内部関係者は通常、売るためにIPを盗み出すことはない。どちらかといえば、新しい仕事のためや、競合企業を立ち上げるためなど、ビジネス面でのメリットを得ることが目的の場合が多い。

　特殊な動機としては、経済スパイや産業スパイの計画の一環として外国政府や組織などがIPの窃盗に関わる場合がある。既にIPを開発する時間とコストを負担した組織からIPを盗み、そうしたコストを省く方が現実的な選択肢だという。このような窃盗に関わる内部関係者は通常、自身の雇用主あるいは自国政府よりも外国政府や組織に強い愛着があり、そちらへの忠誠心が大きい。

　どのような動機であろうと、IPの窃盗に関わるのは一般にエンジニア、プログラマー、営業担当者など、IPを入手できる従業員だ。こうした内部関係者にはIPへのアクセス権があるか、同時にIPの作成者でもあることを考えると、悪意のある行動を検知するのは極めて難しい。

　IP盗難に関する行動や行動特性を考える上で、なぜ内部関係者がIPを盗み出そうとするのかという点を忘れてはいけない。そのような行動に関する特性を見つけても、悪意のある内部関係者を見つけたことにはならない。特性が分かっても、それを利用して悪意のある従業員を捕らえることはできない。

　こうした特性は、IP盗難のリスクが高い職務に関するリスク分析に利用できる。分析の結果、内部関係者を窃盗に走らせる要素が分かる。最も重要なのは、この分析を基に保護戦略やリスク緩和戦略を考案して導入し、悪意のある内部関係者による攻撃から組織を守ることだ。

内部関係者によるIP盗難のパターン

　CERT/CCは2002年から内部関係者がもたらす脅威への対策を進めており、その過程でIP盗難のモデルを導き出した。このモデルには「権利意識の強い個人」と「野望のあるリーダー」の2つがある。例として、権利意識の強い個人について考えてみる。

　権利意識の強い個人は、従業員としてIPに関わったという理由で、そのIPを利用する権利があると考えている。このタイプの内部関係者には、自身が携わった情報に対する所有者意識と権利意識が生まれ、その情報が自身の所有物だと考える傾向がある。IPが雇用主の所有物であり、チームが努力した成果であるとは考えない。

　内部関係者の権利意識は、従業員としての貢献度に深く関わっている。つまり、貢献度が高いほど、権利意識が強くなる。こうした権利意識は、その内部関係者が主力製品に関わっているなど、自身の貢献が極めて重要だと考えている場合さらに増幅する可能性がある。

従業員の不満

　権利意識が強い個人は、仕事に対する不満が権利意識を高めてしまう恐れもある。データやシステムへの妨害行為を行う内部関係者は、仕事に対してある種の不満を抱く。そうした不満には次のようなものがある。

• 賃金、昇進、福利厚生、賞与、配置転換への不満
• 合併や買収
• 上司や同僚との衝突
• 人員削減
• IPの所有者との見解の相違

　仕事への不満が募り、新しい職を探す内部関係者は多い。そのような内部関係者の3分の1は新たな職を得るために盗み出したIPを利用する。別の3分の1は、念のためにIPを盗み出す。権利意識が高い個人の場合、権利意識に対する不適切な考え方と、仕事への不満や退職したいという願望が重なり合って、退職時にIPを盗み出そうと考えるのかもしれない。

対処法

　IPの保護戦略を立てる際は、盗みを働く内部関係者が開発・貢献したIPが対象になる傾向が高いことを認識する必要がある。保護戦略を成功に導くためには、以下のことを確認したい。

• 重要なIPを把握する
• 現在または過去にその重要なIPに携わった内部関係者を特定する。こうした内部関係者のリスクは高い
• IPを保護するためにアクセス管理を見直す。別のプロジェクトへ移動した従業員や退職した従業員など、IPにアクセスする必要がなくなった内部関係者を特定する
• アクセス許可を定期的に見直すなど、重要なIPへのアクセスに関連するポリシーを作成する
• 従業員の役割が変わったら自動的にIPへのアクセス許可を無効にするような措置を取る
• 内部関係者が海外に出張する場合や休暇を取る場合、その間IPへのアクセス許可を一時的に無効にすることを検討する