内部不正

内部不正とは、組織の正当な権限を持つ従業員や関係者が、その権限を悪用して組織に損害を与える行為です。悪意を持って情報を持ち出す、システムを破壊する、あるいは不正な利益を得るなどの目的で行われます。組織外からの攻撃と異なり、既に内部システムへのアクセス権を持っているため、巧妙かつ発見が困難であることが特徴です。

仕組みとしては、犯行の動機・機会・正当化という3つの要素が揃うと発生しやすいと言われています。動機は個人的な不満や金銭欲、機会はアクセス制限の甘さや監視の欠如、正当化は自分はこれくらいしてもよいという心理的バイアスです。これらを断ち切るために、アクセス権の最小化やログ監視、入退室管理といった物理的・論理的対策と、情報セキュリティ教育による抑止が必要です。

試験においては、この対策がどう問われるかが重要です。情報セキュリティの機密性や完全性を守るために、特権IDの管理や、退職者アカウントの即時削除が求められる点などが頻出です。また、外部からの攻撃と混同しないよう注意が必要です。内部不正は「組織の信頼」を根底から揺るがすため、技術的な対策だけでなく、組織文化や人事管理を含めた総合的なガバナンスの視点が問われます。