商談メモを生成AIに貼り付けて要約する。自宅で続きを作業するため、顧客一覧を私物クラウドに保存する。どちらも仕事を進めるための行動ですが、その情報を、その場所へ送ってよいかは別に確認する必要があります。
守秘義務とは、仕事で知った秘密の情報を、許された範囲を超えて漏らさない義務です。守る情報と扱い方を具体的に決め、実際に使う人へ伝えることが、今回の出発点になります。
図1 ルールを定めて説明し 日常の判断につなげる 下段は実務上の目標
SCS評価制度の★3では、役員・従業員・派遣社員・受入出向者を対象にルールを定め、入社時または社外要員の受入れ時に説明します。本記事では、この二つの評価基準を番号付きで解説します。
守秘義務の取り決めがあっても 起きた情報流出
2023年に公表されたNTT西日本グループの情報流出では、NTTビジネスソリューションズでシステムの保守運用に従事していた元派遣社員が、顧客情報を不正に持ち出していました。社内調査報告書は、2013年7月頃から2023年2月頃までの持ち出しと、69団体の顧客情報928万件の流出を確認しています。
図2 調査報告書19〜20ページで確認された持ち出し方法の一つ
個人情報保護委員会の資料によると、派遣契約には守秘義務と管理規程の遵守が定められていました。当該社員を含む研修も実施されていましたが、同委員会は、適正な取扱いの重要性を理解させるには内容が不十分だったと評価しています。
社内調査では、データのダウンロードを制御する措置や、私物USBメモリへの書き出しを防ぐ措置などの不備も指摘されました。この事例は、ルールを定め、仕事に沿って説明するとともに、実際の扱いを確かめ、技術的な対策も組み合わせる必要性を示しています。
入社時の説明がなかったことや、誓約書があれば防げたことを示す事例ではありません。管理者IDの扱いは11月14日の4-1-2、アクセス権の管理は11月19日の4-1-7で続けて取り上げます。
1-2-3-1 対象者と守る情報を明確にする
まず、自社の守秘義務のルールが、役員、従業員、派遣社員、受入出向者を対象としているかを確認します。受入出向者とは、ほかの会社から出向してきて自社で働く人です。自社の正社員だけを対象とした文書で、全員を覆えているとは限りません。
| 対象者 | 確認すること |
| 役員 | 役員にも適用される守秘ルールが分かるか |
| 従業員 | 正社員のほか、パート・アルバイト等を含む対象範囲が明確か |
| 派遣社員 | 自社で守る情報と扱い方が、派遣社員にも適用されるか |
| 受入出向者 | 出向元のルールに加え、自社で守るべき内容が分かるか |
何を守るかを 自社の仕事の言葉で書く
例えば、顧客名簿、未公表の見積価格、設計図、取引先から預かった資料などです。個人情報以外にも守るべき情報があります。文書名や実物の例を使って説明すると、担当者が自分の仕事と結び付けやすくなります。
| ルールに落とし込む観点 | 自社向けに決める内容の例 |
| 守る情報 | 対象となる情報と、公開済み情報との区別 |
| 利用と共有 | 何の業務で使い、誰と、どの条件で共有できるか |
| 保存や持ち出し | 承認された保存先、媒体、社外への送信方法 |
| 迷ったとき | 許可を確認する相手と、相談方法 |
| 業務終了や退職時 | 資料・複製の返却や削除など、必要な取扱い |
この表は、分かりやすいルールにするための実務例です。1-2-3が、表の各欄をそのまま指定しているわけではありません。情報の区分と管理方法は、11月12日の3-1-4でも詳しく扱います。
既存の規程や契約を 確かめる
公式資料は、就業規則や労働契約等の確認を挙げています。派遣社員・受入出向者については、派遣元・出向元との契約に守秘義務を定める旨を、情報セキュリティ関連規程等に記載する方法も例示しています。
新しい文書を一律に増やすより、まず既存の規程や契約のどこに、誰を対象とするルールがあるかを整理します。会社間で機密情報を共有する際の取り決めは、11月7日の2-1-2で扱います。
生成AIや私物クラウドも 具体例に含める
IPAが2026年4月に公表したAI利用者向け教材でも、クラウドAIへ秘密情報を入力する際のリスクを取り上げています。守秘義務を説明するときは、メールやUSBに加え、AIへの入力、ファイル添付、外部サービスとの連携も例に入れると、今の仕事に合った説明になります。
図3 外部サービスへ情報を送る前の確認例 公式の指定手順ではない
「会社でAIの利用が認められた」というだけでは、すべての資料を入力できるとは限りません。使ってよい契約・アカウント、入力してよい情報、使ってよい目的を、社内ルールに沿って確認します。個人契約のサービスにも同じ条件が適用されるかを、推測で決めないようにします。
個人情報保護委員会は、個人情報を入力する際に利用目的に必要な範囲かを確認し、個人データについては提供事業者が機械学習に利用しないこと等を十分に確認するよう案内しています。「学習に使われない」という一点だけで、社内の利用許可まで得たことにはなりません。
私物クラウドへの保存も、「自分しか見ないつもり」で判断せず、認められた保存先かを確かめます。自社ルールが未承認の外部保存を認めない場合は、会社が用意した方法を使うか、担当者へ相談する、という行動まで説明しましょう。
1-2-3-2 入社や受入れ時にルールを説明する
次に、入社時または社外要員の受入れ時に、自社の守秘義務のルールを説明します。派遣元や出向元で研修を受けていても、自社で扱う情報や保存先、相談窓口が伝わっているかは、別に確かめる必要があります。
図4 入社や受入れ時の説明を実施するための例 記録の形式は任意
対面でも 教材による学習でもよい
解説書は、対面で説明する方法や、教育資料を作って学習させる方法を例示しています。必ず集合研修にするという条件ではありません。一方、資料を共有フォルダに置いたことと、対象者へ説明・学習を実施したことは区別して確認します。
例えば、資料を使って説明した後、「この顧客一覧を家で作業するにはどうするか」「商談メモをAIに入力したいときは誰に相談するか」を聞いてみます。理解を確かめる問いかけは実務上の工夫であり、特定のテストや合格点が必須という意味ではありません。
年1回の研修や年次点検は、今回の二つの評価基準には指定されていません。まず入社・受入れ時の説明を確実に行い、ルールや業務が変わったときに補足説明するなど、自社に合う運用を加えます。
入社時の説明に使える 文例と記録欄
以下は、承認されたツールで情報を扱う会社を想定した説明例です。自社の規程、契約、実際の業務に合わせて書き換えてください。契約書や誓約書のひな形ではなく、決めたルールを伝えるための文例です。
説明する文章の例
当社では、顧客名簿、未公表の見積価格、取引先から預かった資料を、守るべき情報として扱います。担当する業務に必要な範囲で利用し、共有するときは、相手と方法が社内ルールで認められているかを確認してください。
保存には会社が指定した場所を使います。私物のクラウドや個人契約のAIサービスに情報を送る前に、利用条件を確認してください。利用してよいか分からない場合は、情報を送る前に［担当部署・連絡先］へ相談してください。
送信先を間違えた、許可されていない場所へ保存した可能性がある場合も、［担当部署・連絡先］へ速やかに連絡してください。状況を確認するため、何を、いつ、どこへ送ったかを伝えてください。
仕事内容に合わせた説明例
| 業務の場面 | その場で伝える内容の例 |
| 顧客名簿を扱う | 使える目的、共有してよい相手、保存先を示す |
| 生成AIで議事録を整理する | 利用する契約・アカウントと、入力できる情報の条件を示す |
| 在宅で資料を作る | 使ってよい端末・保存先・持ち出し方法を示す |
| 業務を離れる | 資料や複製の返却・削除など、自社で定めた手続を示す |
説明を確認しやすくする記録欄
説明日［年月日］／対象者［氏名・所属・区分］／説明者［氏名］／資料［文書名・版］／説明方法［対面・教材等］／実施を確認した方法［参加・学習完了等］／質問と補足説明［内容］。
これらは実施状況を確かめやすくする記録例です。公式ガイドが指定する必須欄や保存年限ではありません。記録を作るだけで済ませず、実際に説明した資料と対応するように管理します。
誓約書の扱いと 自己評価の確認
今回の1-2-3-1と1-2-3-2は、守秘義務のルールを定めて説明することを求めています。特定様式の誓約書を全員から取得することは、この二つの基準の一律要件ではありません。
ただし、契約や誓約書を不要とする意味ではありません。公式の解説書も、退職時の規程や、機密情報の持ち出しがないことについて誓約書を提出してもらう方法を、実施例として挙げています。既存の規程・契約を踏まえ、対象者に合う形で整えます。
退職後の守秘義務の期間や法的な効力は、この項目から一律には決まりません。ここでは、業務終了時や退職時に何を返却・削除するかなど、自社で定めた取扱いを本人へ伝えることを実務上の工夫として紹介しています。
| 評価基準番号 | 公式ガイドが挙げる確認資料 |
| 1-2-3-1 | 就業規則、労働契約等。四つの対象者を覆うルールと、その文書名を確認する。 |
| 1-2-3-2 | 入社・受入れ時のオリエンテーション資料、受入手順等。実際にルールを説明していることを確認する。 |
本日の五つの確認
□ 役員・従業員・派遣社員・受入出向者を対象とするルールがある。
□ どの文書にルールを定めているかが分かる。
□ 自社で守る情報と扱い方を、仕事内容に沿って説明できる。
□ 入社時または社外要員の受入れ時に説明している。
□ 説明に使った資料や受入手順などから、実施状況を確認できる。
今回の二つの評価基準は、いずれも公式ガイドに対象外となる条件が設けられていません。上の確認には実務上の工夫も含めています。最終的な自己評価は、公式の適合基準と自己評価方法に沿って行います。
次回は 会社のセキュリティ方針を整える
11月5日は、1-3-1「セキュリティ対応方針の策定」です。方針に何を書き、どこで見られるようにし、変更をどう伝えるかを解説します。
自社のルールを整理したい方へ
ライトハウスコンサルタントでは、★3を見据えた現状確認や、規程・台帳・記録の準備を支援しています。既存の守秘ルールと受入れ時の説明を確認し、日常業務で使える形に整理します。
