数字で見る、内部起因の情報漏えい

2026年9月2日

中小企業の情報漏洩、原因の8割は内部から

セキュリティー

「情報漏洩」と聞くと、海外のハッカーによる高度な攻撃を思い浮かべるかもしれません。しかし公的な統計が示す現実は違います。事業者自身から起きた漏えいの約8割は、誤送付・誤交付・誤廃棄といった「内部のミス」。つまり、情報漏洩対策の主戦場は社外ではなく社内にあります。この記事では、最新の統計と、内部起因の漏えいを3タイプに分けた現実的な対策を解説します。

データが示す現実：漏えいは「内部のうっかり」から起きている

個人情報保護委員会がまとめた令和6年度の年次報告（2025年6月公表）によると、個人データの漏えい等報告は19,056件と過去最多を記録しました（前年度から約57％増）。そして注目すべきは原因の内訳です。報告した事業者自身から起きた漏えいのうち、「誤交付・誤送付・誤廃棄」が83.5％――宛先を間違えてメールや書類を送った、渡す相手を間違えた、廃棄したつもりの書類やデータが残っていた、という人のミスが約8割を占めているのです。

不正アクセスなどの外部攻撃が増えているのも事実で、特に委託先経由の漏えいでは不正アクセスが多数を占めます。外部攻撃への備えは「中小企業を狙うサイバー攻撃の最新動向（2026年版）」で解説しています。しかし、自社の手元から漏れる原因の大半は、攻撃ではなく内部のミス。ここを放置して高価なセキュリティ製品だけ入れても、漏えいは止まりません。

「内部からの漏えい」はひとくくりにできません。3つのタイプに分かれます。①うっかり型：誤送信・誤交付・紛失など、悪意のないミス（最多）。②ルール逸脱型：便利だからと私物USBや無許可のクラウドを使ってしまう「悪意なき違反」。③悪意型：持ち出し・不正利用など意図的な行為（件数は少ないが被害は最大級）。タイプによって効く対策が違うので、分けて考えることが出発点です。

図1：漏えい等報告は過去最多。報告者自身からの漏えいの約8割は人的ミス（個人情報保護委員会令和6年度年次報告より）

なぜ中小企業で「内部からの漏えい」が起きやすいのか

内部起因の漏えいは企業規模を問わず起きますが、中小企業には起きやすくなる事情があります。

1つめは、兼任とチェック体制の薄さ。総務や経理がIT担当を兼ね、送付や廃棄の作業を1人で完結させている会社では、ミスに気づく「2人目の目」がありません。ダブルチェックの仕組みは、人手の少ない会社ほど意識して作る必要があります。

2つめは、ルールの形骸化。ルールはあるのに守られていない、あるいは実態に合っていない状態は、ルール逸脱型の温床になります。「便利な無料ツールを勝手に使う」「私物USBでデータを持ち運ぶ」が常態化していれば、漏えいは時間の問題です。守られるルールの作り方は「社員のIT利用ルール、守ってもらえるルールの作り方」で、把握されていないツール利用の問題は「シャドーITとは？知らないうちに増える業務利用ツールの管理」で解説しています。

3つめは、人の出入りに管理が追いつかないこと。退職者のアカウントや共有パスワードが残ったままなら、意図的な持ち出しの入口になります。実際、営業秘密の漏えいルートとしては中途退職者による持ち出しが最も多いと報告されてきました。対策は「退職者のアカウント管理、見落としがちな5つのチェック項目」にまとめています。

3タイプ別・現実的な対策

図2：うっかり型は仕組みで、逸脱型はルールで、悪意型は権限と記録で防ぐ

うっかり型（最多）――「注意」ではなく「仕組み」で防ぐ

約8割を占めるうっかり型への対策は、「人は必ずミスをする」前提で仕組みを作ることに尽きます。メールの宛先確認や添付チェックの自動化、重要な送付・廃棄のダブルチェック、送信を数分保留にする設定。メール添付にまつわる事故の防ぎ方は「メール添付ファイルが原因の事故、防ぐための3つの工夫」で詳しく解説しています。「気をつけましょう」という呼びかけだけの対策は、統計が示すとおり、ほぼ機能しません。

ルール逸脱型――「守れるルール」に作り直す

私物USBの利用や無許可ツールの持ち込みは、多くの場合「業務を回すため」に起きます。禁止だけでは抜け道を探されるので、代替手段をセットで用意するのが原則です。持ち出し媒体の管理は「USB持ち出し対策、中小企業ができる5つの方法」を参考にしてください。

悪意型（少数だが被害大）――「できない・記録が残る」状態を作る

IPAの「情報セキュリティ10大脅威2026」でも「内部不正による情報漏えい等」は7位に入っています。悪意型には、アクセス権限を業務に必要な最小限に絞る、退職時の処理を確実に行う、操作の記録（ログ）を残してその存在を社内に周知することが効きます。記録が残ると知っていること自体が、最大の抑止力になるからです。なお、ログの確認などモニタリングを行う場合は、目的を規程に定めて社員に明示するのが法令上の前提です。

内部からの漏えい対策とは、社員を疑うことではなく、
「ミスしても、魔が差しても、漏れない仕組み」を会社が用意することです。

まとめ：主戦場は社内にある

個人情報保護委員会の令和6年度年次報告では、漏えい等報告が19,056件と過去最多。報告者自身からの漏えいの83.5％が誤交付・誤送付・誤廃棄＝約8割が内部の人的ミス
内部起因は「うっかり型・ルール逸脱型・悪意型」の3タイプ。タイプごとに効く対策が違う
うっかり型は仕組み（自動チェック・ダブルチェック）で、逸脱型は守れるルールと代替手段で、悪意型は最小権限と記録で防ぐ
中小企業は兼任・チェック体制の薄さ・人の出入りが弱点になりやすい
3タイプ共通の土台は「どこに情報・機器・アカウントがあるか」の把握

どのタイプの対策も、出発点は同じです。自社のどこに情報があり、誰がどの機器とアカウントで扱っているのか――これが見えていなければ、仕組みもルールも権限も設計できません。

内部からの漏えい対策は、まず社内の見える化から始めましょう。

参考（公式情報）

個人情報保護委員会令和6年度年次報告（漏えい等報告の状況）↗ IPA組織における内部不正防止ガイドライン↗ IPA情報セキュリティ10大脅威 2026↗ IPA中小企業の情報セキュリティ対策ガイドライン（第4.0版）↗

※統計の数値は年度ごとに更新されます。最新の情報は各公式サイトでご確認ください。