SNSは「公開窓口」：偶発漏えいが経営リスク化
SNSは広報・採用・営業支援などで不可欠な一方、投稿の手軽さが偶発的な情報漏えいを誘発する。東京商工リサーチ調査では、SNS投稿を契機に漏えいを経験した企業が一定数存在し、例外ではない現実が示された。拡散・転載・スクリーンショットにより回収が難しく、取引停止、損害賠償、ブランド毀損、規制対応へ波及する。情シスは「発信力」と「統制」を同時に成立させる設計が必要である。
典型パターン：写真・障害報告・採用情報・個人投稿
漏えいは高度攻撃だけでなく、業務の延長で起きる。写真・動画ではホワイトボード、名札、伝票、端末画面、会議資料の映り込みに加え、位置情報やメタデータが手掛かりになる。障害対応の投稿で構成、ベンダー名、回避策を詳述すると、攻撃者に「弱点」と「手順」を与えかねない。採用・社員紹介から利用クラウドや認証方式、組織体制を推測され、標的型攻撃の精度が上がる。さらに個人アカウントでも、文脈や写真から社名を出さずに特定される。
情シス主導の基本設計：ポリシーを運用手順に落とす
禁止事項の羅列では守られないため、承認フロー、責任者、判断基準、緊急時の例外手続きまで明文化する。写真投稿は原則レビュー必須、障害告知はテンプレート化して技術詳細を抑制、顧客事例は許諾管理を必須にする。企業アカウントは多要素認証を必須化し、投稿権限は最小化、共有IDは避けるべきだ。異動・退職時の権限剥奪を人事手続きと連動させ、運用ツール利用時もロール設計とログ保全で追跡性を担保する。さらにOCRでの文字検出、位置情報除去、レビュー複数人化など「注意力依存」を減らす仕組みを組み込む。
インシデント初動と教育：削除で終わらせない体制
発生時はまず証跡保全と拡散状況の把握を行い、漏えい情報を分類して影響範囲を評価する。法務・広報・経営層を含む方針決定と、二次リスクを避けつつ隠蔽と受け取られない対外説明の設計が要点である。再発防止は個人の不注意で片付けず、承認・権限・テンプレート・教育の欠陥を是正する。教育は年1回では足りず、SNS接触頻度が高い部署へ短時間教材を高頻度配信し、「この写真の危険箇所」など具体例で判断力を習慣化する。参照情報は末尾に示す。「SNS投稿から情報漏えい」約50社に1社が経験 東京商工リサーチ調査