社内で営業秘密を管理するための
具体的な対策

以下の判断の流れは、社内で営業秘密を管理するための具体的な対策をどの順番で設計するかを表します。守る対象、保護水準、認識可能性、持出し防止、証拠化、人事イベント、形骸化防止の順に見ることで、個別ツール導入の前に全体像を読み取れます。

社内で営業秘密を管理するための具体的な対策は、単に「マル秘」と印字することでも、すべての資料を金庫に入れることでもありません。営業秘密管理の核心は、会社が特定の情報を秘密として管理する意思を、従業員・役員・委託先・取引先など実際に情報へ接する者が容易に認識できる状態にし、その状態を日常業務の中で維持することです。

日本の不正競争防止法上、「営業秘密」として保護されるには、一般に「秘密管理性」「有用性」「非公知性」の3要件を満たす必要があります。経済産業省も、営業秘密は不正競争防止法で定義され、「有用性」「秘密管理性」「非公知性」の3要件を満たす情報であると説明しています。 また、同省の「営業秘密管理指針」は、不正競争防止法による保護を受けるために必要となる最低限の水準の対策を示す資料として位置づけられています。

したがって、実務で採るべき対策は、次の順序で設計します。

1. 何を守るかを決める ― 顧客リスト、価格表、原価情報、製造条件、設計図、ソースコード、研究データ、失敗実験データ、提案資料、営業戦略などを棚卸しする。
2. どの程度守るかを決める ― 情報の価値、漏えい時の損害、利用頻度、アクセス人数、保存媒体、外部共有の有無に応じて分類する。
3. 秘密と分かるようにする ― 表示、規程、教育、NDA、権限設定、区域管理、ログ取得などにより、秘密管理意思を明示する。
4. 近寄りにくく、持ち出しにくく、見つかりやすくする ― アクセス制御、媒体制限、暗号化、印刷・USB・外部共有制限、操作ログ、入退室記録、EDR、DLP等を組み合わせる。
5. 証拠を残す ― 誰が、いつ、どの秘密に、どの権限で、どの操作をしたかを追跡できるようにする。
6. 人の動きに合わせる ― 入社・異動・プロジェクト参加・退職・委託開始終了・共同研究開始終了の各時点で権限・誓約・教育を更新する。
7. 形骸化を避ける ― 全情報を漫然と「社外秘」とするのではなく、実際のリスクに応じた分類・運用・監査を行う。

このページでは、社内で営業秘密を管理するための具体的な対策を、法律要件、内部統制、情報セキュリティ、人事労務、取引先管理、クラウド・生成AI、事故対応まで含めて体系的に解説します。

次の重要ポイントは、営業秘密の3要件を実務上どの観点で確認するかを整理したものです。3つの要件はどれか一つだけでは足りないため、表示や権限だけでなく、有用性と非公知性の根拠まで同時に読むことが重要です。

3.1 秘密管理性 ― 最重要要件は「認識可能性」である

秘密管理性とは、情報が秘密として管理されている状態をいいます。経済産業省の営業秘密管理指針は、秘密管理性について、秘密管理意思が具体的状況に応じた経済合理的な秘密管理措置によって従業員に明確に示され、従業員が当該意思を容易に認識できる必要があると整理しています。

秘密管理性の実務上のポイントは、次の3点です。

第一に、秘密であることが分かる表示・区分が必要です。紙文書に「社外秘」「営業秘密」「Confidential」と表示する、電子ファイル名やフォルダ名に分類を付す、画面表示やヘッダーに秘密表示を入れる、保管棚や研究室に「関係者以外立入禁止」と掲示するなどの措置が該当します。

第二に、誰が見てよいかを限定する仕組みが必要です。アクセス権限、施錠、入退室管理、閲覧者リスト、配布先管理、クラウドの共有範囲設定などです。ただし、秘密管理性は「鉄壁の管理」を要求するものではありません。情報の性質、会社規模、業態、アクセス人数、利用態様によって必要な管理の程度は異なります。

第三に、規程・誓約・教育によって規範意識を作ることが必要です。就業規則、秘密情報管理規程、秘密保持誓約書、研修、eラーニング、プロジェクト開始時の説明、退職時面談などを通じて、「この情報は一般情報とは扱いが違う」と理解できる状態を作ります。

営業秘密管理指針は、秘密管理措置として、媒体の選択・表示、媒体に接触する者の限定、営業秘密と他の情報との分別管理、営業秘密の種類・類型のリスト化、就業規則・秘密保持契約・誓約書、従業員への研修・啓発などを例示しています。

3.2 有用性 ― 直接売上につながらない情報も保護対象になり得る

有用性とは、その情報が客観的に事業活動に有用であることです。営業秘密管理指針は、有用性について、事業活動に使用・利用されていれば基本的に保護の必要性を肯定でき、現に使用されている情報に限らず、間接的・潜在的価値がある情報も含まれると説明しています。たとえば、過去に失敗した研究データや製品の欠陥情報のような「ネガティブ・インフォメーション」も有用性を有し得ます。

実務では、次のような情報が候補になります。

ただし、公序良俗に反する情報、違法行為を隠すための情報などは、法律上保護される正当な利益を欠く可能性があります。営業秘密管理は、コンプライアンス違反を隠す制度ではなく、正当な競争優位を守る制度です。

3.3 非公知性 ― 秘密は「知られていない」だけでなく「容易に知り得ない」必要がある

非公知性とは、情報が一般に知られておらず、または容易に知ることができない状態をいいます。営業秘密管理指針は、合理的な努力の範囲内で入手可能な刊行物に記載されていない、公開情報や一般に入手可能な商品等から容易に推測・分析されないなど、保有者の管理下以外では一般的に入手できない状態を非公知性の判断要素として説明しています。

実務で注意すべき典型場面は次のとおりです。

• 展示会、学会、ウェビナー、営業資料、採用資料で、技術条件や価格戦略を不用意に開示していないか。
• 特許出願、公報、論文、製品マニュアル、GitHub、技術ブログ、FAQで同じ情報が公開されていないか。
• 市販製品を簡単に解析すれば、製法・配合・構造が分かってしまわないか。
• 取引先にNDAなしで提供し、その後相手方内で自由に共有されていないか。
• 生成AIやクラウドツールに入力した情報が、サービス提供者や第三者に利用・閲覧・学習され得る設定になっていないか。

非公知性は、情報漏えい後に大きな争点になりやすい要件です。そのため、営業秘密管理台帳には「非公知性を支える根拠」、たとえば公開資料に含まれていないこと、社内限定で共有していること、製品解析では容易に判明しないこと、取引先とはNDAを締結していることを記録しておくべきです。

営業秘密管理の第一歩は、会社が何を持っているかを把握することです。守る対象が不明確なまま規程やNDAを作っても、現場は何をしてよいか分かりません。

5.1 営業秘密候補台帳の項目

営業秘密候補台帳には、少なくとも次の項目を設けます。

台帳は、営業秘密の内容そのものを詳細に記載しすぎると、台帳自体が高リスク情報になります。そのため、台帳には秘密の「特定に必要な範囲」を記載し、詳細本体は権限管理された別領域に保管します。

5.2 棚卸しの進め方

棚卸しは、法務だけで完結しません。研究開発、営業、製造、情報システム、人事、経営企画、経理、購買、品質保証、カスタマーサポートなど、情報を実際に保有・利用する部門を巻き込む必要があります。

実務的には、次の手順が有効です。

1. 法務・知財・情報システムが共同で棚卸しフォーマットを作成する。
2. 各部門長を「情報オーナー」として指定する。
3. 各部門が、自部門の重要情報を一覧化する。
4. 法務・知財が営業秘密該当性を一次評価する。
5. 情報システムが技術的管理可能性を確認する。
6. 経営会議または情報管理委員会で重要営業秘密を承認する。
7. 半期または年1回、台帳を更新する。

棚卸しでは、情報の価値だけでなく、使われ方を確認することが重要です。同じ顧客リストでも、営業全員が日常的に使う情報と、役員・営業企画だけが閲覧する価格戦略資料では、必要な管理措置が異なります。

7.1 アクセス権限の基本原則

営業秘密へのアクセスは、「知る必要がある者」に限定します。これは単なるセキュリティ標語ではなく、秘密管理性と漏えい防止の双方に関わる実務原則です。

具体的には、次のルールを設けます。

• 部門単位ではなく、業務上の必要性に応じてアクセスを付与する。
• 共有アカウントを禁止し、個人IDで操作履歴を残す。
• 管理者権限と利用者権限を分離する。
• 重要営業秘密へのアクセスは情報オーナー承認制にする。
• 異動、兼務解除、プロジェクト終了、退職時に速やかに権限を削除する。
• 少なくとも四半期または半期ごとにアクセス権限を棚卸しする。
• 外部共有リンクは期限付き・閲覧者限定・ダウンロード制限付きにする。

アクセス権限は、付与よりも削除が難しい領域です。人事情報とID管理を連携し、異動・退職情報が情報システム部門に自動通知される仕組みを構築します。

7.2 技術的な実装例

次の比較表は、営業秘密への接近を限定し、操作履歴を残すための技術領域を整理したものです。認証、権限、クラウド、端末、ネットワーク、開発環境、データベースのどこで管理が必要かを読み取ることで、自社の弱い領域を優先して補えます。

7.3 クラウド利用時の注意

営業秘密管理指針は、外部クラウドを利用して営業秘密を保管・管理する場合でも、秘密として管理されていれば秘密管理性が失われるわけではなく、階層制限に基づくアクセス制御などの措置が考えられると説明しています。

クラウド利用時には、次の確認が必要です。

• 契約上、クラウド事業者がデータをどの目的で利用できるか。
• サポート担当者や委託先がデータにアクセスできる条件は何か。
• データの保存国・移転先はどこか。
• ログはどの期間保存されるか。
• 退職者・委託終了者のアカウントを即時停止できるか。
• 共有リンクが検索エンジンや外部ユーザーに露出しないか。
• 生成AI機能が組み込まれている場合、入力データが学習・再利用されないか。

クラウドは危険だから使わない、という結論は現実的ではありません。むしろ、個人端末やローカル保存に散逸するより、統制されたクラウドに集約した方が管理しやすい場合もあります。重要なのは、契約・設定・ログ・教育を一体で設計することです。

9.1 秘密情報管理規程に盛り込む事項

経済産業省のハンドブックは、秘密情報の取扱い等に関する社内規程に、適用範囲、秘密情報の定義、秘密情報の分類、分類ごとの対策、管理責任者、アクセス権の指定責任者などを盛り込むことを示しています。

社内規程には、少なくとも次を記載します。

1. 目的
2. 適用対象者 ― 役員、従業員、契約社員、派遣社員、業務委託者等
3. 秘密情報・営業秘密の定義
4. 情報分類
5. 分類ごとの表示・保管・共有・廃棄ルール
6. アクセス権限の付与・変更・削除手続
7. 外部提供時の承認・NDA手続
8. テレワーク時の取扱い
9. 生成AI・クラウド利用時の取扱い
10. 私物端末・USB・個人メール・個人クラウドの禁止または制限
11. 印刷・撮影・録音・画面共有のルール
12. 事故・紛失・誤送信時の報告義務
13. ログ取得・モニタリングの目的と範囲
14. 違反時の社内処分
15. 退職後の秘密保持義務
16. 規程の見直し手続

9.2 誓約書は「退職時だけ」では足りない

秘密保持誓約書は、退職時に提出を求めるだけでは不十分です。退職時に拒否される可能性もあり、在職中から秘密保持義務を明確化しておく必要があります。

実務では、次のタイミングで誓約・説明を行います。

9.3 教育は「年1回のeラーニング」だけで終わらせない

教育は、一般研修、部門別研修、役職者研修、退職予定者説明、取引先向け説明を組み合わせます。

教育内容には、次を含めます。

• 営業秘密の3要件
• 自社の営業秘密の具体例
• 秘密表示の読み方
• してはいけない行為 ― 個人メール転送、私物USB、無断クラウド保存、SNS投稿、生成AI入力、競合への開示
• 誤送信・紛失・盗難時の報告方法
• 退職後も守るべき義務
• 他社の営業秘密を持ち込まないルール
• 違反時の民事・刑事・社内処分リスク

教育記録は、受講日時、受講者、教材、テスト結果、誓約の有無を保存します。漏えい時には、会社が秘密管理意思を明確に示していた証拠にもなります。

IPAは、内部不正による顧客情報や製品情報などの漏えいは事業の根幹を揺るがすインシデントであり、内部不正対策が組織にとって喫緊の課題であると説明しています。また、IPAの内部不正防止ガイドラインは、基本方針、資産管理、技術的管理、職場環境、事後対策等の観点で具体的対策を示しています。

営業秘密漏えいは、退職・転職・独立・競合入社・委託終了の局面で発生しやすいため、退職者対応は制度化が必要です。

11.1 退職予定者対応チェックリスト

次の比較表は、退職意向の把握から退職後確認までの各時点で行うべき対応を示します。退職前後は持出しリスクが高まりやすいため、時点ごとの確認事項を読むことで、証拠保全と権限削除の抜けを防げます。

退職者に対しては、威圧的な対応ではなく、具体的に「どの情報を持ち出してはいけないか」「どの資料を返却すべきか」「転職先で何に注意すべきか」を説明します。

11.2 競業避止義務は慎重に設計する

退職後の競業避止義務は、従業員の職業選択の自由と衝突し得るため、過度に広い制限は無効・不適切と評価される可能性があります。営業秘密保護の目的であっても、対象者、期間、地域、業務範囲、代償措置、対象情報の具体性を検討する必要があります。

実務上は、競業そのものを広く禁止するより、営業秘密の使用・開示禁止、顧客勧誘禁止、資料持出禁止、返却義務、転職先への持込禁止を明確化する方が現実的な場合が多いです。競業避止条項を設ける場合は、弁護士・社労士等の専門家に確認すべきです。

11.3 他社からの転職者を受け入れる側の対策

自社の営業秘密を守るだけでなく、他社の営業秘密を意図せず侵害しないことも重要です。転職者受入時には、次の対応を行います。

• 前職の資料・データ・USB・個人クラウドを持ち込ませない。
• 前職の営業秘密を聞き出す面談をしない。
• 入社時に「前職秘密情報を使用しない」誓約を取得する。
• 前職と競合する研究開発・営業活動に配置する場合は、担当範囲を慎重に設計する。
• 自社で独自に開発・作成した証拠を残す。
• 共同研究・M&A・採用時に他社秘密が混入しない手続を整備する。

この領域は紛争化しやすく、弁護士に相談すべき典型場面です。

13.1 テレワークは「場所の統制」が弱くなる

ハンドブックは、テレワークの普及により、情報の利用・アクセス場所が企業内中心から自宅やサテライト施設など企業外部へ浸透・常態化し、情報管理・利用のあり方が変容していると指摘しています。

テレワーク時の対策は次のとおりです。

• 会社貸与端末を原則とする。
• 私物端末利用は例外承認制とし、MDM・暗号化・マルウェア対策を必須にする。
• ローカル保存を制限し、クラウドまたはVDIで作業させる。
• 多要素認証を必須にする。
• 公共Wi-Fi利用を制限し、VPNまたはZTNAを利用する。
• 自宅以外のカフェ・交通機関での重要営業秘密閲覧を禁止または制限する。
• 画面覗き見防止、離席時ロック、家族共用端末禁止を定める。
• 印刷を禁止または承認制にする。
• オンライン会議での画面共有・録画・録音ルールを定める。

13.2 生成AI利用ルール

ハンドブックは、AI開発時のデータ学習や外部生成AIへの不用意な入力により、意図しない情報漏えいにつながる懸念があると指摘しています。 また、生成AI利用時には、入力した情報が社外に流出・公開等される可能性を踏まえ、流出したら困る情報は使用・入力しないといった対応が重要であると説明しています。

生成AIについては、次のルールを定めます。

生成AIの禁止だけでは、個人利用やシャドーITを招くことがあります。安全に利用できる公式環境を整備し、利用してよい情報といけない情報を明確にすることが現実的です。

社内で営業秘密を管理するための具体的な対策は、社内で設計できる部分が多い一方、紛争・労務・契約・刑事対応に関わる局面では、早期の専門家相談が重要です。

弁護士への相談が特に有効な場面は、次のとおりです。

弁護士に相談する際は、抽象的に「漏えいしたかもしれない」と伝えるだけでなく、営業秘密候補台帳、アクセスログ、対象情報、秘密表示、NDA、教育記録、退職者情報、時系列を整理して持参すると、初動が速くなります。

次の強調表示は、中小企業やスタートアップが最初に見るべき優先順位を示します。すべての高度なツールを一度に導入するのではなく、重要情報の特定、アクセス制限、退職者対応、外部提供管理から始めることを読み取れます。

営業秘密管理は、大企業だけの問題ではありません。むしろ、中小企業やスタートアップでは、少数のノウハウ・顧客・技術に企業価値が集中していることが多く、漏えい時の影響は深刻です。

一方で、すべての高度なセキュリティツールを導入することは現実的ではありません。まずは、次の10項目から始めるべきです。

1. 重要情報を10〜30個に絞って台帳化する。
2. 重要ファイル・フォルダ名に「営業秘密」等の表示を付ける。
3. 顧客リスト、価格表、製法、ソースコードのアクセス権を限定する。
4. 共有リンクの外部公開を禁止する。
5. 退職者アカウントを退職日に必ず削除する。
6. 入社時・退職時の秘密保持誓約書を整える。
7. 個人メール・個人クラウド・私物USBへの保存を禁止する。
8. 重要資料の印刷・持ち帰りを承認制にする。
9. NDAなしで技術・価格・顧客情報を外部提供しない。
10. 漏えい疑い時の相談先を決めておく。

IPAは、中小企業向けに情報セキュリティ対策の現状把握のための「5分でできる！情報セキュリティ自社診断」等のツールを提供しています。 こうした公的ツールを使い、まず現状の弱点を可視化することも有効です。

19.1 法務・知財チェック

• □ 営業秘密候補台帳がある。
• □ 情報分類基準がある。
• □ 秘密情報管理規程がある。
• □ 入社時・異動時・プロジェクト参加時・退職時の誓約書がある。
• □ NDA雛形に目的外使用禁止、返還・削除、監査、漏えい通知がある。
• □ 共同研究契約で成果帰属・発表承認・出願手続を定めている。
• □ 他社秘密情報の持込禁止ルールがある。

19.2 情報システムチェック

• □ 重要情報へのアクセス権限が限定されている。
• □ 退職者・異動者の権限削除手順がある。
• □ 多要素認証が導入されている。
• □ クラウド共有リンクの外部公開を制御している。
• □ USB・個人クラウド・個人メールへの持出しを制限している。
• □ ログを取得・保存・監査している。
• □ 端末暗号化、MDM、EDR等を導入または検討している。

19.3 人事・総務チェック

• □ 入社時研修で営業秘密を説明している。
• □ 退職予定者対応流れがある。
• □ 貸与端末・社員証・媒体の返却確認がある。
• □ 従業員モニタリングの目的・範囲を就業規則等で周知している。
• □ 相談窓口・内部通報窓口がある。
• □ 働きやすい職場環境や公正な評価に関する施策がある。

19.4 現場部門チェック

• □ 部門固有の営業秘密を把握している。
• □ 紙資料・試作品・実験ノートの保管ルールがある。
• □ 工場・研究室・サーバ室の入退室管理がある。
• □ 外部発表・展示会・営業資料を事前確認している。
• □ 取引先に開示した情報と開示日を記録している。

• e-Gov法令検索「不正競争防止法」
• 経済産業省「営業秘密〜営業秘密を守り活用する〜」
• 経済産業省「営業秘密管理指針」
• 経済産業省「秘密情報の保護ハンドブック〜企業価値向上に向けて〜」
• 経済産業省「不正競争防止法の概要」
• IPA「組織における内部不正防止ガイドライン」
• IPA「5分でできる！情報セキュリティ自社診断」