[ITmedia ビジネスオンライン] 旭化成・元社員「情報漏えい」で逮捕 「PC返却」で安心する企業が陥る“時間差流出”の罠

　経営者として、何から確認するべきでしょうか。9月17日、大手化学メーカー旭化成の元社員が、半導体製造に関する営業秘密を漏えいした可能性があるとして、不正競争防止法違反の疑いで愛知県警に逮捕されました。

　報道によれば、警察は元社員の認否を明らかにしていません。一方、旭化成は自社調査で、元社員が在職中に機密情報を持ち出し、退職後に中国の山東聖泉新材料股份有限公司へ流出させたことを確認した、と発表しています。

　一般的に、企業は社員が退職する際、業務用PCや社員証を返してもらい、業務で利用するサービスのアカウントを停止します。しかし、それだけでは十分とは言えません。

　その「退職処理完了」の後、会社は何を見ておくべきなのか。

　本記事では、この事件を手掛かりに、社員の退職を見据えて機密情報をどう管理するか、そして流出が発覚したとき、会社は何を、どこまで、どう伝えるべきかを考えます。

退職から数年後に技術情報が流出した疑い。会社は退職者の何を確認すべきなのか？（写真提供：ゲッティイメージズ）

「退職したら管理は終わり」という盲点

　今回、企業の情報管理という視点で気になったのは、時間差です。

　報道では、元社員は2018年11月末に旭化成を退職し、その後、2024年に中国企業への情報提供が行われた疑いが持たれています。会社を離れた時点と、問題となった情報提供との間には何年もの時間があります。

　読売新聞の報道によると、今回の事件は、旭化成自身が通報したのではなく、元社員の再就職先企業が、別の情報漏えい事案について警察に相談したことで発覚に至ったとされています。

　ここに、多くの会社に共通する盲点があります。業務用PCを返してもらったことと、その中にあった情報の写しが退職者の手元に残っていないかどうかは、別の話です。家の鍵を返してもらっても、合鍵を作っていないかは、返ってきた鍵を眺めても分かりません。

　企業の情報管理はどうしても「今いる社員」に目が向きます。誰がどのサーバに入ったか。USBを使ったか。外部にメールを送ったか。在職中なら、会社は一定の範囲で記録を残せます。

　しかし、退職すれば会社の管理権限はそこで大きく変わります。必要なのは、退職後の元社員を「見張る」ことではありません。退職までに確認する範囲を広べるべきだということです。

　誰がどの情報にアクセスしていたか。貸与物を返したか。情報の複製は残っていないか。退職後も守るべき秘密は何か。管理の終点を「最終出社日」にしない。今回の事件から、まず点検したいのはこの点です。