IPA「組織における内部不正防止ガイドライン」の要点総まとめ｜退職者対策・特権ID管理・過去問解説
IPAが公開している「組織における内部不正防止ガイドライン」は、情報セキュリティマネジメント試験（SG）の科目A・科目Bおよび情報処理安全確保支援士（SC）の午前・午後問題における「正解の公式な根拠（出題基準）」として極めて高い頻度で引用・参照されています。
特に「退職者による機密情報持ち出し」「特権IDの私的利用」「私用端末（シャドーIT）の不正利用」に関する対策は、試験でそのまま記述・選択肢となる重要論点です。
1. 内部不正対策の5つの基本原則
ガイドラインでは、不正行為の心理的ハードルを上げるための5大原則が定められています。
基本原則 | 対策の狙い | 代表的な具体的対策 |
|---|---|---|
① 犯行を難しくする (機会の低減) | 物理的・論理的に不正ができない環境をつくる | 最小権限の原則、職務分掌（申請者と承認者の分離）、USB媒体利用制限 |
② 捕まるリスクを高める (発見の強化) | 「見られている」という抑止効果を働かせる | 操作ログ・アクセスログの定期監査、監視カメラ、PC画面録画 |
③ 犯行による見返りを減らす (利益の低減) | 持ち出しても使えない状態にする | IRM（ファイル暗号化・権限管理）、個人情報マスキング、透かし印刷 |
④ 犯行への誘因を減らす (動機の低減) | 不満や不正の動機を生まない職場環境をつくる | 適切な人事評価、過重労働の防止、コンプライアンス相談窓口の設置 |
⑤ 犯行の言い訳をさせない (正当化の防止) | 「知らなかった」「みんなやっている」を排除する | 秘密保持誓約書の締結、セキュリティ教育、利用規程の明確化 |
2. 試験で最も問われる「退職者対策」のチェックリスト
- 退職確定時のアクセス権限見直し: 退職が決まった役職員に対しては、業務上不要となった重要システムやファイルサーバへのアクセス権限を即時に縮小・剥奪する。
- 退職日当日（または退職直後）のアカウント停止: 退職日当日の退社時刻をもって、社内システム、VPN、SaaS等の全アカウントを確実に無効化（または削除）する。人事情報とID管理システムの自動連携が推奨されます。
- 私有物・貸与品の返却と確認: 会社貸与のPC・スマートフォン・社員証・入退室カードの返却、私物端末・個人クラウドストレージに残存する業務データの完全消去の確認。
- 秘密保持誓約書（NDA）の再確認: 入社時だけでなく、退職時にも改めて営業秘密の保持に関する誓約書に署名捺印させる。
3. 過去問演習で押さえるべきポイント
【典型的な出題パターン】 「退職する従業員による不正を防ぐための対策のうち、IPA組織における内部不正防止ガイドラインに照らして適切なものはどれか」 👉 正解のポイント: 「退職が決まった従業員に対して、直ちに権限の見直しを行い、退職日をもってアカウントを無効化すること」「退職時に秘密保持誓約書を改めて提出させること」
この記事に関連する教科書用語
おすすめの関連記事
編集・検証について
編集・検証：IT資格ラボ編集部
IPAが公開する試験要綱・シラバス・過去問題と、各技術の公式資料を優先して内容を確認しています。制度変更や誤りを確認した場合は、記事を見直して更新します。
編集方針・情報源・訂正方針を見る