秘密情報を受領した担当者の
特定と管理方法

企業が取引先、顧客、共同研究先、M&Aの相手方、親会社・子会社、外部専門家、委託元・委託先などから秘密情報を受け取る場面では、誰が受け取り、誰が閲覧でき、誰が社内外に共有し、いつ返還・削除したのかを説明できる状態にしておく必要があります。

これは単なる事務処理ではありません。秘密保持契約違反、営業秘密侵害、不正競争防止法上の紛争、個人情報保護法上の安全管理措置、委託先管理、内部不正調査、訴訟・仲裁・当局対応に直結する企業法務上の中核論点です。

最も実効性の高い管理方法は、秘密情報を単独のファイルとしてではなく、契約・情報・人・権限・期間・証跡の束として管理することです。管理番号、受領経路、提供者、受領担当者、利用目的、閲覧可能者、再共有先、保存場所、アクセス権限、ログ、返還・削除期限、監査結果、インシデント対応履歴を一体で記録します。

次の一覧は、秘密情報を受領した担当者の特定と管理方法を支える主要な管理領域を示しています。どの領域が欠けると説明責任が弱くなるかを読み取り、契約条項だけでなく運用記録まで結び付けることが重要です。

秘密情報とは、契約、法令、社内規程、取引慣行、情報の性質に照らして、公開・漏えい・目的外利用が制限される情報をいいます。技術情報、営業情報、経営情報、法務情報、個人情報・個人データ、取引先由来情報、金融・医薬・輸出管理・経済安全保障など規制上保護される情報が典型です。

営業秘密は、不正競争防止法上の保護要件を満たす法的概念です。一般に、秘密管理性、有用性、非公知性の三要件が重視されます。NDAで秘密情報と定義された情報が直ちに営業秘密になるとは限りませんが、営業秘密に該当し得る情報は契約上も秘密情報として扱うのが通常です。

次の比較表は、担当者を特定するときに混同しやすい役割を整理したものです。役割ごとに記録すべき観点が異なるため、単なる名簿ではなく、義務・業務上の必要性・権限・証跡を結び付けて読むことが重要です。

管理方法とは、契約統制、組織統制、技術統制、物理統制、人的統制、記録統制、インシデント統制を組み合わせたものです。これらを組み合わせることで、秘密情報が誰に渡り、誰が利用し、いつ終わるのかを検証可能にします。

実務で採用すべき基本モデルは、受領前審査、管理番号付与、初回受領記録、情報分類、責任者指定、閲覧者限定、技術設定、利用記録、定期レビュー、返還・削除、監査・証跡化、インシデント対応の十二段階です。

次の時系列は、秘密情報を受領した担当者管理をどの順番で進めるかを示しています。順番を明確にすることで、受け取った後に慌てて権限を整えるのではなく、入口・利用中・終了時・事故時に何を残すべきかを読み取れます。

このモデルの本質は、受領担当者を属人的な記憶ではなく、検証可能な記録に変換することです。受領時点の記録と利用中のログが分断されると、後から事実関係を説明しにくくなります。

秘密情報を受け取った瞬間の記録が、担当者特定の中核です。Excelやスプレッドシートでも始められますが、可能であれば契約管理、文書管理、チケット管理、DLP、ID管理基盤と連携させます。

次の表は、初回受領記録に含めるべき項目を示しています。各項目は後日の紛争・監査・内部調査で確認されるため、誰が、いつ、何を、どの根拠で、どこに保存したかを読み取れる状態にすることが重要です。

紛争・内部調査・訴訟を想定する重要ファイルでは、ハッシュ値を記録すると、後日ファイルが改変されていないことを説明しやすくなります。ただし、すべての事業取引で取得するのは過剰になり得るため、重要度に応じて使い分けます。

次の比較表は、重要度ごとの記録水準を示しています。低リスク案件で過剰管理にならないようにしつつ、高リスク案件では原本性と証拠保全まで読み取れる水準に引き上げることが重要です。

口頭開示や会議開示も管理対象です。会議招集に機密区分を表示し、参加者名、所属、役割、議事録、録音・録画の可否、ホワイトボード、チャット、投影資料、会議後メモを保存・削除ルールに従って管理します。

担当者を特定するには、各利用者に個別IDを付与することが大前提です。共有アカウントを使うと、ログにチーム名や管理者名が表示されても実際に誰が閲覧・ダウンロードしたか分かりません。共有アカウントは原則禁止し、例外時は利用者、利用時刻、利用目的を別途記録します。

次の表は、担当者特定に必要なアクセスログの項目を示しています。ログはシステム活動の時系列記録であり、後日の説明責任を支えるため、誰が、どの情報に、どの端末から、何をしたかを読み取れる必要があります。

ログは取得するだけでなく、改ざんされにくく、検索でき、必要な期間保存される必要があります。ログ保存先を通常利用者から分離し、管理者による削除・改ざんを制限し、重要案件では契約期間に一定期間を加えた保存期間を設定します。訴訟・紛争・通報・事故の可能性がある場合は、通常の削除スケジュールを停止し、法務ホールドを設定します。

秘密情報は、閲覧だけでなく、コピー、スクリーンショット、印刷、ローカル保存、外部アップロードによって流出します。次の比較表は、代表的な流出経路と管理策を示しており、どの操作を技術的に止め、どの操作を承認・ログで管理するかを読み取るために重要です。

クラウド、テレワーク、BYOD、海外拠点、外部専門家利用が一般化した現在、社内ネットワーク内にいることだけで信頼する設計は適切ではありません。ユーザー、端末、場所、時間、リスクスコア、異常行動を評価し、権限付与後もログ・アラート・再評価を継続する設計が望ましいとされています。

秘密情報管理研修では、漏らしてはいけないという抽象的説明だけでは足りません。担当者が現場で迷うのは、NDA締結前に資料が届いた、会議で口頭開示があった、上司から関係者に広めるよう言われた、外部専門家へ送ってよいか分からない、生成AIに要約させたい、海外子会社へ共有したい、委託先が追加資料を求めている、退職予定者がフォルダにアクセスしている、といった具体的場面です。

次の一覧は、研修・誓約・服務規律で担当者に理解させるべき行動を示しています。単なる禁止ではなく、受け取る前に確認し、受け取ったら登録し、共有前に承認を取り、迷ったら相談するという読み取り方が重要です。

従業員、役員、派遣社員、委託者、外部専門家には、在職中・契約中の秘密保持義務、目的外利用禁止、複製・持出し・私物端末保存・個人クラウド保存の禁止、生成AI等外部サービスへの入力制限、退職・契約終了時の返還・削除義務、退職後の秘密保持義務、違反時の責任の可能性を明確にします。

退職・異動時は、秘密情報流出リスクが高まります。次の表は、退職・異動時に確認すべき項目を示しており、権限停止だけでなく、貸与物、ローカル保存、ログ確認、説明記録まで読み取ることが重要です。

過度な競業避止義務や職業選択の自由を不合理に制限する条項は問題になり得ます。秘密保持義務と競業避止義務は区別し、必要性、範囲、期間、地域、対象業務、代償措置等を慎重に検討します。

M&Aでは、売手・対象会社の営業秘密、個人情報、財務情報、契約情報、人事情報、知財情報、訴訟情報が大量に開示されます。買手側の担当者、外部弁護士、会計士、税理士、投資銀行、コンサルタントがアクセスするため、データルーム、個人ID、MFA、閲覧ログ、ダウンロード制限、透かし、クリーンチーム、Q&Aログ、取引中止時の削除証明が重要です。

共同研究・共同開発では、自社情報、相手方情報、共同成果、派生成果が混在しやすく、どの成果がどの情報に由来するかを記録する必要があります。プロジェクト開始前に情報区分表を作成し、保存場所を分け、研究ノート、実験ログ、コミットログ、会議議事録を残し、成果物に含まれる相手方情報の有無をレビューします。

次の一覧は、特殊場面ごとに追加すべき管理観点を示しています。通常の受領台帳だけでは足りない場面を読み取り、外部専門家、技術環境、証拠保全、個人情報、労務の観点を重ねることが重要です。

生成AIへの入力は、契約違反、第三者提供、目的外利用、営業秘密管理上の問題、個人情報保護上の問題を生じさせる可能性があります。承認済みサービスだけを利用させ、プロンプトと出力のログを保存するか、保存しない設計にするかも決める必要があります。

テレワークでは、画面の覗き見、家庭内共有端末、個人Wi-Fi、私物クラウド、ローカル保存、印刷物放置が問題になります。秘密資料の廃棄方法、写真撮影禁止、海外アクセス制限、端末証明書などを情報分類に応じて設計します。

大企業のような高額なシステムがなくても、最低限の管理は可能です。中小企業では、過剰な制度よりも、守れるルールを確実に実行することが重要です。

次の一覧は、小規模企業でも優先して整えるべき五点を示しています。まず契約、台帳、保存場所、閲覧者、終了時記録をそろえることで、最低限どこまで説明できる状態にするかを読み取れます。

簡易ルールとしては、秘密情報を受け取る場合は事前に法務または責任者の承認を得る、会社指定の共有フォルダに保存する、受領日・提供者・資料名・保存場所・閲覧者を台帳に記録する、外部専門家・委託先・生成AI・翻訳サービスへ共有または入力する場合は事前承認を得る、案件終了時には返還・削除・廃棄を確認して記録する、といった形が有効です。

次の一覧は、無料または低コストで始められる工夫を示しています。費用をかける前に、権限の限定、ファイル名、共有リンク期限、月次確認、退職時確認など、今日から実行できる管理を読み取ることが重要です。

個人情報を含む場合は、中小企業であっても、安全管理措置や従業者・委託先監督を軽視できません。事業規模や性質、取扱状況に応じた必要かつ適切な措置を検討します。

内部監査では、受領台帳に未登録の秘密情報がないか、NDA番号と秘密情報管理番号が紐付いているか、閲覧者台帳とシステム権限が一致しているか、退職者・異動者・外部契約終了者の権限が残っていないか、共有リンクに有効期限があるか、生成AI・外部クラウド利用の承認記録があるかを確認します。

印刷・ダウンロード・外部送信ログ、返還・削除期限、委託先・再委託先の管理記録、事故発生時の報告・証拠保全・再発防止記録も監査対象です。個人データの取扱状況では、定期的な自己点検や他部署・外部者による監査も安全管理措置の例として示されています。

次の表は、秘密情報を受領した担当者管理のKPI例です。現場を罰するためではなく、制度が実際に機能しているかを読み取り、改善すべき場所を見つけるために使います。

監査結果は経営層へ報告し、改善計画をフォローします。秘密情報管理は契約部門だけの問題ではなく、経営リスク、内部統制、セキュリティ、個人情報保護、人事労務の横断テーマです。

秘密情報受領管理規程では、目的、定義、受領前確認、受領記録、アクセス制限、外部共有、禁止行為、ログおよび監査、返還・削除、事故対応を定めます。役職員は、第三者から秘密情報を受領する前に、契約根拠、利用目的、受領範囲、保存場所、閲覧予定者を確認する設計にします。

次の一覧は、規程に入れるべき条項の骨子を示しています。社内で誰が何をしなければならないかを読み取り、受領後に属人的な判断へ流れないよう標準化することが重要です。

受領担当者確認フォームには、案件名、NDA・契約番号、提供者、提供担当者、初回受領者、受領日時、受領経路、情報概要、秘密表示、利用目的、個人データ、規制該当性、保存場所、閲覧予定者、外部共有予定、生成AI・外部サービス利用予定、ダウンロード・印刷可否、返還・削除期限、情報管理責任者、法務確認を入れます。

アクセス権限申請フォームには、申請者、対象情報管理番号、対象資料名、アクセスを必要とする者、所属・役職・契約区分、アクセス目的、必要な権限、開始日、終了日、研修受講、誓約書取得、承認者、承認日、備考を入れます。

秘密情報を受領した担当者の特定と管理方法は、台帳管理、アクセス制御、ログ・監査の三層で設計すると分かりやすくなります。三層のどれか一つだけでは不十分です。

次の一覧は、三層管理の役割を示しています。台帳は誰が知っているかを人間が理解する管理、アクセス制御は台帳に書かれた人だけが実際に見られる状態を作る管理、ログ・監査は実際に誰が何をしたかを後から検証する管理として読み取ることが重要です。

台帳だけでは実アクセスを止められません。アクセス制御だけでは、なぜその人に権限があるのか説明できません。ログだけでは、そもそも権限付与が適切だったか判断できません。三つを連動させることが、実効的な秘密情報管理です。

法令・公的資料

• e-Gov法令検索「不正競争防止法」
• 経済産業省「営業秘密 ― 営業秘密を守り活用する」
• 経済産業省「営業秘密管理指針」
• 経済産業省「秘密情報の保護ハンドブック ― 企業価値向上に向けて」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」
• 独立行政法人情報処理推進機構（IPA）「組織における内部不正防止ガイドライン」

国際標準・技術資料

• NIST Computer Security Resource Center, Glossary ― audit log
• NIST SP 800-207, Zero Trust Architecture