無料会員登録
自治体や官公庁では、住民の氏名・住所だけでなく、税務、福祉、医療、捜査、政策など、外部へ漏れると本人や行政運営へ大きな影響を与える情報を日常的に取り扱っています。そのため、公務員による情報漏洩は、単なる事務ミスとして処理できない場合があります。
情報漏洩には、捜査情報を外部へ意図的に伝える行為だけでなく、業務上必要のない住民情報の閲覧、メールの誤送信、USBや業務端末の紛失、クラウドの公開設定ミスなども含まれます。さらに、フィッシングやランサムウェアによって職員の認証情報が盗まれ、第三者から大量のデータへアクセスされるケースも考えられます。
特に注意したいのは、問題が発覚した直後に対象メールやログを削除したり、端末を初期化したりすることです。原因や関与者、実際の漏洩範囲を確認するための証拠が失われる可能性があり、本人通知や懲戒判断、警察・監督機関への説明にも影響します。
そこで本記事では、公務員による情報漏洩の法的な位置付け、典型的な発生パターン、漏洩が判明した場合の初動対応、フォレンジック調査で確認できること、自治体・官公庁が取り組みたい再発防止策までを解説します。
公務員による情報漏洩とは
公務員による情報漏洩とは、職務上取り扱う住民情報や内部資料などが、故意または不注意によって権限のない第三者へ渡ったり、閲覧できる状態になったりすることを指します。
漏洩の対象は、氏名・住所・生年月日などの一般的な個人情報だけではありません。税務情報、福祉情報、捜査情報、政策資料、職員情報など、行政機関が保有するさまざまな情報が対象になります。
また、「外部へファイルを送った」ケースだけでなく、業務上必要のない情報を閲覧したり、共有設定の不備によって第三者がアクセスできる状態にしたりするケースも問題になります。
公務員の情報漏洩で問題になる法的責任
公務員には職務上知った秘密を守る義務があります。情報漏洩が発生した場合は、漏洩した情報の内容や行為の態様に応じて、守秘義務違反、懲戒処分、刑事責任などが問題になることがあります。
国家公務員の守秘義務
国家公務員には、国家公務員法100条に基づき、職務上知ることのできた秘密を漏らしてはならないという守秘義務があります。
守秘義務は在職中だけのものではなく、退職した後も継続します。そのため、退職後に在職中に知った秘密を第三者へ漏らした場合でも問題になる可能性があります。
地方公務員の守秘義務
地方公務員についても、地方公務員法34条によって職務上知り得た秘密を漏らしてはならないとされています。
自治体職員が住民情報や内部資料を私的に利用したり、知人などへ提供したりした場合は、守秘義務との関係が問題になります。
懲戒処分が問題になる場合
情報漏洩が刑事事件に至らない場合でも、職務上の義務違反として懲戒上の問題になることがあります。
故意による情報提供だけでなく、情報セキュリティ対策を怠ったことによる漏洩や、内部規程に反した持ち出しなどについても、事実関係や結果の重大性に応じて処分が検討されます。
刑事責任が問題になる場合
職務上知った「秘密」を故意に漏らした場合、国家公務員法や地方公務員法の罰則が問題になることがあります。
ご提示いただいた資料では、原則として1年以下の拘禁刑または50万円以下の罰金となり得ると整理されています。また、住民基本台帳、マイナンバー、捜査、防衛などの情報では、別の法律が問題になる場合もあります。
公務員による情報漏洩の典型的なパターン
公務員による情報漏洩は、意図的な持ち出しだけでなく、日常業務の操作ミスやサイバー攻撃によって発生することもあります。原因によって調査対象や確認すべき証拠が異なります。
捜査情報や内部情報の故意の漏示
職務上知った捜査情報や内部情報を、知人や外部関係者へ意図的に伝えるケースです。
漏洩先や情報の内容によっては、捜査の妨害や関係者の安全への影響など、情報そのものの漏洩を超えた重大な問題へ発展することがあります。
業務上不要な個人情報の私的閲覧
職員が正規のアカウントを使いながら、業務上確認する必要のない住民や知人、著名人などの情報を閲覧するケースがあります。
外部へファイルを送信していなくても、不正な閲覧や検索が問題になることがあります。システムに監査ログが残っていれば、アクセス日時、対象データ、利用者IDなどから操作を確認できる場合があります。
メールの誤送信や書類の誤交付
宛先を間違えてメールを送信した、CCとBCCを取り違えた、別の住民へ書類を渡したといった人的ミスも代表的な情報漏洩です。
故意ではなくても、第三者が実際に情報を閲覧できる状態になった場合は、対象人数や情報の種類、回収状況などを確認する必要があります。
USB・業務端末・紙資料の紛失
USBメモリ、ノートPC、スマートフォン、紙資料などを庁外へ持ち出し、紛失・盗難に遭うケースです。
端末や媒体が暗号化されていたか、保存されていた情報は何か、第三者によるアクセスが可能だったかによって影響の評価が変わります。
クラウドや共有フォルダの設定不備
クラウドストレージの共有リンクを公開状態にしたり、閲覧権限を必要以上に広く設定したりすると、外部から情報へアクセスできる状態になる場合があります。
設定ミスに気づいた時点で非公開にするだけではなく、公開されていた期間やアクセス履歴を確認し、実際に第三者へ取得された可能性を調べることが重要です。
不正アクセスやランサムウェアによる流出
フィッシングによって職員のID・パスワードが盗まれたり、ランサムウェアによって庁内システムへ侵入されたりすることで、大量の情報が外部へ持ち出される可能性があります。
この場合は職員本人による情報漏洩ではありませんが、行政機関が保有する情報の漏洩事故として、侵入経路や対象データを確認する必要があります。
漏洩原因によって調査方法は変わる
公務員の情報漏洩では、「誰かが持ち出した」と最初から決めつけないことが重要です。誤送信、権限設定、内部不正、外部攻撃では残る証拠が異なります。
原因を決めつけて事情聴取や端末操作を先行すると、立証が難しくなる場合があります。アクセスログ、メール、端末、クラウドなどを横断して事実を確認する必要があります。
公務員による情報漏洩が発覚した場合の初動対応
自治体や官公庁で情報漏洩が疑われる場合は、被害拡大の防止と証拠保全を並行して進めます。担当者だけで解決しようとせず、組織として対応することが重要です。
所属長・セキュリティ担当へ報告する
情報漏洩を発見した職員だけで解決しようとせず、所属長、CSIRT、情報セキュリティ担当、個人情報保護担当などへ速やかに報告します。
事案の内容によっては、法務や広報なども含めて対応体制を整える必要があります。
被害拡大につながる経路を封じ込める
誤送信であれば送信先への削除依頼や共有停止、アカウント侵害であればセッション失効や認証情報の変更など、原因に応じて被害拡大を防ぎます。
端末が外部攻撃を受けている場合は、業務影響を確認しながらネットワークから隔離することも検討します。
メールやログなどの証拠を保全する
事故原因を確認するには、メールヘッダ、アクセスログ、EDR、プロキシ、認証ログ、ファイル操作履歴などが重要な手がかりになります。
対象職員のメールを削除したり、PCを初期化したりすると、後から操作を確認できなくなる可能性があります。
漏洩情報と対象者を特定する
「情報が漏れた」という事実だけではなく、誰の、どの情報が、いつ、どの経路で、誰へ到達したのかを整理します。
閲覧できる状態になっただけなのか、実際に閲覧されたのか、ダウンロードされたのか、さらに第三者へ転送されたのかを分けて確認することが重要です。
本人・関係機関への対応を検討する
確認できた情報の種類、対象人数、悪用可能性などを踏まえ、本人への通知や関係機関との連携、公表などを検討します。
事実確認が終わっていない事項については断定せず、「確認済みの事実」と「調査中の事項」を分けて説明することが重要です。
フォレンジック調査会社へ相談する
内部不正やサイバー攻撃が疑われる場合、自治体内の確認だけでは、削除された履歴や端末操作、外部送信の有無などを十分に把握できないことがあります。
フォレンジック調査では、端末やログを保全したうえで、アクセス履歴、ファイル操作、メール送信、USB接続、クラウド利用などを調査できます。
職員への事情聴取や処分判断を先行すると、後から客観的な裏付けを取ることが難しくなる場合があります。調査が必要な事案では、中立的な第三者による事実確認を検討してください。
- 所属長・CSIRT・個人情報保護担当へ報告します。
- 漏洩や不正アクセスの拡大につながる経路を止めます。
- 端末・メール・アクセスログなどを保全します。
- 漏洩した情報、対象人数、到達先を確認します。
- 本人通知・関係機関への報告・公表の要否を整理します。
- 内部不正や外部攻撃が疑われる場合は専門調査を検討します。
公務員による情報漏洩の調査で確認すべき証拠
情報漏洩の事実を明らかにするには、本人の説明だけでなく、デジタル上に残された客観的な記録を確認することが重要です。
業務システムのアクセスログ
住民情報や内部システムへのアクセスログから、誰が、いつ、どの情報を閲覧・検索したかを確認します。
通常業務では考えにくい大量照会、時間外アクセス、特定人物への繰り返し検索などがある場合は、業務上の必要性と照合します。
メール・クラウドの送信履歴
メール送信履歴やクラウドの共有ログから、外部宛ての送信、共有リンクの作成、ファイルダウンロードなどを確認します。
個人メールや私用クラウドへの転送が疑われる場合も、利用可能なログや端末側の記録を確認します。
USBやファイル操作の履歴
USBメモリの接続履歴やファイルコピーの痕跡から、庁内データが外部媒体へ持ち出された可能性を確認します。
対象ファイルの作成・更新・削除時刻などを組み合わせることで、持ち出し前後の操作を整理できる場合があります。
認証・ネットワークログ
外部攻撃が疑われる場合は、IdP、VPN、プロキシ、EDR、ファイアウォールなどのログを確認します。
正規職員のIDが利用されていても、通常とは異なる場所や端末からログインされている場合は、アカウント侵害を疑う必要があります。
公務員による情報漏洩を防ぐための対策
情報漏洩対策では、職員への注意喚起だけに頼るのではなく、権限管理、ログ監査、持ち出し制御などを組み合わせることが重要です。
業務システムの権限を最小化する
職務上必要な範囲だけデータを閲覧できるようにし、閲覧権限とダウンロード・出力権限を分けて管理します。
異動や退職時に不要な権限が残らないよう、定期的な棚卸しも必要です。
不自然な閲覧や大量照会を監視する
監査ログは取得するだけでは十分ではありません。大量検索、時間外アクセス、特定人物への検索集中などを継続的に確認する仕組みが重要です。
目的コードや上長承認を組み合わせることで、業務上必要なアクセスかどうかを後から説明しやすくなります。
USB・私物端末への持ち出しを制御する
USBメモリや私物端末へのデータ保存を原則として制限し、業務上必要な場合は組織管理の暗号化媒体などに限定します。
MDMやEDRなどを利用して、端末と外部媒体の利用状況を把握できる状態にしておくことも重要です。
メール誤送信対策を多層化する
外部宛てメールの警告、宛先確認、DLPなど、複数の仕組みを組み合わせて誤送信を防ぎます。
一つの仕組みだけに依存せず、送信する情報の機微性に応じて確認手順を変えることが有効です。
委託先にも同等の管理を求める
自治体や官公庁では、システム運用や業務を外部事業者へ委託することがあります。
委託先・再委託先についても、アクセス権、ログ管理、事故報告、契約終了後のデータ返却・削除などのルールを契約で明確にする必要があります。
実際の事故を想定した訓練を行う
年1回の形式的な研修だけでなく、誤送信、フィッシング、USB持ち出し、不正照会などを想定した演習を行うことが重要です。
事故が起きた際に「誰へ報告するのか」「何を保存するのか」を職員が判断できる状態にしておくことで、初動の遅れを減らせます。
公務員による情報漏洩の原因と被害範囲をフォレンジック調査で確認する
情報漏洩が発生した場合、「情報が漏れた」という結果だけでは、懲戒や法的対応、本人への説明を適切に進められないことがあります。誰が、いつ、どのデータにアクセスし、どのような経路で外部へ情報が渡ったのかを確認する必要があります。
不正閲覧や情報持ち出しの操作履歴
業務端末やシステムログを分析することで、対象職員がいつ、どのデータへアクセスし、どのような操作を行ったのかを確認できる場合があります。
削除されたファイルや操作履歴などについても、端末の状態によっては調査対象になります。
メール・USB・クラウドなどの流出経路
情報が庁外へ出た疑いがある場合は、メール送信、USB接続、クラウドアップロード、外部通信などを確認します。
複数の経路を横断して調べることで、単なる閲覧なのか、実際の持ち出しまで行われたのかを整理しやすくなります。
実際に漏洩した情報と被害範囲
アクセスされたファイル、対象者、情報項目、期間などを整理し、実際の被害範囲を明らかにします。
被害範囲を客観的に確認することで、本人通知、公表、懲戒判断、警察・関係機関への説明などに必要な事実を整理しやすくなります。
公務員の情報漏洩調査を専門業者に相談する
内部不正が疑われる場合、調査対象となる職員へ先に事情聴取を行うことで、データ削除や証拠隠滅につながる可能性も考慮する必要があります。また、調査する側と対象者が同じ組織内にいる場合、中立性の確保も課題になります。
フォレンジック調査会社では、端末やログを保全したうえで、アクセス履歴、USB利用、メール送信、ファイル操作などを客観的に調査できます。時間が経過するとログが上書きされ、証拠が消える恐れがあるため、事実確認が必要な場合は早い段階で保全を検討することが重要です。
なお、フォレンジック調査は、漏洩データそのものをインターネット上から削除したり、直接刑事処分を決めたりするサービスではありません。原因、操作痕跡、被害範囲などを事実として明らかにするための調査として利用します。Cysの実問基準でも、被害内容の詳細把握や証拠保全は調査対象となる一方、漏洩データの削除のみを目的とする依頼は対象外として整理されています。:contentReference[oaicite:2]{index=2}
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
公務員による情報漏洩では、住民情報や税務・福祉情報、捜査情報などが外部へ漏れることで、本人への被害だけでなく行政への信頼にも影響します。国家公務員・地方公務員には守秘義務があり、事案によっては懲戒処分や刑事責任が問題になる場合があります。
情報漏洩の原因は、故意の漏示だけではありません。業務上不要な閲覧、誤送信、USBや端末の紛失、クラウド設定ミス、不正アクセスなど複数の可能性があります。そのため、発覚直後に原因を決めつけず、端末やメール、監査ログなどを保全して事実関係を確認することが重要です。
また、再発防止では職員への注意喚起だけに頼らず、最小権限、ログ監査、持ち出し制御、メール対策、委託先管理などを組み合わせる必要があります。内部不正や外部攻撃が疑われ、誰がどの情報へアクセスしたのか確認する必要がある場合は、証拠を残した状態でフォレンジック調査を検討してください。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
