営業秘密をクラウドで安全に保管・共有するには、情報の区分、必要最小限のアクセス権限、外部共有時の制御、操作ログ・証跡の管理、異動・退職時の権限見直しなどを一体で設計することが重要です。以下では、経済産業省「営業秘密管理指針」を踏まえ、営業秘密をクラウドストレージで管理する際の具体的なポイントを解説します。
Contents
営業秘密として保護されるための前提
不正競争防止法上の「営業秘密」に該当するには、①秘密として管理されていること（秘密管理性）、②事業活動に有用な技術上又は営業上の情報であること（有用性）、③公然と知られていないこと（非公知性）の3要件を満たす必要があります。
このうち、クラウドストレージの運用設計と特に関係するのが「秘密管理性」です。経済産業省の「営業秘密管理指針」では、秘密管理性を判断する際の考え方が整理されています。本記事では、この秘密管理性を中心に、クラウドストレージでの権限・ログ設計を扱います。
出典：経済産業省
クラウド上の秘密管理性を左右する考え方
指針は、秘密管理性の有無を「法人全体」で一律に判断するのではなく、支店や事業本部といった「管理単位」ごとに判断するとしています。管理単位内の従業員が、その単位における秘密管理措置に対して認識可能性を持っていればよいとされ、ある管理単位で秘密管理措置が不十分であっても、それが直ちに他の管理単位の秘密管理性を否定するものではないと整理されています。
ただし、他の単位における管理不徹底が継続的・公然の事実として社内に広まっている場合は、従業員の認識可能性が損なわれ、秘密管理性が否定されうるともされています。
紙と電子データなど複数の媒体で同一の情報を管理する場合には、それぞれの媒体で秘密管理措置が講じられることが原則ですが、いずれかの媒体への秘密管理措置（マル秘表示等）によって秘密管理意思の認識可能性が認められれば、他の媒体だけでは認識しにくい場合でも秘密管理性は維持されるのが通常とされています。
クラウドストレージへ移行する際も、紙の運用と電子データの運用の間で秘密管理措置に齟齬が生じていないかを確認する必要があります。
生成AIに情報を連携・入力する場合の注意点
クラウドストレージ上の情報を生成AIへ連携・入力する運用では、秘密管理性への影響にも注意が必要です。経済産業省の「営業秘密管理指針」では、秘密管理されている情報を生成AIに利用し、その後同じ管理単位内でAI生成物として当該情報が出力された場合でも、その一事をもって秘密管理性が直ちに否定されるわけではないとされています。
一方、その情報が当該企業以外の第三者（生成AI提供事業者等）へ提供される場合には、秘密管理性が否定される可能性もあるとされています。外部の生成AIサービスへクラウド上のファイルを連携・入力する場合は、情報の取り扱いや提供範囲を事前に確認することが重要です。
社内外での共有パターンによる整理
- 社内の複数拠点（支店・事業本部等）で同一情報を保有する場合：管理単位ごとに秘密管理措置の有無が判断されます。
- 子会社・取引先・業務委託先など企業外と共有する場合：秘密管理性は法人（管理単位）ごとに判断されるのが原則であり、別法人内部の管理状況は自社の秘密管理性そのものには影響しないとされています。
情報分類とフォルダ設計
秘密管理性の出発点は、従業員等が「この情報は秘密として管理されている」と認識できる状態を作ることです。クラウドストレージ上では、まず秘密情報を一般情報から合理的に区分し、フォルダ名や運用ルール、アクセス権限などを通じて、秘密として管理する対象を従業員等が認識できる状態にします。
Fleekdriveでは、各フォルダやファイルごとにアクセス権限を設定でき、さらにフォルダごとにアクセス元をIPアドレスで制限できます。あらかじめ許可したIPアドレス以外からのアクセスを制限できるため、インターネットカフェや許可していない拠点からのアクセスを抑止する設計に利用できます。
最小権限によるアクセス設計
クラウドストレージのアクセス権限は、「業務に必要な人だけが、必要な情報にアクセスできる状態」を基本として設計します。部署・役職・プロジェクトなどの単位でアクセス範囲を整理し、必要以上の閲覧・編集権限を付与しないことが重要です。
設定後も、異動や組織変更、プロジェクト終了などに応じて権限を見直し、不要なアクセス権限を残さないようにします。定期的な棚卸しも、権限と実際の業務内容との乖離を防ぐうえで有効です。
外部共有時のアクセス制御
社外の関係会社や業務委託先と情報を共有する場合は、「誰がアクセスできるか」に加えて、「どこからアクセスできるか」「いつまで共有するか」「どの操作を許可するか」まで含めて設計することが重要です。
特に、案件終了後も共有状態が継続したり、必要以上に長い期間アクセスできたりする状態は避ける必要があります。共有先や情報の機密度に応じて、認証方法、アクセス元、公開期間、ダウンロード条件などを設定します。
持ち出し抑止とログ・証跡の保存
営業秘密をクラウドストレージで扱う場合は、不正な持ち出しを防ぐ対策と、問題発生時に操作状況を確認できる仕組みを用意しておくことが重要です。持ち出し対策としては、ダウンロードや印刷、コピーなどの操作を必要に応じて制限し、共有相手や情報の機密度に応じて利用範囲を設定します。また、操作ログを取得・保存しておくことで、「誰が・いつ・どの情報に・どのような操作を行ったか」を後から確認しやすくなります。
ただし、ログ・証跡は秘密管理性を裏付ける補助的な資料にはなり得ますが、ログを保存していること自体が秘密管理性の要件を満たすことを意味するわけではありません。秘密管理性の判断では、従業員等が秘密として管理されている情報であると認識できる状態になっているかが重要です。
Fleekdriveで営業秘密管理を支える機能
Fleekdriveには、営業秘密をクラウド上で管理する際のアクセス制御や持ち出し対策、証跡管理に利用できる機能があります。ファイルやフォルダごとにアクセス権限を設定できるほか、フォルダ単位でアクセス元のIPアドレスを制限できます。また、2段階認証やSAML2.0によるシングルサインオンにも対応しています。
社外へのファイル配信では、パスワード、ダウンロード回数、公開期間を設定できます。さらに、PDFファイルの印刷・コピー＆ペーストの制限や、ダウンロード時に日時・ユーザID・テキストなどを表示する透かし機能も利用できます。
操作記録については、ログインからログアウトまでの証跡を保存し、過去5年分のデータから特定のユーザや操作を抽出できます。監査オプションでは、業務時間外のアクセスや深夜の大量ダウンロードなどの操作を検知し、管理者へ通知することも可能です。
こうした機能を、情報の機密度や共有相手、社内の運用ルールに応じて組み合わせることで、アクセス権限の管理から外部共有、持ち出し抑止、事後確認までを一貫して設計できます。
クラウド運用における管理措置マトリクス
| 管理措置 | 目的 | クラウド上での対応例 |
| 秘密情報の合理的区分・秘密管理措置 | 秘密管理意思の認識可能性の確保 | 秘密情報を専用フォルダ等に区分し、フォルダ名・運用ルール・アクセス権限などで秘密として管理する対象を明確化 |
| 最小権限設定 | 閲覧者の限定 | 部署別・役職別・プロジェクト別のグループ権限設計 |
| 外部共有時の認証強化 | なりすまし・不正アクセスの抑止 | 2段階認証、シングルサインオン、サブドメイン運用 |
| 持ち出し抑止 | 無断複製・流出の抑止 | PDFの印刷・コピー制限、透かし表示 |
| ログ・証跡保存 | 事後の原因追及・補助的な証拠化 | 証跡機能（過去5年分）、監査オプションによる異常検知 |
退職・案件終了時の権限見直し
従業員の異動、退職、組織変更、プロジェクトの終了などに合わせてアクセス権限を速やかに見直すことが必要とされ、年に1〜2回程度の定期的な棚卸しによって、不要な権限が付与されたままになっていないかを確認することが挙げられています。管理単位の秘密管理性を維持する観点からも、権限が実態と乖離した状態を放置しないことが重要です。
チェックリスト
- 秘密指定した情報を専用フォルダに分離し、秘密管理意思を認識できる表示・運用になっているか
- 部署別・役職別・プロジェクト別のポリシーに基づき、最小権限でアクセス範囲を設定しているか
- 外部の関係会社・委託先との共有時に、IPアドレス制限・2段階認証等の仕組みを利用しているか
- 紙と電子データなど複数媒体で同一情報を管理している場合、秘密管理措置に齟齬がないか
- PDFの印刷・コピー制限や透かし表示など、持ち出し抑止の設定を行っているか
- 証跡・監査ログを一定期間保存し、必要時に特定のユーザ・操作を抽出できる状態にあるか
- 異動・退職・プロジェクト終了に応じて、権限を速やかに見直しているか
- 生成AIへの情報入力や外部提供が、秘密管理性に影響しないか確認しているか
よくある質問（FAQ）
Q1. 操作ログを保存していれば、秘密管理性の要件は満たされますか。
ログは事後の原因追及や補助的な資料として有用ですが、それ自体が秘密管理性の要件を満たすことを意味するものではありません。秘密管理性の判断では、従業員等が秘密管理意思を認識できる状態にあるかが重要とされています。
Q2. 支店ごとに管理状況が異なる場合、秘密管理性はどう判断されますか。
秘密管理性の有無は法人全体ではなく管理単位ごとに判断されるため、ある拠点の管理不備が直ちに他拠点の秘密管理性を否定するものではないとされています。ただし、その不備が継続的・公然の状態にある場合は影響し得るとされています。
Q3. クラウドストレージに保存した秘密情報を生成AIに入力した場合、秘密管理性は失われますか。
同一の管理単位内での利用にとどまる限り、その一事をもって直ちに秘密管理性が否定されるわけではないとされていますが、当該情報が生成AI提供事業者等の第三者に提供される場合は、秘密管理性が否定される可能性もあるとされています。
Q4. 共有期限を自動で切れるように設定することは必須ですか。
指針は共有期限の設定自体を秘密管理性の要件として定めているものではなく、必要性は自社のリスク評価によります。Fleekdriveのファイル配信では公開期間を指定でき、パスワードやダウンロード回数も設定できます。共有方法や情報の機密度に応じて、必要な期限・制限を設計してください。
まとめ
営業秘密をクラウドで管理するうえでは、フォルダ単位の秘密指定、部門別の最小権限、外部共有時のアクセス制御、持ち出し抑止、ログ・証跡の保存、そして退職・案件終了時の権限見直しを一体で設計することが重要です。あわせて、秘密管理性は管理単位ごとに判断され、複数媒体や社内外での共有状況によって考え方が異なる点にも注意が必要です。法的な評価は個別の事実関係によって異なるため、実際の運用設計にあたっては自社の状況に即した確認が欠かせません。
Fleekdriveは全プランを30日間無料で試せます。フォルダ・ファイル単位のアクセス権限、IPアドレス制限、証跡機能などが自社の運用に合うかを確認し、監査などの追加オプションが必要な場合は、利用条件を事前に確認してください。
