内部不正とは？

内部不正の意味

従業員や委託先など正規のアクセス権を持つ者が、権限を悪用して情報を持ち出したりシステムを改ざんしたりする行為。正規の操作として記録されるため検知が難しい。FEでは退職者の権限削除や監視が対策として問われる。

内部不正の具体例

退職予定の営業担当が、業務で閲覧できる顧客リストをUSBメモリへ複製して転職先へ持ち出す。対策として、必要最小限の権限付与、外部記憶媒体の利用制限、大量ダウンロードの検知、退職時の即時アカウント停止を行う。

内部不正は試験でどう引っ掛けられる？

外部からの侵入対策（ファイアウォール・ウイルス対策）は内部不正にほとんど効かない。動機・機会・正当化の3条件（不正のトライアングル）のうち、組織が最も統制できるのは「機会」である点が問われる。

内部不正と関連する用語

• 不正のトライアングル
• アクセス制御と最小権限の原則
• 職務分掌

内部不正が出た過去問

• セキュリティ事故の例のうち、原因が物理的脅威に分類されるものはどれか。

  正解：大雨によってサーバ室に水が入り、機器が停止する。

  要点：脅威は物理的・技術的・人的の三つに分けて考える

  脅威は一般に、災害や機器の破損など物理的脅威、不正アクセスやマルウェアなど技術的脅威、誤操作や内部不正など人的脅威に分けられる。浸水によって機器が停止する事故は、設備そのものが損なわれる事象であり物理的脅威に分類される。

  出典：平成21年度 秋期 ITパスポート試験 問66（IPA）

• IPA“組織における内部不正防止ガイドライン（第4版）”にも記載されている、内部不正防止の取組として適切なものだけを全て挙げたものはどれか。 a システム管理者…

  正解：b, c

  要点：権限は一人に集中させず、経営者が方針を示す

  内部不正防止では、権限を一人に集中させないこと（職務分離や相互牽制）が基本であり、全権限の集中はむしろリスクを高める。一方、不正が起きた際の処罰と再発防止措置の実施、経営者による基本方針の策定と周知は、いずれもガイドラインが求める取組である。

  出典：令和1年度 秋期 ITパスポート試験 問61（IPA）

• 企業での内部不正などの不正が発生するときには、“不正のトライアングル”と呼ばれる3要素の全てがそろって存在すると考えられている。“不正のトライアングル”を構成す…

  正解：機会、正当化、動機

  要点：不正は機会・動機・正当化の3つがそろうと起きる

  不正のトライアングルは、内部不正が発生する背景を、機会・動機・正当化の3つで説明する考え方である。機会は不正を実行できてしまう環境、動機は金銭的困窮やノルマなどの事情、正当化は自分の行為を都合よく理屈づける心理を指す。3つがそろったときに不正が起きやすいとされ、特に管理側で減らしやすい機会を絶つことが対策の要点となる。

  出典：令和1年度 春期 ITパスポート試験 問65（IPA）

• 情報セキュリティに関する次の記述中のa、bに入れる字句の適切な組合せはどれか。 守るべき情報資産に対して望ましくない影響を及ぼす可能性のある原因のことを［a］と…

  正解：a：脅威、b：脆弱性

  要点：脅威は損害の原因、脆弱性は資産側の弱点

  脅威は情報資産に損害を与えうる原因や事象を指し、マルウェアや災害、内部不正などが該当する。脆弱性は資産側にある弱点で、修正されていない不具合や不十分な管理体制などを指す。脅威が脆弱性を突いたときに損失が生じる可能性がリスクであり、実際に発生した事象がインシデントである。

  出典：令和8年度 秋期 ITパスポート試験 問89（IPA）