内部不正と組織のルール
不正のトライアングル（機会・動機・正当化）の3要素を正しく区別でき、割れ窓理論・シャドーIT・クリアデスクの定義と内部不正の牽制策を選択肢から選べるようになる。
情報漏えいの原因には、外部からの攻撃だけでなく、社員や委託先など内部の人による不正もある。内部の人はすでに正規の権限を持っているため、ファイアウォールやウイルス対策のような外部攻撃向けの対策だけでは防げない。そこで試験では、人と組織のルールで防ぐ考え方が問われる。
このレッスンで稽古する（用語チェック・過去問）結論：内部不正は「技術」より「人と環境」で防ぐ
内部不正とは、社員・委託先・システム管理者など正規の権限を持つ人が、情報の持出しや改ざんをすることです。外から侵入する攻撃とは違い、権限はすでに持っているので、ウイルス検査やファイアウォールでは止まりません。
このレッスンで覚えるのは次の5つです。
- 不正のトライアングル：不正が起きる3条件（機会・動機・正当化）※最重要
- 割れ窓理論：小さな不正の放置が大きな不正を呼ぶ
- 監視者の配置：人の目で牽制する対策
- シャドーIT：会社の許可なく業務に使うIT
- クリアデスク：机の上に重要情報を出しっぱなしにしない
不正のトライアングル：3要素がそろうと不正が起きる
不正のトライアングルは、米国の犯罪学者クレッシーの研究をもとにした考え方です。機会・動機・正当化の3要素がすべてそろったときに不正が起きるとされます。逆にいえば、どれか1つを潰せば不正は起きにくくなります。
たとえるなら、3本脚の椅子です。脚が1本でも欠ければ椅子は立たないように、3要素のどれかを欠けさせるのが対策の基本です。
| 要素 | 意味 | 具体例 | 潰し方の例 |
|---|---|---|---|
| 機会 | 不正を実行できる・しやすい環境があること（技術・物理環境・ルールの穴） | 1人で機密ファイルにアクセスでき、ログも見られていない | アクセス権の最小化、ログ監視、監視者の配置 |
| 動機（プレッシャ） | 不正をしたくなる事情・圧力 | 厳しいノルマ、借金、待遇への不満 | 無理のない目標設定、相談窓口 |
| 正当化 | 良心のとがめを乗り越える自分勝手な言い訳 | 「会社が悪い」「みんなやっている」「少し借りるだけ」 | 教育・誓約書、ルールの明文化 |
見分けのコツ：「環境・仕組み」なら機会、「プレッシャ・ノルマ」なら動機、「都合の良い解釈・責任転嫁・言い訳」なら正当化です。
内部不正を牽制する：監視者の配置
牽制（けんせい）とは、「見られている」「やったらバレる」と思わせて不正を思いとどまらせることです。システム運用管理者のように強い権限を持つ人の不正持出しには、監視者の配置や作業の相互確認など、人的・組織的な対策が有効です。これは不正のトライアングルの機会を減らす対策にあたります。
参考として、IPA の「組織における内部不正防止ガイドライン」は、対策の考え方を5つの原則にまとめています。
- 犯行を難しくする（やりにくくする）
- 捕まるリスクを高める（やると見つかる）
- 犯行の見返りを減らす（割に合わない）
- 犯行の誘因を減らす（その気にさせない）
- 犯罪の弁明をさせない（言い訳させない）
監視者の配置は「やると見つかる」に当たります。ウイルス検査やバックアップは外部攻撃や障害への備えであり、内部の人の持出しの牽制にはならない点に注意しましょう。
割れ窓理論と、ほかの犯罪理論の区別
割れ窓理論は、軽微な不正や犯罪を放置すると、より大きな不正や犯罪が誘発されるという理論です。窓ガラスが1枚割れたまま放置された建物は「誰も管理していない」と思われ、やがて他の窓も割られる、というたとえが名前の由来です。セキュリティでは、小さなルール違反も見逃さずに正すことが大切だという根拠になります。
| 理論 | 中心となる考え | 見分けるキーワード |
|---|---|---|
| 割れ窓理論 | 小さな不正の放置が、大きな不正を誘発する | 軽微・放置・誘発 |
| 不正のトライアングル | 機会・動機・正当化の3要素がそろうと不正が起きる | 3要素 |
| 環境設計による犯罪予防理論 | 見通しの確保や出入口の管理など、建物や環境の設計で犯罪を防ぐ | 環境・設計・物理的 |
| 日常活動理論 | 動機を持つ犯罪者・適当な標的・監視者の不在が重なると犯罪が起きる | 犯罪者・標的・監視者の不在 |
シャドーIT：許可なく業務に使うIT
シャドーITとは、本来は情報システム部門の許可が必要なのに、許可を得ずに従業員や部門が業務で使うデバイス・クラウドサービス・ソフトウェアのことです。例は、個人のクラウドストレージに業務ファイルを置く、私物スマホで業務データを扱う、などです。会社が把握していないので、情報漏えいが起きても気づけず、管理もできないのが問題です。
選択肢では、ほかのセキュリティ用語の説明が並びます。
| 用語 | 意味 |
|---|---|
| シャドーIT | IT部門の許可なく業務に使われるデバイス・クラウド・ソフトウェア |
| ソーシャルエンジニアリング | 人の心理やすきを突いて、パスワードなどを聞き出す手口 |
| ショルダハッキング | 画面やキー入力を肩越し・物陰から盗み見る行為（ソーシャルエンジニアリングの一種） |
| フットプリンティング | 侵入の準備として、標的の組織や従業員の情報を集める行為 |
| ダークネット | インターネット上で到達可能だが、使われていないIPアドレス空間 |
| バックドア | 侵入者が再侵入するために仕掛ける、正規の認証を通らない裏口 |
| グリーンIT | ITを使って、またはIT機器自体の省エネで、環境負荷を減らす取組 |
クリアデスク：机の上に重要情報を残さない
クリアデスクとは、離席時や帰宅時に、書類・USBメモリ・ノートPCなどの重要情報を机の上に放置せず、施錠できる場所に保管する対策です。財布を机に置いたまま帰らないのと同じ感覚です。名前が似た対策と区別させる問題が出ます。
| 対策 | 何を守るか | 具体例 |
|---|---|---|
| クリアデスク | 机の上の書類・媒体・機器 | 帰宅時にノートPCをキャビネットに施錠保管する |
| クリアスクリーン | 画面に表示された情報 | 離席時に画面ロック、パスワード付きスクリーンセーバ |
| 盗難防止（物理対策） | 機器そのもの | セキュリティワイヤでPCを机に固定する |
「デスクトップのフォルダ整理」はクリアデスクではありません。デスク＝物理的な机と覚えましょう。
試験での問われ方
- 不正のトライアングル：3要素の説明文を入れ替えた選択肢が並びます。「ノルマによるプレッシャ」が正当化として書かれていたら誤りです（正しくは動機）。内部統制の構成要素（統制環境・リスク評価・統制活動・情報と伝達・モニタリング・ITへの対応）が紛れ込むこともあります。
- 割れ窓理論：定義文から理論名を選ばせます。「軽微な不正の放置」があれば割れ窓理論です。
- 監視者の配置：内部の人の不正に対して、ウイルス対策やファイアウォール、バックアップのような的外れな技術対策を混ぜてきます。
- シャドーIT：定義から用語を選ぶ問題と、用語から定義を選ぶ問題の両方があります。
- クリアデスク：クリアスクリーン（画面ロック）や盗難防止（ワイヤ固定）との区別が問われます。
要点（試験直前に読む）
- 不正のトライアングル＝機会（不正しやすい環境）・動機（ノルマなどのプレッシャ）・正当化（自分勝手な言い訳）。3つそろうと不正が起きる。
- 割れ窓理論＝軽微な不正の放置が、大きな不正を誘発する。
- 管理者による内部不正の牽制には、監視者の配置など人的・組織的な対策。ウイルス検査やバックアップは無関係。
- シャドーIT＝IT部門の許可なく業務に使うデバイス・クラウド・ソフトウェア。
- クリアデスク＝机の上に重要情報を残さず施錠保管。画面ロックはクリアスクリーン。
ひっかけ
- 「ノルマによるプレッシャ」を正当化と書いた選択肢は誤り。プレッシャは動機、言い訳は正当化と、説明を入れ替えていないか確認する。
- 「情報と伝達」は内部統制の構成要素。不正のトライアングルの選択肢に出ても要素ではない。
- 内部不正の牽制を問う問題で、ウイルス検査・ファイアウォール・バックアップを選ばない。人の目で牽制する対策を選ぶ。
- シャドーITの説明の代わりに、ショルダハッキング（盗み見）やフットプリンティング（下調べ）の説明が並ぶ。「許可なく業務で利用」を探す。
- クリアデスクの問題では、画面ロック（クリアスクリーン）やワイヤ固定（盗難防止）が紛れ込む。「机の上に出したままにしない」が正解。
用語（16）
社員・委託先・管理者など正規の権限を持つ人が、情報の持出しや改ざんなどの不正をすること。
⚠ 外部からの不正アクセスとは違い、権限を持つ人が行うので、外部攻撃向けの技術対策だけでは防げない。
機会・動機・正当化の3要素がすべてそろうと不正が起きるという考え方。
⚠ 内部統制の構成要素（情報と伝達など）や割れ窓理論と混ぜて出される。3要素以外の言葉が出たら誤り。
技術・物理的な環境や組織のルールの穴など、不正を実行可能または容易にする環境があること。
⚠ 動機・正当化と説明を入れ替えられる。「環境・仕組み」の話なら機会。
ノルマや借金、不満など、不正をしたくなる事情や圧力のこと。
⚠ 正当化と入れ替えられやすい。「ノルマ・プレッシャ」は動機、「言い訳」は正当化。
良心のとがめを乗り越えるための、都合の良い解釈や責任転嫁などの自分勝手な理由付け。
⚠ 動機と入れ替えられやすい。「会社が悪い」「少し借りるだけ」のような言い訳が正当化。
必要な情報を識別・処理し、組織の内外や関係者に正しく伝えられるようにする、内部統制の構成要素の一つ。
⚠ 不正のトライアングルの要素ではない。内部統制（COSOなど）の用語。
軽微な不正や犯罪を放置すると、より大きな不正や犯罪が誘発されるという理論。
⚠ 不正のトライアングル（3要素）や日常活動理論と区別する。キーワードは「軽微な不正の放置」。
見通しの確保や出入口の管理など、建物や環境の設計によって犯罪を防ぐという理論。
⚠ 割れ窓理論は「小さな不正の放置」、こちらは「物理的な環境の設計」が中心。
動機を持つ犯罪者・適当な標的・監視者の不在の3つが重なると犯罪が起きるという理論。
⚠ 不正のトライアングルと同じく3要素だが、中身（犯罪者・標的・監視者の不在）が違う。
作業を見守る人を置き、「見られている」と意識させて内部不正を牽制する人的・組織的な対策。
⚠ ウイルス検査やバックアップは外部攻撃・障害への対策で、内部の持出しの牽制にはならない。
情報システム部門の許可を得ずに、従業員や部門が業務で使うデバイス・クラウドサービス・ソフトウェア。
⚠ ソーシャルエンジニアリングやバックドアなど他の用語と混ぜて出される。「許可なく業務で利用」がキーワード。
人の心理やすきを突いて、パスワードなどの秘密情報を聞き出したり盗み見たりする手口の総称。
⚠ 技術ではなく人をだます手口。シャドーITは従業員が勝手にITを使う状態で、攻撃手口ではない。
画面やキー入力を肩越しや物陰から盗み見て、情報を盗み出す行為。
⚠ ソーシャルエンジニアリングの一種。対策の一つがクリアスクリーンや覗き見防止フィルタ。
侵入の準備として、標的の組織や従業員、システムの弱点に関する情報を集める行為。
⚠ 実際の侵入ではなく、その前段階の下調べ。
離席時や帰宅時に、書類・媒体・ノートPCなどを机の上に放置せず、施錠できる場所に保管する対策。
⚠ 画面ロックはクリアスクリーン、ワイヤ固定は盗難防止。デスクトップのフォルダ整理は無関係。
離席時に画面をロックするなどして、画面に表示された情報を他人に見られないようにする対策。
⚠ クリアデスクは机の上の物、クリアスクリーンは画面の表示を守る。
このレッスンの過去問
- 不正のトライアングルの3要素(機会・動機・正当化)平成31年度 春期 基本情報技術者試験 午前 問42
- 割れ窓理論の定義基本情報技術者試験 科目A免除 修了試験 20240609 実施分 問27
- 内部不正の抑止策(監視者の配置)基本情報技術者試験 科目A免除 修了試験 20160124 実施分 問42
- シャドーITの定義基本情報技術者試験 科目A免除 修了試験 20230611 実施分 問27
- クリアデスクの定義基本情報技術者試験 科目A免除 修了試験 20230723 実施分 問31