その日の午後2時、上長は会議のためにフロアを離れた。Tは周囲の目を気にしながら、社内のどの端末からアクセスしたかが個人単位では特定されにくい、オフィスの隅にある共用端末へと移動した。
14時02分 共用端末から、上長のIDでログイン。システムには「正規の権限を持つ上長が社内ネットワークからアクセスした」とだけ記録される。
14時05分 自分の端末に戻り、機密ファイル「制御アルゴリズム_coreモジュール.zip」の外部持ち出し申請を発行する。
14時06分 ふたたび共用端末を操作し、たった今自分が出した申請を、上長のアカウントで承認する。中身を確認した形跡はない。申請から承認まで、わずか60秒。
14時10分 自分の端末にダウンロードが完了する。Tは共用端末のブラウザ履歴を消し、何食わぬ顔で自席に戻った。
同僚は誰も気づかなかった。上長も、自分のIDが使われたことを知らない。Tにとってこれは、「自分の実績を守るために必要な小さな行動」にすぎなかった。
「情報が持ち出された」と気づいたのは半年後
そしてTは転職。半年以上も時が過ぎたある日、S田製作所の社員が競合企業のカタログに自社のものとよく似た制御アルゴリズムを見つけ、緊急経営会議が開かれた。“時すでに遅し”だ。S田製作所が数億円を投じて開発した独自アルゴリズムは競合に筒抜けとなり、市場優位性は奪われてしまった。
「情報を持ち出されても、その時点では気づけません。何かしら競合から似たようなサービスが出て気づく、営業先がことごとく被っていて気づく、といった形で、問題が表面化してから発覚することがほとんどです」
エルテスの内部脅威検知サービス「IRI（Internal Risk Intelligence）」でこうしたケースを日々分析している野口雄治氏（分析グループ）はそう語る。
IBMの調査によれば、対策サービスを導入していない企業の場合、情報流出の検知と被害拡大防止の対応にかかる平均時間はおよそ280日（漏洩の検知に207日、被害拡大防止に73日）。約9カ月にわたり、企業は自社の情報が漏れ続ける計算になる。
