そこに拍車をかけているのが、生成AIの急速な普及だ。「生成AIサービスの利用状況を監視できないか、という相談がここ最近、急激に増えています」。ChatGPTやDeepSeekといった具体的な名前が、企業からの問い合わせで挙がるようになったという。
本人に悪意がなくとも、機密情報を含んだ資料を要約・翻訳させようとアップロードした瞬間、その情報は企業の管理が及ばない場所へと渡ってしまう。
野口氏は、さらに先の変化も指摘する。
「在宅勤務が増えたことで、スマートフォンで画面を撮影するといった、ログに残らない形で情報を持ち出すケースも、今後増えていくのではないか」
ある病院ではカルテを写真に撮られ、外部に持ち出された事例もあるといい、ログ監視だけでは捉えきれないリスクが今後さらに広がっていく可能性がある。
経営リスクとして、内部不正と向き合う
Tのように、転職を機に情報を持ち出そうとするいわゆる「手土産転職」は、近年たびたびニュースになっている。しかし現場の実感としては、あからさまな手土産転職はむしろ減っているという。
「そういう事案が起きると、いろんな企業が注目し始める。ログを取っている、監視サービスを使っている、と公開する企業も増えるので、『見られている』とわかっていて、あえて情報を持ち出そうとする人は少なくなっているのではないか」（野口氏）
組織の運用の隙をついた“静かな”不正のほうが、今は主流になりつつあるということだ。
内部脅威は、悪意によるものだけではない。エルテスは内部脅威を「悪意のある内部不正」「過失やミス」「外部攻撃によって侵害された正規アカウント」の3つに分類する。中でも件数として圧倒的に多いのは、悪意のない「過失」だという。
メールの誤送信やクラウドの設定ミスといった、本人にまったく自覚のないヒューマンエラーは、発生頻度が高く、事前の検知も再発防止も難しい、もっとも厄介な内部脅威だとエルテスは位置づけている。
「内部不正は経営上の重大なリスクです。まずはリスクとして認識し、従業員への教育やルール作りを進めることが重要です。特に生成AIは急速に発達しているため、利用ルールや教育はまだまだ不十分だと考えています。
1件の事故で、会社が傾きかねません。何かが起きてから対応するのではなく、有事の際に経営層がどう判断し、どう動くかを決めておくことが重要です」（野口氏）
サイバー攻撃に対してはインシデント対応訓練を実施する企業が増えているが、内部不正についても同様に、発生時の初動対応や意思決定の流れをあらかじめ整理しておくことが、被害を最小限に抑えるカギになるという。
しっかり考えるべきなのは「監視」の位置づけだ。ログを取得していること自体を公表しない企業がある一方で、「従業員を疑うためではなく、従業員や会社を守るためにログを取得している」と説明する企業もあるそうだ。目的を組織で共有し、納得感を持って運用することが、結果として不正の抑止力にもつながる。
冒頭のTのケースも、もしS田製作所が「見ている」ことを従業員に伝えていたら、そもそも起きなかった不正だったかもしれない。
内部不正を完全になくすことは、おそらくできない。しかし、働き方やIT環境が大きく変わり続けるなかで、その兆候を早期に捉え、組織として適切に対応できる体制を整えることはできる。「起きないこと」を前提にするのではなく、「起こり得る」という現実を直視することが重要だ。
