数年前に退職した社員が、会社の機密情報を持ち出していた疑いが分かったら――。経営者として、何から確認すべきでしょうか。9月17日、大手化学メーカーである化成の元社員が、半導体製造に関する営業秘密を漏えいした可能性があるとして、不正競争防止法違反の疑いで警視庁に告訴されました。
報道によれば、警察は元社員の認否を明らかにしていません。一方、化成は自社調査で、元社員が在職中に機密情報を持ち出し、退職後に中国の山東省にある企業へ漏えいさせたことを確認した、と発表しています。
一般的に、企業は社員が退職する際、業務用PCや社員証を返却してもらい、業務で利用するサービスのアカウントを停止します。しかし、それだけでは十分とは言えません。
「退職したら管理は終わり」という落とし穴
今回、企業の情報管理という観点で気になったのは、時間差です。報道では、元社員は2018年11月末に化成を退職し、その後、2024年に中国企業への情報提供が行われた疑いが持たれています。会社を離れた時点と、問題となった情報提供との間には何年もの時間があります。
読売新聞の報道によると、今回の案件は、化成自身が通報したのではなく、元社員の再就職先企業が、別の情報漏えい事案について警察に相談したことで発覚に至ったとされています。
ここに、多くの企業に共通する落とし穴があります。業務用PCを返却してもらったことと、その中にあった情報の写しが退職者の手元に残っていないかどうかは、別の話です。家の鍵を返してもらっても、合鍵を作っていないかは、返ってきた鍵を調べても分かりません。
企業の情報管理はどうしても「いる社員」に目が向きます。誰がどのサーバに入ったか。USBを使ったか。外部にメールを送ったか。在職中なら、企業は一定の範囲で記録を残せます。
しかし、退職すれば企業の管理権限はそこで大きく変わります。必要なのは、退職後の元社員を「見張る」ことではありません。退職までに確認する範囲を広げるべきだということです。
誰がどの情報にアクセスしていたか
誰がどの情報にアクセスしていたか。貸与物を返却したか。情報の複製は残っていないか。退職後も守るべき秘密は何か。管理の終点を「最終出社日」にしない。今回の事例から、まず点検したいのはこの点です。
ルールはあったが……それだけでは評価できない。関連記事では、残業203時間、1人で11億円送金――はてな事件報告書が暴いた「経営の無関心」なども紹介されています。
