人事異動の季節、管理部門が注意すべき点：“迷探偵”ハギーのテクノロジー裏話（2/2 ページ）

[萩原栄幸，ITmedia]

　ここまでは、人事異動の季節に管理部門が注意すべき点として、まず「誓約書の強化」について解説した。それ以外ではどうだろうかというと、話は単純である。要するに、「人事異動が発表された」「その中に内部不正者がいた」というステージにおいて、管理部門の人がどうやってその犯人をあぶり出すかということである。「どういう人間を注視すべきか」ということを取り上げてみたい。

　ここも、あくまでサンプルとしてお伝えするが、筆者のコンサルタントの経験を踏まえたものである。

ケース1：Excelの自動計算書式の内容を、「異動なので」という理由で頻繁に変更している

　故意、過失に関わらず、かなり多いのがExcelのスプレッドシートだ。ここには、指定場所に数字を入力するだけで求める数字を結果として出してくれる専用のシートのことを指す。

　通常は、「○○を計算するのは大変なのでこのシートを使ってください。ココとココに数字を入力するだけで自動計算されます。とても便利で、時間の節約にもなり、正確な数字を求められます」と代々引き継がれている。その職場では必要不可欠な存在なので、社員は疑うことをしていない。

　実はこの手の内容をチェックすると、意外なほど計算式自体が違っている。制作者が善意のケースでは時間の経過とともに法体制が変化し、それがメンテナンスされていなかったということになるが。悪意なケースではこれらの数字を全て多め（もしくは少なめ）に計算させて、その差額を堂々と着服している。

ケース2：期末という理由以上に休日出勤、深夜残業、早朝残業が多い

　これも要注意である。なぜなら、今まで不正（着服や情報のコピー）をしていた痕跡の完全消去を試みている可能性がある。関連ファイルの消去や本番プログラムでの不正ルーチンのデリート、データベースでのコマンド消去など、多数の痕跡を消す作業に時間が追われ、本来の業務の引継作業が疎かになるケースも多くみられる。こういう人ほど、引継時に「詳細は異動後に質問してくれ。できる限り答える」などという。「今までの残業はいったいなんだったのか」と思えるほど、引継の資料も大した内容になっていないことが多いという特徴もみられる。

ケース3：業務の引き継ぎが「形」だけで、運用面で異動者のサポートが必要な場合

　これも要注意とされる。「職人気質」な方でもこういうケースがみられるが、不正者の場合には、これに加えて今までの作業を公開したがらないケースも危険だ。よく観察する必要があるだろう。また、過去のログから人物を特定し、複数システムでその挙動がつかめる場合は、その検索をお勧めしたい。

---

　こうした解説をしていると、良く質問されるのが、「裏作業は嫌です。人を信じないという前提で作業をするのは……」というものだ。しかし、それは大きな誤りである。99％の社員は精一杯働いている。ごく一部の不正者が、99％の社員の努力を台無しにしている。「信じていない」からチェックするのではなく、「信じている」からこそ、その信じる「熱意」を具現化し、確定したものにするためにチェックを行うのだ。

　よく「私はあなたを信じているから検査しない」と聞く。残念ながら、その結果として企業が倒産したり、傾いてしまったケースを目にしてきた。欧米にはそういう思考がない。「信じているからころ、私はあなたを検査する。その信じている行為が事実であることを確信するためだ」というのだ。管理部門の方々は、ぜひ胸を張って企業内の不正者に毅然とした対応をお願いしたい。

萩原栄幸

日本セキュリティ・マネジメント学会常任理事、「先端技術・情報犯罪とセキュリティ研究会」主査。社団法人コンピュータソフトウェア著作権協会技術顧問、CFE 公認不正検査士。旧通産省の情報処理技術者試験の最難関である「特種」に最年少（当時）で合格。2008年6月まで三菱東京UFJ銀行に勤務、実験室「テクノ巣」の責任者を務める。

組織内部犯罪やネット犯罪、コンプライアンス、情報セキュリティ、クラウド、スマホ、BYODなどをテーマに講演、執筆、コンサルティングと幅広く活躍中。「個人情報はこうして盗まれる」（KK ベストセラーズ）や「デジタル・フォレンジック辞典」（日科技連出版）など著書多数。