旭化成・元社員「情報漏えい」で逮捕 「PC返却」で安心する企業が陥る“時間差流出”の罠（2/5 ページ）

[大杉春子，ITmedia]

ルールはあったが……それだけでは評価できない

　旭化成は、技術情報の流出を経営上のリスクとして認識していました。

　現在の同社のリスクマネジメント開示には「技術情報流出リスク」が明記され、技術情報の管理ルール、グループ全体のモニタリング、従業員への啓発、システムによる機密情報監視の強化を掲げています。（2026年3月期の有価証券報告書参照）

　もちろん、今回問題となっている行為は過去のものです。現在の管理体制を見て、当時の管理が十分だったかどうかを判断することはできません。

　むしろ重要なのは「ルールがあるか」だけでは、技術流出対策を評価できないことです。

　逮捕当日の公表にも注目したいところがあります。旭化成は、流出した機密情報に「取引先から預かった技術資料」と「個人情報」は含まれていないと説明しました。

　そして再発防止策を「教育を徹底します」で終わらせることなく、機密情報の特定と区分、新たなITツール、アクセス権限の見直し、退職予定者に関する誓約書や貸与PC管理などを具体的に挙げています。元社員と中国企業に対し、情報の利用停止や廃棄などを求める民事訴訟を起こす方針も明らかにしました。

　危機時に企業が恐れるあまり情報を曖昧（あいまい）にするより「分かったこと」と「まだ分からないこと」を分けて出す。旭化成の公表から、その重要性が再確認できます。

旭化成のリスクマネジメント開示には「技術情報流出リスク」が明記された（EDINETのWebサイトより）

積水化学事件とは何が違うのか

　似た事件として思い出すのが、積水化学工業の元社員による技術情報流出事件です。

　中国企業側との接触を経て、在職中に技術情報を持ち出して提供したとして刑事責任を問われ、2021年には大阪地裁で有罪判決が出ています。

　一方、旭化成の今回の事件では、同社の発表によれば、在職中に持ち出された機密情報が退職後に中国企業へ流出したとされています。

　つまり、従来のセキュリティ対策のように「現役社員にUSBを使わせない」「社外メールを監視する」といった在職中の行動監視だけでは、退職後に発生する時間差の流出リスクは防ぎきれないということです。社員が辞めるとき、その人が何を知り、何にアクセスでき、何を持っている可能性があるか。そこまで情報管理の一部として組み込む必要があります。

　経済産業省も2026年4月に「技術流出対策ガイダンス第2版」を公表しています。技術流出は、情報システム部門だけの問題ではなく、経済安全保障や企業経営の問題として扱われるようになっています。

社員が辞めるとき、その人が何を知り、何にアクセスでき、何を持っている可能性があるかまで確認する必要がある（写真提供：ゲッティイメージズ）