---
title: "内部不正防止ガイドラインとは？組織での対策の考え方を整理【SG試験】"
description: "内部不正防止ガイドラインは組織内部の不正行為を防ぐための指針です。IPAのガイドラインをもとに、SG試験・情報セキュリティマネジメント試験で問われる原因別対策と運用の判断ポイントを整理します。"
last_modified_at: "2026-07-09"
canonical_url: "https://stemtazoo.github.io/sg/insider-guideline/"
section: "sg"
---
## まず結論
内部不正防止ガイドラインとは、組織内部の不正を防ぐための対策を体系的に整理した指針であり、SG試験では「原因（動機・機会・正当化）に対して適切な対策か」を判断させる問題が多いです。
---
## 直感的な説明
内部不正は「人の問題」だけではなく、「仕組みの問題」でもあります。
たとえば、
- 権限が広すぎる → できてしまう（機会）
- 不満がある → やる気になる（動機）
- バレないと思う → 正当化する
👉
こうした状況を放置すると、不正が起きやすくなります。
そこで
**「人・組織・仕組み」すべてから対策するための指針**が
内部不正防止ガイドラインです。
---
## 定義・仕組み
内部不正防止ガイドラインは、IPAが公表している
**組織として内部不正を防止するための実践的な対策集**です。
参考：
- [内部不正防止ガイドライン（IPA公式）](https://www.ipa.go.jp/security/guide/insider.html)
---
### ■ ガイドライン本文とチェックシート（重要）
ガイドラインは大きく次の2つで構成されています。
#### ① ガイドライン本文
- 内部不正対策の考え方や具体的な対策例を解説
- 組織として何をすべきかを体系的に整理
👉
「どういう対策が必要か」を理解するための資料
---
#### ② チェックシート
- 対策が実施できているかを確認するための一覧
👉
「自分の組織でできているか」を確認するためのツール
---
👉 重要ポイント
**本文＝考え方 / チェックシート＝実施状況の確認**
---
### ■ 基本の考え方（重要）
対策は単発ではなく、**組織全体で継続的に実施する**ことが前提です。
主な観点は次のとおりです。
---
### ■ 主な対策の分類
#### ① 組織・ルール
- セキュリティポリシーの策定
- 就業規則・懲戒規定の整備
👉 正当化を防ぐ（ルールを明確にする）
---
#### ② 人（教育・意識）
- セキュリティ教育・訓練
- 誓約書の取得
👉 正当化・動機を抑制する
---
#### ③ 技術・仕組み
- アクセス管理（最小権限）
- ログ管理（証跡の確保）
- 持ち出し制御
👉 機会を減らす・発覚しやすくする
---
#### ④ 運用・監査
- 定期的な点検
- 監査・レビュー
👉 継続的に改善する
---
### ■ 内部不正との関係（重要）
このガイドラインは、不正のトライアングルに対応しています。
| 要因 | 対策 |
|------|------|
| 動機 | 教育・職場環境 |
| 機会 | アクセス管理・監視 |
| 正当化 | 規程・倫理教育 |
👉
**どの要因に効く対策かを意識することがSGでは重要です。**
---
## どんな場面で使う？
### ■ 使う場面
- 内部不正対策の全体設計
- ISMS運用
- 監査・リスクアセスメント
👉 SG試験では
「どの対策を取るべきか」を判断させる問題で使います。
---
### ■ 使うと誤解しやすい場面
- 技術対策だけで十分
→ 教育やルールも必要
- 教育だけで防げる
→ 機会があれば不正は起きる
---
## よくある誤解・混同
### ❌ 「アクセス管理だけすればよい」
→ ⭕ それだけでは動機や正当化は防げない
---
### ❌ 「教育を強化すればよい」
→ ⭕ 機会を減らさないと意味がない
---
### ❌ 「一度対策すれば終わり」
→ ⭕ 継続的な見直しが必要
---
### ■ SG試験でのひっかけ
- 「対策の対象がズレている」
- 動機の問題なのに技術対策のみ
- 機会の問題なのに教育のみ
👉
**「原因と対策が対応しているか」で判断する**
---
## まとめ（試験直前用）
- 内部不正防止ガイドライン＝組織的な対策の指針
- 対策は「人・ルール・技術・運用」の組み合わせ
- 不正のトライアングルと対応している
- 単発ではなく継続的な運用が前提
- SGでは「原因と対策の対応関係」で選択肢を切る
---
## ケース問題（内部不正防止ガイドライン）
ある企業では、営業担当者が顧客情報を私用のクラウドストレージに保存し、退職時にそのデータを持ち出してしまった。
調査の結果、以下の状況が確認された。
- 顧客データへのアクセス権が広く設定されていた
- 外部サービスの利用ルールが明確に定められていなかった
- ログは取得していたが、定期的な確認は行っていなかった
- セキュリティ教育は入社時のみで、その後は実施されていなかった
---
### 問題
この企業の対策として **最も適切なものはどれか。**
---
### 選択肢
ア. パスワードの複雑性を高める
イ. アクセス権を業務に必要な範囲に限定する
ウ. ログの保存期間を延長する
エ. 社員に対して注意喚起メールを送信する
---
▶ 答えを見る
**正解：イ**
---
▶ 解説を見る
### ■ 起きた原因
- アクセス権が広い → 機会の問題
- ルールがない → 正当化の問題
- 教育不足 → 正当化・動機
- ログ未確認 → 検知不足
---
## ケース問題②（内部不正防止ガイドライン）
ある企業では、経理担当者が長時間労働と評価への不満を抱えており、会計データを不正に書き換えていたことが発覚した。
調査の結果、以下の状況が確認された。
- 経理処理が特定の担当者に集中していた
- 上司による業務状況の把握が不十分だった
- 就業規則や懲戒規定はあったが、周知が十分ではなかった
- セキュリティ教育は形式的で、内部不正の事例共有も行われていなかった
---
### 問題
この企業の対策として **最も適切なものはどれか。**
---
### 選択肢
ア. 会計システムのパスワード桁数を増やす
イ. 内部不正の事例を含めた教育と周知を継続的に行う
ウ. ログの保存期間を5年に延長する
エ. 外部からの不正アクセス対策としてファイアウォールを強化する
---
▶ タップして答えを見る（SG頻出）
**正解：イ**
---
▶ タップして解説を見る
### ■ 起きた原因
- 評価への不満や長時間労働 → 動機の問題
- 規程の周知不足 → 正当化の問題
- 教育が形式的 → 正当化を弱められていない
- 業務集中 → 機会の問題もある
---
### ■ 各選択肢の判断
- ア：パスワード桁数の増加
→ 認証強化であり、今回の主因である動機・正当化への対策としては弱い（✕）
- イ：教育と周知の継続実施
→ 不正を正当化しにくくし、内部不正への意識を高める対策として適切（◎）
- ウ：ログ保存期間の延長
→ 記録の保持には役立つが、発生要因への直接対策ではない（△）
- エ：ファイアウォール強化
→ 外部攻撃対策であり、内部不正の主因とはずれている（✕）
---
### ■ この問題のポイント
今回の軸は
**「不満・規程周知不足・教育不足」＝動機・正当化**です。
したがって、最も直接効く対策は
**教育・周知・組織的な働きかけ**になります。
---
### ■ SG試験のコツ
- 原因が「機会」なのか「動機・正当化」なのかを先に分ける
- 外部攻撃対策が出てきたら、内部不正の問題とずれていないか確認する
- ログや保存期間のような“もっともらしい事後対策”に引っ張られない
### ■ 各選択肢の判断
- ア：パスワード強化
→ 認証の話であり、今回の原因ではない（✕）
- イ：アクセス権の見直し
→ 機会を直接減らす（◎）
- ウ：ログ保存期間
→ 事後対応であり、発生防止ではない（△）
- エ：注意喚起メール
→ 効果が弱く、仕組みとして不十分（△）
---
### ■ SG試験のコツ
- 原因を「動機・機会・正当化」に分解する
- 対策がどこに効くかを見る
- 最も直接効く対策を選ぶ
---
## ケース問題③（チェックシート活用）
ある企業では、内部不正防止ガイドラインのチェックシートを用いて、自社の対策状況を確認した。
その結果、以下の項目に不備があることが分かった。
- 特権IDの利用ルールが明確に定められていない
- 特権IDの利用ログは取得しているが、確認が行われていない
- 特権IDが複数人で共有されている
---
### 問題
この企業が **最優先で実施すべき対策はどれか。**
---
### 選択肢
ア. 特権IDのパスワードをより複雑にする
イ. 特権IDの利用を個人ごとに割り当て、操作ログを定期的に確認する
ウ. 社員全体に対してセキュリティ教育を実施する
エ. ログの保存期間を延長する
---
▶ タップして答えを見る（SG頻出）
**正解：イ**
---
▶ タップして解説を見る
### ■ 起きている問題
- 特権IDが共有されている → 誰が操作したか分からない
- ログを確認していない → 不正を検知できない
- ルールがない → 運用が曖昧
---
### ■ 各選択肢の判断
- ア：パスワード強化
→ 認証の話であり、本質的な問題（共有・未監視）を解決できない（✕）
- イ：個人割当＋ログ確認
→ 誰が操作したか特定でき、かつ不正を検知できる（◎）
- ウ：教育
→ 補助的には有効だが、仕組みの問題が残る（△）
- エ：ログ保存期間
→ 記録の保持であり、確認しない限り意味がない（✕）
---
### ■ この問題のポイント
チェックシートは
👉 **「できていない対策を特定するためのツール」**
---
今回の本質は👇
- 管理されていない特権ID
- 監視されていないログ
👉
**アクセス管理＋ログ管理の不備**
---
### ■ SG試験のコツ
- 「何が不足しているか」をまず特定する
- その不足を直接補う対策を選ぶ
- 教育・パスワード強化などの“それっぽい選択肢”に注意
---
👉
**最も直接的に穴を埋める対策を選ぶ**