大阪市で保健所の職員から個人情報が漏洩した事故が発生した。

本インシデントの３つの要素

この事故の深刻な点は通常の漏洩防止では防げないということだ。

１，職員が個人情報資料をスマホで撮影した。
２，撮影した個人情報が本人が意図せずクラウドに同期された。
３，本人に意図せずクラウドが不正アクセス突破された。

おそらく本人は個人情報を外部に漏洩させるために撮影したのではなく、業務上の都合上、やむ得なく撮影し携帯していたのであろう。
そしてこの事故が最も防止が困難な漏洩事故であることは以下の理由による。

１，スマホ撮影によるデータ持出し

印刷物やパソコン画面をスマホで撮影することを確実に抑止することは難しい。そのデータを閲覧できる場所が限られていて、スマホの持ち込みが禁止されているか、閲覧操作を監視カメラで記録されているなどである。

２，本人に罪悪感がない

スマホ撮影持出しに対する抑止は、資料にウォーターマークを付けて、その撮影の元データが誰からのものであるかを表示させる抑止手段がある。
あるいは個人情報アクセス操作はログで記録されていると社員に告知することも抑止手段として有効だ。
また退職予定者なども機密情報へのアクセスを制限監視することも有効である。

しかしいずれも内部不正者が「自分のやろうとしていることはバレたらまずい」という自覚があって効果がある。

今回のように（おそらく）職員が自分の業務の延長として持ち出す場合には抑止効果はない。
本人は自分以外に見せる意図はないので、ウォーターマークがあってもなくても関係ないだろう。
業務の一貫で利用している個人情報ならログで記録されていても関係ない。
ましてや本人は退職するから持ち出すという意図もない。

規則を破るのは悪いかもしれないが、業務を円滑にすませるには仕方ないことなんです。という内部不正は抑止が難しい。

３，個人環境の脆弱性は防ぎきれない

もしこのクラウドが多要素認証を利用していたら、たとえフィッシング詐欺にあったとしても、不正アクセスは防げていた可能性が高い。（二段階認証を破れる手口がそろそろ広まりはじめているが、まだ一般的ではないため）

今回の事例のように、個人環境が、フィッシング攻撃やマルウェア攻撃に脆弱であった場合、企業のセキュリティ担当がそれを把握することは困難だ。個人情報が職員の個人環境に移された時点で、漏洩を防ぐ手段は事実上ないと言える。

このように今回の漏洩事故は防ぐことが困難と言える。
ただし一つだけ効果的な抑止方法がある。それは逆に職員の個人端末でも個人情報にアクセスできるようにすることである。

忙殺プレッシャーが高まるほど

昨今の事情から忙殺されているであろう保健所の職員が、その忙殺案件をこなすために、やむを得なく自分のスマホに写真として保存し携帯していたのだろう。
ということは、自分のスマホからいつでも必要であった個人情報にアクセス出来ていたら、この漏洩事故は防げていた可能性が高い。

日本の社員や職員は意識が高い。自分からルールを積極的に破る人は少数派だ。その人が運用ルールを破るのは、仕事が終わらないことが一番の原因であることがわかっている。

善意の内部不正が起きる理由

本人はできればルールは守りたい。しかし忙殺プレッシャーに負けて、機密情報（個人情報など）を不正に持ち出すケースを「善意の内部不正」と呼ぶ。

しかしもし、たとえ個人端末を使用しても、業務上必要な機密情報に速やかにアクセス出来る環境を用意したらどうだろう。
職員はわざわざ「善意の内部不正」をする必要はない。

逆転の発想「個人スマホからでも安全にアクセス」

もし個人のスマホでも許可された端末であればセキュアブラウザを導入して個人情報を閲覧できるようにしたらどうだろう。そのセキュアブラウザ上のデータは保存も印刷も画面キャプチャーも出来ない。情報の持出しは困難だが、職員はいつでもその情報にアクセスできれば、わざわざルールを破って写真データとして持ち出す必要性は感じないだろう。

企業にとって機密情報の漏洩は防がなければならないものだ。
そして情報漏洩対策を施した結果、業務が煩雑になることはやむを得ないことはある。しかし社員の「忙殺プレッシャー」が強いままだと、社員が「善意の内部不正」を起こす土壌となる。
DoCANのように、安全に業務効率を落とすことなく機密情報にアクセスできるツールは「善意の内部不正」を抑えることが出来る。