従業員が盗む可能性のあるデータとその理由

多くの企業にとって、データは競合他社に対する優位性をもたらす生命線です。顧客データベースからマーケティング戦略に至るまで、企業はデータを活用して顧客を見つけ、サービスを提供し、関係を育むために多大な投資を行っています。

クラウド技術の登場により、データを統合して実務に活用することがかつてないほど容易になりました。しかし同時に、従業員による情報窃取をはじめとする新たなリスクも生まれています。なぜ自社の従業員が情報を盗むのでしょうか?そして、彼らはどのようなデータを狙うのでしょうか?

従業員がデータを盗む理由

自分のチームメンバーが会社のデータを盗む可能性があるとは誰も考えたくありませんが、実際には思っているよりも蔓延しています。ここでは、主な理由をいくつか紹介します。

産業スパイ(コーポレート・エスピオナージ)

クラウド技術の普及により、産業スパイ行為はかつてないほど一般的になっています。IBMの「2020 Cost of Insider Threats: Global Report」によると、内部者による脅威は2016年以降3倍に増加し、平均総損失額は1,145万ドルに達しています。

204の組織から報告された4,716件のインシデントのうち、23.4%が悪意ある内部犯によるもので、年間損失額は408万ドルに上りました。

競合他社による引き抜き

一方で、データを盗むつもりはなかったのに、在職期間の終わりに近づくにつれて結果的に持ち出してしまうケースもあります。競合他社が従業員を引き抜くのは、その専門知識だけが目的ではありません。

一部の企業は、候補者がアクセスできる情報を利用するために、競合他社から人材を採用することもあります。自分の価値を高めようとする従業員の中には、次の雇用主にとって役立つかもしれないと考えて、文書を持ち出す人もいるのです。

独立・起業のため

近年、会社を立ち上げることはかつてないほど簡単になりました。しかし、それが簡単に感じられる理由の一つは、完全にゼロから始めているわけではないからです。

同じ業界での起業を目指す元従業員は、貴重な顧客データを盗む可能性があります。これには、会社が多大な時間と労力をかけて構築してきた顧客プロファイルや業務プロセスなどが含まれることがあります。

個人的な恨み

場合によっては、悪い形で退職した従業員が、雇用主を恥さらしにするためにデータを盗むこともあります。これは、プライバシーと機密保持をビジネスモデルの核としている企業で特によく発生します。

2017年、CBSニュースは、ビバリーヒルズの美容整形クリニックの不満を持つスタッフが、15,000件以上の患者記録をソーシャルメディア上に公開したと報じました。これらの記録には、著名なクライアントの病歴や連絡先などの情報が含まれていました。

従業員が盗むデータの一般的な種類

売却、利用、共有のいずれが目的であれ、従業員が盗むデータには以下のような典型的な種類があります。

共同編集ドキュメント

多くのチームがDropboxやGoogleドライブなどの共同作業ツールへ移行していますが、これらのツールはデータを外部にダウンロードして共有するためにも使われます。共同編集ドキュメントとしてよく盗まれるデータには、プレゼンテーション資料、契約書、キービジュアルなどがあります。

一見すると、PowerPointファイルが盗まれた程度では警報は鳴らないかもしれませんが、盗まれた共同編集ドキュメントは複数の面で企業に深刻な影響を及ぼしかねません。

こうしたドキュメントには、市場調査、キャンペーン戦略、スケジュールなどの重要情報が含まれていることがあります。この情報により、競合他社は自社の計画を察知し、対策を講じたり模倣したりすることが可能になってしまいます。

顧客データベース

顧客との関係構築を使命とする企業にとって、顧客プロファイルは非常に重要です。顧客データベースの漏洩は、苦労して築き上げたリストが流出するだけでなく、顧客のプライバシーをも危険に晒します。

2018年には、配車サービス大手Lyftの従業員が顧客の機密情報にアクセスしていたと噂されました。盗まれたとされるデータには、セレブやポルノスター、元恋人などの連絡先が含まれていたといいます。

企業の性質によっては、顧客データベースの漏洩により、氏名、住所、電話番号、クレジットカード情報などの詳細が明らかになる可能性があります。

正確で最新の情報を含む大規模な顧客データベースは、金銭的利益のために競合他社やデータブローカーに売却されることが少なくありません。場合によっては、盗まれた顧客データベースが守秘義務契約などの契約内容にも違反することになります。

研究開発(R&D)情報

トップの座に留まり続けるためには、研究開発が大きな差を生みます。多くの企業が、一歩先を行くための最良の方法を見つけることに投資しているのは周知の事実です。しかし、退職予定の従業員が、調査結果を他社に提供したり、自分の成果として偽ったりすることで利益を得ようとする場合があります。

2016年、自動車スタートアップのOttoはUberに買収され、同社の自動運転車構想の推進を支えました。Ottoの創業者アンソニー・レヴァンドウスキーは、自身の会社を設立する前、Googleのエンジニアとして、後にWaymoとなる部門に所属していました。その1年後、Waymoはレヴァンドウスキーが機密文書を盗んだとして告発しました。

これらの文書には、自身の自動運転車スタートアップOttoを設立するために使用された営業秘密が含まれていました。

The Vergeによると、両社は和解に至り、UberはWaymoに株式の0.34%を譲渡しました。当時、その株式の価値は約2億4,500万ドルでした。また、レヴァンドウスキーには懲役18ヶ月の刑が言い渡されています。

内部データ窃盗を防ぐ方法

以下は、従業員による内部データ窃盗を防ぐために企業が導入できる対策です。

明確な契約条項の整備

従業員は、勤務開始前に、会社のデータを保護する責任があることを認識している旨を記載した契約書を理解し、署名する必要があります。多くの競争の激しい業界では競業避止条項が書面上存在しますが、実際にはそれを徹底していない企業がほとんどです。

従業員契約にこれらの条項を盛り込むだけでなく、同じ業界内で働いている、または独立して自分の会社を設立した高リスクの従業員についても定期的にフォローアップすべきです。

侵入検知システムの導入

内部データ窃盗を検知するには、監視ソフトウェアと段階的なアクセス権限の組み合わせが必要です。関連する従業員のみにデータアクセスを限定することで、漏洩元を特定しやすくなります。不正アクセスの兆候を監視するために企業が活用できるソフトウェアは多数あります。

インシデント対応手順の確立

脅威が検出された際に即座に対応できるよう、企業は事前に手順を整えておく必要があります。すべてのシナリオに備えることは不可能ですが、最もリスクの高いシナリオを特定しておくことで、対応にかかる時間を大幅に短縮できます。

優れたインシデント対応の重要な要素には、被害の最小化、影響の緩和、社内コミュニケーションが含まれます。インシデント対応戦略の目標は、できるだけ早く通常業務へ復帰させることです。

従業員によるデータ窃盗から会社を守ろう

セキュリティ対策においては、予防が何よりも重要です。企業によって、最も危険に晒されるデータの種類は異なります。どのデータが最もリスクが高いかを把握することで、最も重要な検知手法に投資することができます。

すべての従業員がデータを盗む意図を持っているわけではないことを理解することが大切です。しかし、従業員の無知やセキュリティ対策の甘さによって、企業データが盗まれてしまう可能性もあります。だからこそ、セキュリティの重要性を反映した社内のプロセスと手順を確立することが重要なのです。