退職者の情報漏えい対策はアカウント削除だけで十分？元上司と現職社員の関係に潜むリスク

2 日前

読了時間: 8分

「退職者の情報漏えい対策」「アカウント削除だけで十分？」という見出し。眼鏡と緑のカーディガンの社員が、ノートパソコンの横でスマートフォンを手に考え込んでいる。

退職者のアカウントを止めた。

それでも、残った社員が資料を送れるなら、会社の情報が外へ出る経路は残ります。

元上司や元役員からの依頼には、昔の上下関係や恩義がついてくることがあります。

「社外の人には渡さない」という研修の言葉だけでは、その場で判断しきれないかもしれません。

退職者自身のアクセスを止める対策と、現職社員による社外提供を管理する対策。

この二つを組み合わせる必要があります。

この記事では、身近な架空の場面から、兼務のIT担当者や経営者が点検できる運用を整理します。

退職後にも、情報を受け取れる経路は残る

2026年10月6日、テレビ朝日系ANNは、ドイツの情報機関BNDの元長官と元幹部がスパイ容疑などで逮捕されたと報じました。記事では、元長官の退任後、元幹部から約2,000件の文書が提供された疑いが伝えられています。[1]

これは捜査段階の報道です。有罪や、恩義・忠誠心といった当事者の動機を断定することはできません。

この報道を企業の対策に引き寄せて考えるなら、「辞めた人はもうログインできない」で点検を終えてよいか、という問いになります。次の二つは、別の経路です。

情報が外へ出る経路	会社が点検すること
元社員が、残った権限や共有リンクから直接取得する	アカウント・セッション・共有設定などの停止
現職社員が、元社員の依頼を受けて提供する	提供範囲・承認・共有方法・相談先

以下の人物・会話・心理は架空です。

BND事件の再現でも、著者の実体験の紹介でもありません。

「部長には何度も助けてもらった」が、確認を飛ばす理由になる

退職した元部長から、個人の連絡先にメッセージが届いた。

「今の取引条件、前と変わった？　比較したいから一覧だけ送ってくれ」

社員は一度、会社に確認しようとした。すると相手は続けた。

「そんな大ごとにするなよ。今の部長に聞いても、俺の名前を出した途端に面倒になるだろ」

確かに、元部長と今の部長は仲がよくなかった。昇進の話が出たとき、自分を推してくれたのは元部長の方だ。ここで確認すれば、派閥の話に巻き込まれるかもしれない。

「前から知っている内容だし、今回だけなら」

そう思って、添付する資料を探し始めた。

事務所の打ち合わせ席で、灰色の髪の元上司が社員に話しかけている。眼鏡と緑のカーディガンの社員は、閉じたノートパソコンの前でスマートフォンを持ち、返事をためらっている。 — 昔の上下関係と今の社内事情が重なると、確認そのものを避けたくなる。AI生成のイメージ画像。人物・場面は架空です。

問題は、元社員と付き合いが続くことではありません。

情報を渡す判断まで、個人の関係に任せてしまうことです。

元上司が以前その情報を知っていても、現在の情報を受け取る権限があるとは限りません。

正式な委託や顧問契約がある場合も、契約の有無だけでなく、業務の目的と提供範囲を確認します。

不正のトライアングルで、会社が変えられる部分を探す

不正のトライアングルは、動機・圧力、機会、正当化という三要素で、故意の不正に至る背景を整理する枠組みです。[2]

架空の社員が「承認が必要だと知りながら、確認せず資料を渡す」場合なら、次のように整理できます。

不正のトライアングルと会社の対策の対応図。動機・圧力の「嫌われたくない」には相談経路、機会の「無承認で送れる」には権限と承認、正当化の「元上司なら大丈夫」には提供条件の明示を対応させている。 — 三要素を、会社が整えられる対策に対応させた整理例。ACFEの解説[2]を参考にITワークラボ作成。

三つが当てはまるから不正をする、と予測する図ではありません。

だまされて情報を渡した場合や、誤送信などの過失も、同じ故意の不正として扱いません。

本人の気持ちを読みとるより、確認を飛ばせる状態や、会社の基準が曖昧な状態を減らします。

対策1：退職時は「削除したか」より「使えなくなったか」を確認する

アカウントの削除は、アクセス停止の手段の一つです。

サービスによっては、先に無効化し、業務データの引き継ぎや記録の保全をしてから削除する方が適切な場合もあります。

IPA（独立行政法人情報処理推進機構）の「組織における内部不正防止ガイドライン」も、IDの消去によってアクセス記録まで失われる場合には、アクセスできない状態にしてログを保全する必要性を示しています。[3：p.40]

ここから先は、自社の点検に使う実務上の提案です。

退職手続きの一覧に、次を含めます。

メール、クラウド、VPN、業務システムなど、利用先ごとのアクセス停止。
サービスの仕様に応じた、既存セッション・連携アプリ・認証用情報の確認。
本人が知っていた共有アカウントの認証情報と、外部共有リンク・ゲスト権限の見直し。
業務データの引き継ぎ、必要な記録の保全、貸与端末や記録媒体の回収。

担当者が停止したつもりでも、別のサービスが残っていることがあります。

誰が、いつ、どのサービスで確認したかを記録し、可能な範囲で別の人が確認します。

停止時刻は、最終勤務と引き継ぎの必要性を踏まえて事前に決めておきます。

対策2：元社員への資料提供を「特別扱い」にしない

現職社員への依頼は、退職時の手続きだけでは止められません。

普段の社外提供のルールで扱います。

承認時に必要なのは、「元部長だから大丈夫」という人物評価ではなく、次の情報です。

確認項目	記録する例
相手と目的	現在の所属、依頼内容、業務上の必要性
渡す範囲	対象資料、版、必要な部分、除外する情報
判断した人	承認者、承認日、判断の根拠
共有方法と終了条件	宛先、業務用の経路、必要に応じた期限・権限

正式な業務上の依頼なら、必要な範囲で共有する判断もできます。

ただし、例外を認める場合も、口約束のままにせず、範囲と終了条件を残します。

社員の返事も、会社として用意しておきます。

「退職された方への資料共有も、会社の確認が必要です。対象と目的を教えていただければ、担当に確認します」

会社のルールを根拠に返せれば、社員一人が相手との関係を背負わずに済みます。

急ぎの依頼にも間に合う確認先を決めておくことが、抜け道を減らす助けになります。

直属の上司に話すと社内政治の問題になりそうな場合に備え、別の責任者にも確認できる経路を用意します。判断に必要なのは、派閥への所属ではなく、依頼の目的と情報の範囲です。

対策3：現職社員の権限と、記録を見る人を見直す

元社員への提供を管理しても、現職社員が不要な資料まで自由に取り出せる状態なら、扱う情報の量は増えます。

IPAのガイドラインは、定期的なアクセス権の見直しと、不必要な権限の削除を示しています。[3：p.41]

自社でも、退職時だけでなく、異動や担当変更に合わせて、現在の仕事に必要な範囲を確認します。

記録については、収集するだけで終わらせないことが大切です。

重要資料のダウンロードや外部共有を、利用しているサービスでどこまで確認できるか調べ、確認する人と頻度を決めます。

IPAの実践例でも、ログが対象システムと同じ場所にあると消されるリスクへの対策として、別の場所での保管が紹介されています。[4]

小さな会社なら、まず重要なシステムに絞り、管理者本人だけで記録を消去・確認できる状態を減らす方法を検討します。

経営者や保守先など、別の担当者が確認する役割を持つことも一案です。

ただし、ログだけですべての提供が分かるわけではありません。

私用端末での画面撮影や口頭の説明などは、業務システムの記録だけでは追えない場合があります。権限・承認・相談を組み合わせて考えます。

「もう送ってしまった」を受け付ける順番も決める

社員が相談に来たとき、最初から「なぜ断らなかった」と詰めると、追加の提供や別の資料の話が出てこなくなるかもしれません。

初動では、何を、誰に、いつ、どの方法で渡したかを確認します。

追加の共有を止め、可能ならリンクや権限を無効化し、送信履歴・承認記録・関係するログを保全します。相手に削除を求めただけで、回収できたとは考えません。

顧客情報などを含む場合は、社内の対応責任者が影響と必要な対応を判断します。

社員だけで相手との交渉を続けさせず、処分などの判断と、被害を止める初動を分けて進めます。

緑のカーディガンと眼鏡の社員が、紺色のジャケットの女性の同僚と手に持った書類を確認している。書類には確認欄が並び、二人は落ち着いて相談している。 — 「誰に確認するか」を決め、依頼と対応を記録する。AI生成のイメージ画像。人物・場面は架空です。

最初に、最近の退職者一人の手続きを点検する

大きな仕組みを一度に作る前に、最近の退職者一人について、次の五つを確認してみてください。

利用していたサービスごとに、アクセス停止を確認した記録があるか。
共有アカウント・外部共有・業務データの引き継ぎまで確認したか。
退職後に資料を求められた社員が、確認先を答えられるか。
社外提供の承認と例外について、範囲と終了条件を記録できるか。
重要情報の操作記録を、誰が確認し、必要時に保全するか決まっているか。

分からない項目があれば、担当者と確認日を一つ決める。そこから始められます。

退職した人を一律に疑う必要はありません。

ただ、相手への信頼と、情報を渡す権限は別です。

人間関係が続くことを前提に、会社の判断を支える手続きを整えましょう。

元上司への恩義や断りづらさを社員の側から描いたnote記事も公開しています。

「退職した元上司に、まだ逆らえない」——恩義が情報漏えいの理由になるとき｜ITワークラボ｜あなたの会社にIT担当者を💻｜中小企業のIT管理・セキュリティ対策支援

退職・異動時の権限管理や、社外への資料共有のルールを見直したい方は、ITワークラボへご相談ください。利用中のサービスと現在の運用を整理し、無理なく実行できる対策の優先順位を一緒に考えます。初回相談は無料です。

まずは無料で相談してみる

参考情報

[1] テレビ朝日系ANN「独情報機関BND元長官をスパイ容疑で逮捕　共犯の“腹心”は春まで幹部　ロ・中とのパイプも」、2026年10月6日配信。逮捕と文書提供の疑いに関する報道を参照。https://news.yahoo.co.jp/articles/a9932f8dd0fc1f2a1c692a62796fddb6f0fcabba
[2] Association of Certified Fraud Examiners（ACFE、公認不正検査士協会）、John Gill「The Fraud Triangle on trial」、2017年9月。三要素と枠組みの限界を参照。https://www.acfe.com/acfe-insights-blog/blog-detail?s=Fraud+Triangle
[3] IPA（独立行政法人情報処理推進機構）「組織における内部不正防止ガイドライン」第5版、2022年4月。本文のページ番号は冊子に印字された番号。p.40のID消去と記録保全、p.41のアクセス権見直しを参照。点検表・承認項目・返答例は本記事の提案です。https://www.ipa.go.jp/security/guide/insider.html
[4] IPA「プラクティス5-6 アクセスログの取得」、2026年4月28日公開。ログの保管・確認方法を整備する実践例を参照。https://www.ipa.go.jp/security/economics/practices_navi/practice219.html