内部不正の弁明への対策
A 社で，従業員が顧客リストを私物の USB メモリに複製して持ち帰っていたことが発覚した。本人は「持出しを禁止する規則があるとは知らなかったし，周りも同じことをしていたので問題ないと思った」と説明した。IPA の「組織における内部不正防止ガイドライン」の基本原則に照らして，この説明に表れた要因に直接対処する再発防止策として，最も適切なものはどれか。
- ア情報の持出しを禁止する規則を明文化して教育で周知し，規則を順守する旨の誓約書に署名させる。
- イ業務用の PC で，私物の USB メモリなど許可されていない外部記憶媒体を使えないように制限する。
- ウ顧客リストへのアクセスログを定期的に分析し，大量の複製を検知したら管理者に通知する。
- エ顧客リストのファイルを暗号化し，社外に持ち出しても内容を利用できないようにする。
正解と解説を見る
正解 ア
この問題の基礎知識
- IPA の「組織における内部不正防止ガイドライン」は，状況的犯罪予防の考え方に基づき，基本 5 原則として「犯行を難しくする」「捕まるリスクを高める」「犯行の見返りを減らす」「犯行の誘因を減らす」「犯罪の弁明をさせない」を示している。
- 不正のトライアングルでは，不正は「動機・プレッシャー」「機会」「正当化」の三つの要因がそろうと起きやすいとされる。
- 対策を選ぶときは，事案の説明に表れている要因（手段の容易さ，発覚しにくさ，見返り，動機，言い訳）を見極め，それに対応する原則の対策を選ぶ。
ア情報の持出しを禁止する規則を明文化して教育で周知し，規則を順守する旨の誓約書に署名させる。正解
規則を知らなかった，周りもしていたという説明は，自らの行為を正当化する弁明である。ガイドラインは「犯罪の弁明をさせない」原則の対策例として，規則の策定，教育による周知徹底，誓約書へのサインを挙げている。
イ業務用の PC で，私物の USB メモリなど許可されていない外部記憶媒体を使えないように制限する。
未許可の USB メモリの利用制限は「犯行を難しくする」原則の対策である。持出しの手段の一つを封じるには有効だが，規則を知らなかった，周りもしていたという正当化の理由を取り除くものではない。
ウ顧客リストへのアクセスログを定期的に分析し，大量の複製を検知したら管理者に通知する。
アクセスログの監視は「捕まるリスクを高める」原則の対策である。不正の発見には役立つが，本人が規則の存在を知らず，問題ないと思い込んでいたという状況は変わらない。
エ顧客リストのファイルを暗号化し，社外に持ち出しても内容を利用できないようにする。
暗号化によって持ち出した情報から利益を得にくくするのは「犯行の見返りを減らす」原則の対策である。漏えいの被害を抑えるには有効だが，弁明の余地をなくすことにはならない。
検証用の出典出典照合済み
IPA 組織における内部不正防止ガイドライン 第5版 (https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf)照合の根拠（7 件）
- ア（正解）: 「犯罪の弁明をさせない」は犯行者による自らの行為の正当化理由を排除する原則
・犯罪の弁明をさせない（言い訳させない） ： 犯行者による自らの行為の正当化理由を排除する
IPA 組織における内部不正防止ガイドライン 第5版 · 2-1. 内部不正防止の基本原則（新しいタブで開きます） - ア（正解）: 対策例に規則の策定（基本方針・管理・運用策の策定，就業規則）
犯罪の弁明をさせない（言い訳させない）：犯行者による自らの行為の正当化理由を排除する 規則を決める 基本方針の策定、管理・運用策の策定、業務委託契約、就業
IPA 組織における内部不正防止ガイドライン 第5版 · 付録Ⅵ 内部不正防止の基本 5 原則と 25 分類（新しいタブで開きます） - ア（正解）: 対策例に教育による周知徹底
指示を掲示する 基本方針の組織内外への掲示、教育による周知徹底、
IPA 組織における内部不正防止ガイドライン 第5版 · 付録Ⅵ 内部不正防止の基本 5 原則と 25 分類（新しいタブで開きます） - ア（正解）: 対策例に誓約書へのサイン
良心に警告する 管理レベルの表示、誓約書へのサイン、
IPA 組織における内部不正防止ガイドライン 第5版 · 付録Ⅵ 内部不正防止の基本 5 原則と 25 分類（新しいタブで開きます） - イ（誤り）: 未許可の USB メモリの制限は「犯行を難しくする」原則の対策例
未許可の PC/USB メモリの持ち込み禁止、SNS の利用制
IPA 組織における内部不正防止ガイドライン 第5版 · 付録Ⅵ 内部不正防止の基本 5 原則と 25 分類（犯行を難しくする）（新しいタブで開きます） - ウ（誤り）: アクセスログの監視は「捕まるリスクを高める」原則の対策例
捕まるリスクを高める（やると見つかる）：管理や監視を強化することで捕まるリスクを高める 監視を強化する アクセスログの監視、
IPA 組織における内部不正防止ガイドライン 第5版 · 付録Ⅵ 内部不正防止の基本 5 原則と 25 分類（新しいタブで開きます） - エ（誤り）: 暗号化は「犯行の見返りを減らす」原則の「利益を得にくくする」対策例
利益を得にくくする 電子ファイル・ハードディスク・通信の暗号化
IPA 組織における内部不正防止ガイドライン 第5版 · 付録Ⅵ 内部不正防止の基本 5 原則と 25 分類（犯行の見返りを減らす）（新しいタブで開きます）
付録Ⅵの表は PDF の段組で行が分かれるため，各対策例の原則への所属は表の見出し行の位置で確認した。第 5 版（2022 年 4 月改訂）であることは本文で確認。