最近、情報お客様から情報セキュリティ規程などの相談を受けるようになりました。個人情報保護法の改正、昨今のサイバーテロなどの話題が原因かもしれません。情報セキュリティは、大手企業よりも中小企業の方が重要だと思っています。大手企業は資金力もありますし、常に社会の目に監視されているところもあり、情報漏えいの事態は絶対にさけなければならないからです。これに対して、中小企業は、あまり重視をしてない企業が多いように感じるのです。たしかに日本の法律は、特に情報漏えいについて企業に罰則を設けるなどしていないため、危険を自覚しづらいかもしれません。しかし、EUなどのGDPRなどのように高い罰金が科せられるように、国際情勢は非常に厳しくなってきています。

　日本では、情報管理自体が一元化されていないところが多いようです。営業の情報は営業に、社内の情報は総務に、工場の情報は各工場に、とそれぞれの部署で別々に管理していたりします。時には担当者毎に保管されていたりします。　一元管理をしてしまうと、サイバーテロに遭った場合、全ての情報が流出してしまう危険はあります。しかし一方で一元化をしていないと、いつ、どこで漏えいが起こったかを把握できなかったり、具体的にどこまでの情報が漏えいしたかを把握できなかったりします。

また情報に関しての重要度を社員が認識していない場合もあります。社内の情報取扱は、３つくらいに分けるのが一般的です。「極秘情報」、「機密情報」、「社外秘」などです。極秘情報とは、機密性が失われた場合に、事業への影響は重大であり、かつ企業全体の経営にも影響が及ぶ情報です。社内でも極秘情報にアクセスできる人は限定されるのが一般的です。「機密情報」は、極秘情報の次に重要な情報であり、特定部署外に漏れることにより、事業への影響がある情報などをいいます。特定部署しかアクセスできない情報です。「社外秘」は、社外に流失すると信用を失墜し、法令以外、経済的損失などが想定される情報であり、社員は誰でもアクセスできますが、社外には漏えいさせない情報です。このような分類は、何か特別に定義があるわけではありませんので、会社内で独自にカテゴライズし、情報取扱者にとって、分かりやすい運用をすることが大切です。

是非この機会に社内情報の棚卸しをしてみてはいかがでしょうか。

（学会　法務研究部会　常任理事　弁護士山田勝彦）