最新セキュリティマネジメント（第26回）「不正のトライアングル」の観点で内部不正を防ぐ

　独立行政法人情報処理推進機構（以下、IPA）では、2023年5月31日に「情報セキュリティ10大脅威 2023」解説書に個人編とコラムを追加し、再編集した解説書の改訂版を発表した。目に留まったのが「内部不正、あなたの組織は大丈夫？」というコラムだ。そこでは内部不正を防ぐために「不正のトライアングル」を考える必要があるとされている。どんなことをさしていて、どう役立てればよいのだろうか。

適切な対策を講じるには不正の原因の理解が不可欠

　情報セキュリティを考える上で、内部不正に対する対策は重要だ。IPAの「情報セキュリティ10大脅威2023」でも内部不正は組織編の第4位に挙げられている。テレワークなど不正が行われやすい環境が広がっていることもあり、昨年の第5位からランクアップしている。

　内部不正の具体的な行為としては、重要情報や情報システムなどの情報資産の窃取、持ち出し、漏えい、消去・破壊などが考えられる。実際に起きてしまうと、情報システムが使えなくなったり、情報が外部に流出したりして被害が発生する。個人情報の流出は損害賠償の発生や社会的信用の失墜など、大きなトラブルにつながるケースが増えている。

　多くの業務がITを駆使して処理されている今は、さまざまな従業員が情報システムにアクセスできるようになっている。それだけに内部不正が発生するリスクは増大し、さらにテレワークのような働き方も新たなリスクを生み出している。企業としてはこの事実を正面から受け止め、内部不正を防ぐための対策を講じる必要がある。

　しかし、業務効率化のためにITの利用を促す以上、過剰な対策を講じればITの利便性を阻害することにもなりかねない。こうしたジレンマを回避するには、内部不正の原因を正しく理解し、対策を講じていく必要がある。そのヒントとしてIPAのコラムでは「不正のトライアングル」が紹介されている。

　不正のトライアングルとは、アメリカの犯罪学者であり、社会学者であるドナルド・レイ・クレッシーが犯罪調査から不正の原因として導き出した3つの要素、「機会」「動機」「正当化」を指す。人間はこれら3つの要素がそろった時に不正を働く場合が多い。

　「情報セキュリティ10大脅威2023」のコラムではこの3つの要素をベースに、内部不正が発生する原因と基本対策が解説されている。情報セキュリティの観点から3つの要素をどう捉えていけばよいのだろうか。

情報セキュリティの観点から3つの要素を把握する…