内部不正を防ぐために従業員の操作ログや行動を監視する。その取り組み自体は正当な業務です。しかし行き過ぎると法令違反とプライバシー侵害になり、しかも肝心の内部不正がかえって見つけにくくなる——そう指摘する査読前の論文が、2026年8月21日にarXivで公開されました。
結論から言えば、情シスが今日確認すべきは3点です。(1)監視の目的を社内規程に明記して従業者に示しているか、(2)集めている指標が業務上の行動に限定されているか、(3)アラートが多すぎて重要な兆候が埋もれていないか。特に3点目は、監視を強めるほど悪化するという皮肉な構造を持っています。
この記事でわかること
- 内部不正を起こす人物を、研究がどう3類型に整理しているか
- 従業員監視ツールが実際にどこまで取得しているか
- 過剰監視で欧州企業が科された制裁金の実例（金額・年・理由）
- 「監視を強化するほど内部不正を見逃す」という逆説のメカニズム
- 日本で従業員モニタリングを行う際に個人情報保護委員会が示す4つの留意点
どんな研究か（1文要約）
本論文「Workplace Surveillance and Insider Threat Risk Management: Legal Limits and Privacy Harms」（Haywood Gelman、John D. Hastings ほか、2026年8月21日公開、全9ページ）は、従業員監視の手法・関連法・過剰監視の実例を横断的にレビューし、内部不正検知と従業員プライバシーの折り合いをどう付けるかを整理した論文です。
本論文はarXivの査読前プレプリントです。法制度の記述は米国が中心のため、日本の枠組みは後段で別途整理します。
そもそも「内部不正」とは誰のことか
内部不正（Insider Threat）とは、正規のアクセス権限を持つ人物が、意図的または非意図的に組織の資産を損なう行為を指します。外部からの侵入と違い、認証もアクセス権も「正しい」ため、境界防御では止まりません。
論文は人物像を3つに整理しています。実務的に有用なのは、類型ごとに効く対策がまったく違う点です。
| 類型 | 特徴 | 効きやすい対策 |
|---|---|---|
| 非意図的内部不正（UIT） | 悪意はなく、教育不足・不注意・疲労による。論文はUITの8割が人的ミスに起因するとする | 教育・啓発、手順の簡素化、誤操作しにくいUI |
| 意図的内部不正（IIT） | 人数は少ないが被害は大きい。組織への不満・金銭的困窮が動機。論文は退職者の15%が機密情報を持ち出したとするデータを引用 | 退職プロセスでの権限即時停止、持ち出し監視 |
| 機会型内部不正（ITO） | 普段は目立たず冷静。技術力と観察力があり、隙を見つけて動く。他の従業員をソーシャルエンジニアリングで利用することもある | 職務分掌、相互チェック、特権アクセスの記録 |
UITが8割という数字は、裏を返せば監視を厳しくしても解決しない層が大半ということです。教育で減る問題に監視で対処しようとすると、コストだけが増えます。
従業員監視ツールはどこまで見ているのか
論文が挙げる監視手法は、想像より広範です。
- メール監視（不適切利用・ハラスメント・フィッシング対策）
- AIによる音声・映像コミュニケーションの監視
- PCのカメラや執務エリアのカメラによる稼働状況の把握
- Webアクセス監視、URLフィルタリング、CASB（クラウド利用の可視化）
- キーロガー、位置情報の取得
- SIEMや機械学習によるログの深掘り分析
- UEBA（User Entity Behavior Analytics＝利用者や端末の「普段の振る舞い」を学習し、そこからの逸脱を検知する仕組み）による行動の意図分析
- 生体情報の取得と人事判断への利用
この一覧で注意したいのは、後半に行くほど「業務の記録」から「人物の評価」へ性質が変わる点です。メールのマルウェア検査に反対する人はいませんが、キーロガーや生体情報、まして人事判断への利用となれば話は別です。振る舞いの逸脱をどこまで本人確認に使えるかという論点は、端末ログによる継続的認証の研究でも整理しています。
「行き過ぎた監視」は実際にいくら払っているのか
欧州では数十億円規模の制裁金が現実に出ています。論文が挙げる代表例は次のとおりです。
| 企業 | 時期 | 問題とされた監視 | 制裁 |
|---|---|---|---|
| H&M（ドイツ） | 2020年 | 健康状態・休暇・家庭の事情まで個人単位で記録・蓄積。データ露出によって監視の全容が発覚 | 約3,530万ユーロ |
| Amazon France Logistique（フランス） | 2023年12月 | 倉庫作業員のハンディスキャナのデータを転用し、ミリ秒単位で作業間隔を記録して個人の生産性を採点・順位付け | 3,200万ユーロ |
| Barclays（英国） | 2020年 | 在席時間を追跡するソフトを導入。当初は匿名集計だったものを個人単位の生産性追跡へ変更 | UK GDPRで最大約12億ドルの制裁リスクと報じられた |
| White Castle（米国イリノイ州） | — | 給与処理のための指紋取得が州の生体情報保護法に抵触 | 訴訟で敗訴 |
Amazonの事案は情シスにとって特に示唆的です。スキャナのデータは元々「業務のため」に取得したものでした。それを従業員評価という別目的に転用したことが問題視されています。目的外利用が事故の起点になる構図は、国内でもアイフルの信用情報94万件の目的外利用で同じ形が確認できます。「すでに持っているログだから使ってよい」は成り立ちません。
なお上記のうちBarclaysの件は、実際に科された制裁金ではなく報道された制裁リスクの試算である点に注意してください。他の3件は当局の処分・司法判断に基づくものです。
なぜ監視を強めるほど内部不正が見つからなくなるのか
価値の低いアラートが増え、重要な兆候がその中に埋もれるためです。論文はこれを研究上のギャップとして明示し、SIEM・syslog・UEBAから大量のログを集めた結果、意味の薄いアラートによる「ログ疲れ・アラート疲れ」が起き、重要な検知が見逃されうると述べています。
監視範囲を広げる判断は「見えない範囲を減らす」という正しい動機から出ています。しかしチューニングを伴わない拡大は、検知能力をむしろ下げる方向に働きます。検知ルールが継続的な手入れを前提とする現実は、Sigma検知ルールの56%が改訂されるという研究とも符合します。
論文の提言も、監視を減らせ・増やせという単純な話ではありません。行動指標をデータ保護原則に沿って調整し、業務に関係する行動に限定したうえで、性格特性・技術的指標と無関係な行動特性・保護属性・私的活動を除外せよというものです。取る範囲を絞ることが、結果として誤検知を減らし検知精度を上げるという考え方です。
日本ではどこまで許されるのか
個人情報保護委員会が、従業者モニタリングを実施する際の留意点を4つ示しています。個人データを取り扱う従業者を対象にビデオやオンライン等で監視する場合の指針で、内容は次のとおりです。
- モニタリングの目的をあらかじめ特定した上で、社内規程等に定め、従業者に明示すること
- モニタリングの実施に関する責任者およびその権限を定めること
- あらかじめ実施に関するルールを策定し、その内容を運用者に徹底すること
- モニタリングがあらかじめ定めたルールに従って適正に行われているか、確認を行うこと
あわせて、モニタリングに関する重要事項を定めるときは労働組合等へ事前に通知し、必要に応じて協議を行うことが望ましい、定めた重要事項は従業者に周知することが望ましいとされています。
米国では、州ごとに通知義務を定める法律が整備されつつあります。論文はメイン州の従業員監視法（MESA、2026年）、イリノイ州の職場プライバシー法（IRPWA、1992年）、ニューヨーク州労働法の各条項などを挙げつつ、通知義務が明文化されている州はニューヨーク・コネチカット・デラウェア・メイン・イリノイに限られると指摘しています。米国も全国一律ではなく、州によってばらつきがあるのが実情です。
日本と米国は制度の作りが異なるため優劣を論じても実益は薄いのですが、「目的を定める」「本人に示す」「運用を確認する」という骨格は共通しています。この3つが自社の規程に書かれているかどうかは、今日すぐ確認できます。
現場目線の所感
正直なところ、監視の範囲を決める会議は情シスにとって気の重い仕事です。経営層や監査部門からは「もっと見えるようにしてほしい」と言われ、現場からは「信用されていないのか」と言われる。板挟みの中で、とりあえず取得できるログは全部取っておこう、という判断に流れやすくなります。導入時に決めたはずの保存期間や閲覧権限が、数年後には誰も把握していないという状態も珍しくありません。
今回の論文が刺さるのは、その「とりあえず全部」がセキュリティ上も損だと言い切っている点です。アラートが多すぎて誰も見ていないダッシュボードは、監視をしていないのとほぼ同じ——にもかかわらず、法的リスクと従業員の不信だけは確実に積み上がります。取得を絞る決断には勇気が要りますが、絞った方が守れるという整理は、経営層への説明材料としても使えます。
もう一つの難所は、UEBAのしきい値やSIEMの相関ルールが担当者の異動とともにブラックボックス化することです。何を根拠に誰をフラグしているのかを説明できないまま運用が続くのは、法的にも運用的にも危うい状態です。
情シスはどうすべきか
自前で対策一覧を作る前に、まずは公的な指針を土台にすることをおすすめします。IPAの組織における内部不正防止ガイドライン（第5版・2022年4月公開）は、基本方針・資産管理・技術管理・職場環境・事後対応など10の観点から33項目の対策をまとめており、自己点検用のチェックシートと事例集、Q&Aが附属しています。個人情報保護法や不正競争防止法の改正、テレワークの定着といった環境変化も反映されています。
使いどころは明快で、監視ツールの導入是非を議論する前に、このチェックシートで「制度・人・職場環境」側の穴が埋まっているかを先に確認することです。内部不正の多くは非意図的であり、その層には監視より教育と手順の改善が効きます。
論文の提言も教育の重要性を強調しており、用語・検知の枠組み・人物類型・ポリシーを体系的に扱う教育を整備して組織の一人ひとりが内部不正のセンサーとして機能できる状態を目指すとしています。地道な啓発の積み重ねが、結局のところ最も広い範囲をカバーします。演習形式で鍛える方法は机上演習（TTX）設計の勘所で整理しており、IPAの机上演習教材もあわせて活用できます。
この研究の限界
- 査読前のプレプリントであり、今後内容が変わる可能性があります。
- 新規の実験・実測ではなく、既存事例と法制度のレビュー論文（全9ページ）です。引用されている数値は元データに依存します。
- 法制度の記述は米国が中心で、日本の労働法・個人情報保護法の解釈をそのまま導けるものではありません。実際の規程整備では法務部門・専門家への確認が必要です。
まとめ
- 内部不正の多くは悪意のない非意図的なもの（論文は8割が人的ミスに起因とする）。この層に監視は効きにくく、教育と手順改善が主戦場になります。
- 過剰監視は現実に制裁対象になっています。Amazon France Logistiqueの3,200万ユーロ、H&Mの約3,530万ユーロが示すのは、業務目的で取得したデータの目的外転用が典型的な起点だということです。
- 監視を広げるだけではアラートが増えて重要な兆候が埋もれます。取得範囲を業務行動に絞り、目的・責任者・ルール・運用確認の4点を規程に落とすことが、法的リスクと検知精度の両方に効きます。
出典
- Haywood Gelman, John D. Hastings, Suvineetha Herath, Quentin Covert「Workplace Surveillance and Insider Threat Risk Management: Legal Limits and Privacy Harms」arXiv:2608.21205（2026年8月21日公開・査読前）https://arxiv.org/abs/2608.21205
- 個人情報保護委員会「従業者に対する監督の一環として、個人データを取り扱う従業者を対象とするビデオやオンライン等による監視（モニタリング）を実施する際の留意点について教えてください。」https://www.ppc.go.jp/all_faq_index/faq1-q5-7/
- IPA「組織における内部不正防止ガイドライン」https://www.ipa.go.jp/security/guide/insider.html
- CNIL（フランス データ保護機関）によるAmazon France Logistiqueへの制裁（2023年12月27日決定、3,200万ユーロ）
