いちばん誤解されやすい点を先に置きます。悪意がなくても内部不正です。IPAのガイドラインは、背景の説明でこう書いています。

「早く終わらせたかった」「家でも続きをやろうと思った」——動機が善意でも、結果は同じです。だから対策も「悪い人を探す」形にはなりません。

対比は筆者による整理です。

第1章 おわり — 次は第2章

出典：IPA『情報セキュリティ10大脅威 2026』、『不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況』（2026年3月12日公表）表3-2、IPA『組織における内部不正防止ガイドライン 第5版』。

2行目に注目してください。不正アクセスの統計に、内部不正が混ざっています。「他人のIDを知り得る立場にあった」人による犯行が、検挙のなかに35件ありました。

そしてIPAのガイドラインは、背景として雇用の流動化を挙げています。

もう1つ、同ガイドラインは海外流出と経済安全保障にも触れています。海外拠点と共有した重要技術情報が流出し、その国の産業競争力強化に悪用される事例が多発しているという記述です。内部不正は、いまや個社の管理の話にとどまらなくなっています。

第2章 おわり — 次は第3章

IPAのガイドラインが土台にしているのは、情報セキュリティの理論ではありません。都市空間における犯罪予防の理論です。同ガイドラインは、犯罪学者 Cornish & Clarke（2003）の考え方を引いて、内部不正防止の基本5原則を示しています。

出典：IPA『組織における内部不正防止ガイドライン 第5版』2章。原典はCornish & Clarke（2003）の状況的犯罪予防理論。同ガイドライン付録Ⅵで、各原則をさらに5つに細分化した25分類が示されています。

この5つに「悪い人を見つける」は入っていません。すべて、状況を変える話です。

とくに5番目が、他の分野ではあまり見かけない発想です。「言い訳させない」——たとえば「持ち出していいとは思わなかった」「そんな規則があるとは知らなかった」という説明を、あらかじめ成り立たなくしておく。ルールの明示と、同意の記録がそれにあたります。

第3章 おわり — 次は第4章

同ガイドライン3-2は、関連する法律として個人情報保護法、不正競争防止法のほか、刑法（窃盗罪・横領罪・背任罪等）、民法、労働法、公益通報者保護法、労働者派遣法を挙げています。

最終行は大事です。不正を通報した人が不利益を受けない仕組みが別にあります。内部不正の対策を作るとき、通報者を萎縮させない設計にしないと、本当に必要な情報が上がってこなくなります。

第4章 おわり — 次は第5章

IPAのガイドラインは、対策を10の観点・33項目で示しています。

出典：IPA『組織における内部不正防止ガイドライン 第5版』4章。各項目は「対策の指針」「どのようなリスクがあるか」「対策のポイント」の3点で構成されています。

ガイドラインは「33項目を全部やれ」とは言っていません。リスクを許容できるなら対策しなくてもよい、と明記しています。

ただし、そのすぐあとに例外が置かれています。

この3つは、情報を守るためではなく、事故のあとに「悪いのは会社ではない」と示すために要る——そう書かれています。

右列は、同ガイドラインの各項目の「どのようなリスクがあるか」の記述を筆者が要約したものです。

第5章 おわり — 次は第6章

ガイドラインは、雇用終了に関して2つの項目を置いています。（23）雇用終了の際の人事手続きと（24）雇用終了及び契約終了による情報資産等の返却です。時系列に並べ直します。

出典：IPA『組織における内部不正防止ガイドライン 第5版』（23）（24）を、筆者が時系列に整理したもの。競業避止義務を設ける場合は職業選択の自由への配慮が必要である旨も同ガイドラインに記載があります。

1行目が効きます。ガイドラインは、退職時の締結が拒否される可能性を踏まえて、入社時・異動時・プロジェクト配属時にも結んでおくことを勧めています。退職を切り出された後では、交渉の立場が変わってしまうからです。

そして3行目。退職の意思表示から最終出社までの期間が、権限は全部あるのに動機だけが生まれている状態です。ここに手当てをしている組織は多くありません。

第6章 おわり — 次は第7章

実務上の一般的な整理です。報告義務の期限は個人情報保護法にもとづきますが、個別の判断は必ず法務・弁護士にご確認ください。

1番と2番が、外部からの攻撃のときと違う点です。相手が社内にいるため、調査を始めたこと自体が相手に伝わると、証拠が消えます。ガイドラインが「4-5. 原因究明と証拠確保」を独立した観点として置いているのは、このためです。

4番も見落とされます。二重恐喝の記事で扱った報告義務は、故意の内部不正による漏えいにも適用され、期限は60日以内です。社内調査を優先していると、この期限を過ぎます。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ