旭化成・元社員「情報漏えい」で逮捕 「PC返却」で安心する企業が陥る“時間差流出”の罠（3/5 ページ）

[大杉春子，ITmedia]

自社に当てはめるなら、見るべきは3つ

　では、自社ではどこを確かめればいいのでしょうか。私なら、3つに絞ります。

　1つ目は「何を守るか」を情報の側から決めているか。

　製法、配合、条件表、設備の設定値、顧客とのやりとり。そして案外忘れやすいのが、失敗の記録です。自社では「うまくいかなかった実験」に見えても、競合にとっては同じ試行錯誤を避けるための手掛かりになるかもしれません。

　情報を「誰が持っているか」ではなく、「その情報にどんな価値があるか」から見直します。その上で、本当に仕事に必要な人だけが見られる状態になっているか。「部長だから」「研究責任者だから」と、担当を離れた後まで昔の情報にアクセスできる状態が残っていないか。人に合わせて扉を開けるのではなく、情報に合わせて鍵を配る発想です。

　2つ目は「出口」と「退職時」をつなげて把握しているか。

　USB。印刷。個人メール。クラウドストレージ。スマートフォンでの撮影──。情報の出口は一つではありません。

　さらに、退職時に「会社のPCを返しました」だけで手続きを終えていないか。「会社のものを返した」と「会社の情報が手元に残っていない」は別問題です。退職時には、貸与物、アクセス権限、保有データ、守秘義務を一つの手続きとして確認する。退職までの確認の解像度を広げる必要があります。

　旭化成自身も今回の再発防止策として、退職予定者に関する誓約書や貸与PCなどの管理を挙げています。

　3つ目は「あとで説明できる管理」になっているか。

　不正競争防止法上の「営業秘密」として保護されるには、経産省が示す「秘密管理性」「有用性」「非公知性」の3要件を満たす必要があります。

　つまり、会社の中で「これは大事な情報だから秘密です」とするだけでは十分とは限りません。秘密表示、アクセス権限、誓約書、研修、アクセスログなどは、個々に一律の法律上の必須条件だという意味ではありません。

　大事なのは、自社がその情報をどのように秘密として扱っていたのかを、後から説明できる状態にしておくことです。漏らさないための管理と、漏れた後に説明するための管理を、別々にしない。ここがポイントです。