SNSからの情報漏洩防止及び発生後の対応

1. SNSの利用とリスク
2. SNSからの情報漏洩対策
3. SNSから情報漏洩が発生した際の対応

SNSは企業活動において、情報発信やブランド価値向上のための重要なツールとなる一方、使い方を誤れば重大な情報漏洩リスクを引き起こす要因ともなり得ます。昨今では、従業員による何気ない投稿や認識不足がきっかけとなり、企業の信用や取引関係に深刻な影響を与える事例もあります。これは主にSNSの活用などにみられる若者の情報共有や情報拡散の文化によるもので、デジタル世代との格差を認識することもあります。
今回は、企業として知っておく必要があるSNSからの情報漏洩についての実態や対策について考えてみたいと思います。

1. SNSの利用とリスク

SNSのリスクと聞いて真っ先に思いつくものに、バイトテロなどに代表される不適切投稿があり、既にいくつもの事例があるにも関わらず未だ後を絶ちません。また、個人アカウントで自分が勤める企業に関わる情報を投稿している内容を目にすることも多々あります。このようなSNSの利用実態を知り、その上で企業としてそこに潜むリスクを理解し、対策を行う必要があります。

SNSの種類

「SNS」としてまとめられていますが、投稿できるプラットフォームは多数あり、Ｘ（旧Twitter）、Instagram、TikTok、YouTubeなど様々な発信手段があります。投稿できる内容も文書、画像、動画、音楽など様々なコンテンツによる発信が可能です。また、機能やサービス内容の拡張、新たなサービスの台頭など、日々進化していると言えます。

SNSの変化

今人気を集めているSNSの代表的なものに「BeReal」というものがあります。このアプリを利用すると、1日1回ランダムな時間に通知が配信され、通知から2分以内だけ投稿が可能となります。つまり、準備することなく、通知を受け取ったその場ですぐに投稿するしか投稿手段がないということです。このルールにより、飾らないリアルな日常の投稿を共有することが、このアプリのコンセプトとなっており、偶然美しい写真などが撮影できると多くの人から称賛されたりします。このゲーム感覚のような要素が若者を中心に大人気となっており、授業中や就業中に投稿する問題なども指摘されています。
このBeRealに限らず、敷居が低くなった動画投稿やAIを活用したサービスなど、今後更に様々なSNSサービスが生まれてくることも予想され、SNSは多様化が始まっています。

SNSの情報漏洩リスク

SNSに掲載される情報が良くも悪くも注目を集めた際、その画像から場所が特定されることや、複数のSNS情報を組み合わせる「モザイクアプローチ」と呼ばれる方法などで、個人が特定されることも少なくありません。また、「デジタルタトゥー」と呼ばれるように、一度投稿した内容は例え投稿を削除しても保存され拡散され、半永久的に残る可能性があります。
こういったSNSの情報から個人情報やアカウント情報が漏洩し、犯罪に巻き込まれることや、ネットワークへの侵入などに繋がっていきます。

不適切投稿はニュースなどにもなり、リスクの認識が比較的浸透していますが、実際には「昼休み中～」などのたわいもない投稿に写り込む社内PCや「残業確定！」という投稿で組織や業務に関する内容が書き込まれるなど、些細な投稿が情報漏洩のきっかけとなっていることもあります。研究施設などを除き、就業中のスマホを完全に規制する対策は難しく、リモートワークなどでBYOD（個人所有のスマホやPCを業務に使用する形態）を採用している場合の規制や、就業時間外の個人投稿を規制することは不可能なため、規制だけではなく抑制する対策を検討しなければなりません。

2. SNSからの情報漏洩対策

特に若い人にとって、SNSは常日頃使用するコミュニケーションツールとして定着しており、スマホ利用を規制するのは難しいと思われます。そこで重要となるのが、規則や教育による抑制と採用時の人物把握などです。

規則の制定

SNSを通じた情報漏洩を防止するためには、就業時間内のSNSの利用やスマホの利用、企業に関わる情報の発信についてなどの明確かつ実効性のあるポリシーやガイドラインを制定する必要があります。原則として必要となる規則の他、様々なプラットフォームやコンテンツ、新たなサービスなどにも対応する必要があるため、定期的な見直しや、若い世代の意見や考え方を取り入れるなどの工夫も必要となります。

教育の実施

規則を実効性のあるものとするためには、従業員に対する継続的な教育が不可欠です。悪意ではなく「問題ないと思った投稿」や「軽率な判断」によって発生する可能性もあるため、写真への写り込みや会社、上司に関する愚痴を書き込むことで会社の内情を推察されてしまうリスクなど、リスクの認識を徹底する必要があります。経営層からアルバイトに至るまで、従業員すべてにリスク意識を持ってもらうことが大切です。
また、若い世代に対応した教育も必要です。特に新入社員などは、入社前に教育を行っておかないと、入社直後にアクシデントを発生させてしまう可能性もあります。過去の事例では裏アカウントやフォロワー内限定の投稿など、「バレない」という思い込みでの軽率な投稿から問題が発生しているケースも多く、そういった点も考慮する必要があります。

体制の整備

組織的な管理体制の整備も重要です。企業アカウントのSNS投稿については、複数人でのチェックや監視体制など、専用のツールや手法もあります。他にもトラブルをいち早く察知するための連絡窓口の設置、トラブル発生時の対応を行う組織に加え、定期的に自社に関して発信されている情報のチェックやSNSの現状を把握するための情報収集が行える体制などが有効と考えられます。

採用時の注意

人材採用時に人物像を把握する際に、SNSの利用状況や考え方などを確認しておくことも一つの手法です。SNSへの依存度などの他、SNSに限らずモラルなどの把握にも有効かも知れません。また、企業における情報セキュリティやSNSの利用に関する考え方や規則、制限などについては、雇用契約前に説明しておく方がよいでしょう。

その他

企業アカウントについてはシステム的な対策が行えますが、各人の個人アカウントまで企業で管理することは不可能です。しかし、個人アカウントから情報漏洩が発生することを考慮した対策は必要です。社内情報に関する内容の発信を禁ずることは元より、個人アカウントと同じパスワードを社内アカウントで使用しないようすることや、個人アカウントについても2段階認証を有効にするよう呼び掛けるなど、可能な範囲で要請するような対策は検討できると思われます。

3. SNSから情報漏洩が発生した際の対応

初動対応

SNSを通じて企業の情報漏洩が発覚した場合、迅速かつ冷静な初動対応が極めて重要です。SNSのブロックや投稿削除、謝罪文の発信、無視するなどの対応が考えられますが、状況によって適切な対応は異なります。その為、事実関係の把握を最優先とし、漏洩した情報の内容、公開範囲、拡散状況を速やかに確認することが必要です。
また、SNSの初動対応では、対応スピードが非常に重要なことが多く、遅れることで炎上することも多々あるので、問題が発覚した際には即時対応を行える体制構築をしておくことが必須です。
企業アカウントに限らず、社員の個人アカウントで問題が発生した場合にも備えて、問題発覚時の会社への報告や、個人アカウントでの初動対応などについての教育を行っておくこともリスク対策として有効です。

原因分析

初動対応が一定程度完了した後、情報漏洩の原因分析を行うことは非常に大切です。SNS経由の情報漏洩は、従業員による不適切な投稿や、業務用端末の管理不備、私物端末の利用、あるいは情報管理ルールの理解不足など、人的要因に起因するケースが多いことから、問題を発生させた本人や関係者に動機や経緯のヒアリングを行う他、再発防止の観点でセキュリティ面での不備や影響範囲など詳しく確認する必要があります。
このことは、規則や教育、採用工程の見直しなどにも反映できるよう、それぞれを把握する人員や外部の専門家を含めた構成による組織的な原因分析を行うとより効果的と言えます。

事後の対応

謝罪や被害者への損害補填などの被害者への対応、警察や弁護士への相談、被害届の提出など、加害者への対応、対象者の保護や処分など、問題の原因となった人員への対応をそれぞれ行う必要がありますが、いずれも誠意ある対応を行うことが前提で、社会的な対応を踏まえて、公式に謝罪するなどの明確な対応を行う必要があります。また、炎上してしまった場合は、2次災害を起こさず沈静化するために弁護士や外部に依頼する検討も必要です。

このように、SNSでの問題は企業のシステムや監視の管轄外となる個人が原因となることが多く、SNSの普及と多様化により今後増加することも予想されます。これらの問題は、個人のモラルや知識、資質に依存することも多く、防止策として、規則や教育の徹底の他、採用時の選考なども含めて考える必要があると思われます。
また、発生してしまった場合の個人の保護対策や保護方針、損害賠償等による損失補填が期待できないことを前提とした保険への加入など、個人を想定したリスク対策というものを考えなければならないのではないでしょうか。

株式会社TMRでは、業歴４３年のもと、培われた豊富な人材と多岐に渡るノウハウをもってリスクマネジメント体制の構築支援を行っています。組織体制の最適化支援や内部通報制度、従業員研修による意識改革などの不祥事予防だけでなく、不正疑義社員の行動検証、採用前の適正調査、採用した人員の個人信用調査のご依頼を承っている実績も多数あり、多岐にわたる問題解決で得た豊富な実績を元に効果的な支援を行っています。