個人情報保護法

企業には、従業員の履歴書や給与情報などの個人情報はもちろん、顧客や取引先などの個人情報が多く存在します。氏名や性別、生年月日、住所、マイナンバーなどの情報は、顧客や取引先へのサービス向上や業務効率化、そして従業員の適切な管理などを推進する上で重要な情報ですが、一方で個人を特定できてしまうプライバシーに関わる機密性の高い情報でもあります。

そこで、こうした情報の有用性に配慮しながら、個人のプライバシーを守るために、2003年（平成15年）5月に個人情報保護法が制定され、2005年（平成17年）4月から全面施行されました。その後も何度か改正が行われ、最も新しいものでは令和2年に改正され、令和4年から施行されているものがあります。

万が一企業が従業員や顧客、取引先に関係する個人情報を流出させてしまうと、社会的な信用を失うだけでなく、損害賠償に加えて顧客や取引先からの契約解除など経営的にも大きな損失をもたらすことになります。

さらに、令和4年から施行されている改正個人情報保護法では、個人情報を扱う企業が守るべき責務や罰則も追加されました。このため、企業は個人情報の流出や漏えいのリスクを軽減させるために、さらなるセキュリティ対策の強化が求められています。

サイバー犯罪の増加

前述の個人情報保護法によって企業が取るべきセキュリティ対策が強化された一方で、近年、日本では社内ネットワークなどに外部から不正にアクセスして従業員や顧客の個人情報や未発表の製品情報などの機密情報を窃取するサイバー犯罪が増加※しています。こういった犯罪は、企業にとって大きな損失になりえるため、十分な対策が必要です。
※出典：令和4年版 犯罪白書

資産の可視化し、課題と対策を把握する

はじめに、セキュリティ対策の対象となるオフィスの資産を「物理的な対策が必要な資産」と「ITなどの技術的な対策が必要な資産」の2つに分けて洗い出し、見える化することが重要です。 自社に適したオフィスセキュリティ対策を行うためには、有形無形問わず自社の資産がどこに保管されているのか、誰が管理しているのかなどを把握し、資産の状態や課題を明確にする必要があります。例えば、以下のような資産が考えられます。

特に情報資産は物理的に把握しにくいため、管理責任者や管理方法をきちんと確認することが重要です。資産を洗い出したら、次に資産管理する上で見つかった課題について適切な対策を講じることができます。

例えば、「重要書類が保管されている部屋への入退室の記録がなく、何かあったときに確認ができない」というのであれば、「入退室管理システムを導入し、記録をとる」「防犯カメラを設置する」などの対策が考えられます。

従業員に対するセキュリティ教育を行い、意識向上を図る

高度なセキュリティ対策を行っても、従業員のセキュリティに対しての意識が低いと正しく運用できないため、従業員への継続的な情報セキュリティ教育も重要になります。

例えば、情報漏えいや情報流出などの主な原因は、従業員のパソコンの紛失やデータの誤削除、メールなどの誤送信、大事な書類の置き忘れなどの管理不足によって発生します。

こうした人的ミスを防ぐには、従業員の情報セキュリティに対する基準を定めた情報の管理ルールや運用方法のマニュアルの策定に加え、社内でセミナー／研修などを行い従業員の意識を向上させることがセキュリティ対策の効果を高めることに繋がります。

適切なゾーニングを実施する

ゾーニングとは、オフィスをゾーン（エリア）ごとに分けて、セキュリティ対策を行うことです。 オフィスには用途によってさまざまなゾーンが存在します。例えば、応接室や社外の人と打ち合わせをするための会議室、エントランスなど外部の人も入れるゾーン、従業員が働くワークスペースなどのゾーン、機密情報が多く保管されているサーバールームや書類の保管室などのゾーンです。

これらすべてに異なるセキュリティレベルが必要で、守るべき企業資産に合わせて、強固なセキュリティ対策を必要とするエリア、比較的緩やかなセキュリティ対策で十分なエリアをそれぞれ把握し、適切な対策を取ることで、不正な侵入などによる情報の漏えいや流出のリスクを低減することができます。

入退室管理システムの導入

入退室管理システムは、「いつ」「誰が」「どこに」入室・退室したか、「誰に」「どの部屋の」入室を許可するかなどを管理・記録するシステムのことです。

各ゾーンごとに設置し、従業員や来客者への権限を設定することで、入退室権限を与えられた人しか入室できないため、空間セキュリティ対策として効果的です。

防犯カメラの設置

防犯カメラは幅広く導入されている空間セキュリティ対策であり、前述のように入退室管理システムと組み合わせて使うのもおすすめです。防犯カメラを設置しておけば、不審者の侵入や社員の不正行為などのトラブルが起こった際に経緯を把握しやすく、迅速な対処ができます。

また、防犯カメラを設置するだけで、外部から侵入しようとする不審者への抑止力にもなるでしょう。従業員の業務エリアに設置すれば、内部で起こる機密情報や社外秘情報の持ち出しなどの不正を把握したり、抑止力になったりします。何か問題があった場合も証拠としてデータが残るので安心です。

収納セキュリティの強化

金庫や鍵付きのキャビネットなど、収納自体のセキュリティを高めるのもセキュリティ強化につながります。特に紙媒体の重要な書類などを保管しておくためには、部屋の入口に入退室管理システムを導入した上で、さらに金庫や鍵付きキャビネットに保管しておくことで、二重の空間セキュリティ対策になるため安心です。

サーバーや社内ネットワークへの不正アクセスを防ぐ

不正アクセスを防ぐためには、主に以下の3つの方法があります。

ソフトウェアやOSでは、セキュリティの脆弱性などに対処するための定期的なアップデートが提供されます。そのため、最新のバージョンに更新するだけでもセキュリティ対策になりえます。

また、使用していないサービスは可能な限り停止／削除しておくことで、脆弱性を抱えるなどのリスクを低減できるため、第三者によるセキュリティホール（セキュリティ上の脆弱性）を狙った不正な攻撃を抑止できます。

近年では、リモートワークなどの普及によって社外に社用パソコンを持ち歩きオフィス以外の環境で業務することが増えています。

このような業務環境では、アプリやソフトウェアなどのIDやパスワード、社内データを盗み見られたり、不正な方法で窃取されて攻撃されることもあるため、IDやパスワードの管理には、覗き見防止フィルターをつけたり、セキュリティ対策が不十分なフリーWi-Fiに接続しないなど細心の注意を払うことが大切です。