとの連携にも柔軟に対応します。導入時の要件定義から、運用後の保守・法改正対応まで、人事労務業務に精通したスタッフが支援することで、システムだけでなく運用面も含めた安全な人事データ管理を実現します。

まとめ

情報漏洩の原因は「外部攻撃」「内部不正・人的ミス」「委託先・外部サービス」の3つに分けて考えることで、自社がどこに手薄なのか、何を優先して対策すべきかが見えてきます。外部攻撃への防御、内部に向けたアクセス制御とログ管理、委託先の監督とデータの所在管理を、バランスよく整えていくことが大切です。

そのなかで、給与やマイナンバーといった特に機微な人事データについては、「社外に出さない」「自社の管理下に置き続ける」という選択肢があります。人事データの所在を自社に固定し、自社の統制のもとで運用したいとお考えの企業は、オンプレミス型の人事・労務管理システム「ADPS（アドプス）」をぜひご検討ください。