機密文書とは、一般的に、業務上取り扱う情報のうち、外部への漏えいや不適切な利用によって企業や顧客、取引先などに損害を与えるおそれがある文書を指します。

たとえば、次のようなものが挙げられます。

・顧客情報や個人情報を含む資料
・契約書や取引条件に関する資料
・経営計画や事業計画
・製品や技術に関する設計図、仕様書
・研究開発に関する情報
・人事情報や給与情報
・未公表の決算資料
・取引先から秘密として提供された情報

どこまでを機密情報として扱うかは、企業や組織によって異なります。

そのため、まずは自社にとってどのような情報を保護すべきなのかを明確にし、一定の基準に基づいて管理することが重要です。

機密文書管理の第一歩は、情報の重要度に応じた区分を決めることです。

すべての文書を同じレベルで厳重に管理すると、業務負担が大きくなります。一方で、重要度の高い情報まで一般文書と同じように扱えば、情報漏えいのリスクが高まります。

そこで、

・極秘
・社外秘
・部外秘
・関係者外秘

など、自社の業務実態に応じて機密区分を設定します。

重要なのは、区分の名称そのものよりも、「どのような情報がどの区分に該当するのか」を明確にすることです。たとえば、「外部に公開していない情報はすべて社外秘」といった曖昧な基準では、人によって判断が変わってしまいます。

情報が漏えいした場合の影響や、閲覧を認めるべき範囲などを踏まえて、具体的な判断基準を定めておくと運用しやすくなります。

機密文書を適切に扱うためには、その文書が機密情報であることを利用者が認識できるようにする必要があります。

紙文書であれば、「社外秘」「極秘」などの表示を表紙や文書上部に記載すると分かりやすくなります。

電子文書の場合も、ファイル名や文書内への表示だけでなく、保存場所そのものを分ける方法があります。

たとえば、

「極秘情報専用フォルダ」
「プロジェクト関係者限定フォルダ」

など、保存場所とアクセス権を組み合わせることで、利用者が重要性を認識しやすくなります。ただし、表示を付けるだけでは情報を守ることはできません。「機密表示」「アクセス制限」「保存場所」「取扱ルール」をセットで考えることが重要です。

電子文書の管理では、アクセス権の設定が非常に重要です。共有フォルダやクラウドストレージを確認すると、本来は一部の担当者だけが閲覧すべき文書を、社員全員が閲覧できる状態になっていることも珍しくありません。機密情報は、業務上必要な人だけがアクセスできる「必要最小限」の考え方を基本にします。

特に注意したいのが、異動や退職、プロジェクト終了後のアクセス権です。一度付与したアクセス権をそのままにしていると、

・異動した社員が以前の部署の情報を閲覧できる
・退職者のアカウントが残っている
・終了したプロジェクトのメンバーが引き続きアクセスできる

といった状態が発生します。

アクセス権は設定して終わりではなく、定期的に見直すことが重要です。

少なくとも、組織変更、人事異動、退職、プロジェクト終了、委託終了などのタイミングで速やかに権限を停止し、確認する仕組みを設けるとよいでしょう。

電子文書への移行が進んでいても、契約書や設計図、申請書など、紙で保管されている機密文書は依然として多く存在します。

紙文書の場合は、

・施錠できるキャビネットに保管する
・閲覧できる人を限定する
・机上に放置しない
・不要なコピーを作成しない
・社外への持ち出しルールを定める

といった対策が基本になります。

特に注意したいのが、一時的な利用です。

会議や作業のためにキャビネットから取り出した文書が、そのまま机の上に放置されると、管理された保管場所から外れてしまいます。また、機密文書をコピーした場合、原本だけでなくコピーも同じように管理する必要があります。

「原本は厳重に管理しているが、コピーは各担当者の机に残っている」といった状態にならないよう、複製物も含めて管理することが重要です。

電子文書では、「どこに保存されているか分からない」という問題が発生しやすくなります。共有フォルダ、クラウドストレージ、個人PC、メール、チャットなどに機密情報が分散すると、管理が困難になります。

そのため、機密文書については、

「原則として会社が指定した保存場所に保存する」

というルールを設けることが重要です。

個人PCのデスクトップやダウンロードフォルダなどに保存すると、バックアップやアクセス管理が十分に行えない可能性があります。また、同じ文書が複数の場所に保存されると、どれが正式な文書なのか分からなくなることもあります。

保存場所とあわせて、

・正式版の保存方法
・作業途中のファイルの保存場所
・不要になった複製ファイルの取扱い

といったルールも決めておくと、より管理しやすくなります。

近年、機密情報管理で特に注意が必要なのが、クラウドサービスや生成AIなどの外部サービスです。

業務を効率化するために便利なサービスが増える一方で、従業員がそれぞれの判断で文書をアップロードすると、企業側が情報の所在を把握できなくなる可能性があります。

そのため、

・会社が認めたサービスのみ利用する
・機密情報を入力・アップロードできるサービスを明確にする
・利用規約やデータの取扱条件を確認する
・必要に応じて利用対象となる情報を制限する

といったルールが必要です。

特に生成AIでは、文書の要約や文章作成のために社内資料を入力するケースがあります。

利便性だけでなく、「その情報を外部サービスに入力してよいのか」という観点から、機密情報の取扱ルールを見直す必要があります。

近年は、テレワークや在宅勤務、外出先での業務、Web会議など、オフィスの外で機密情報を取り扱う機会が増えています。社内では適切に管理されていた情報でも、場所や利用環境が変わることで、新たなリスクが生じることがあります。

在宅勤務では、家族や同居人など、業務とは関係のない第三者に機密情報を見られたり、会話を聞かれたりしないよう注意が必要です。

たとえば、

・機密文書を机上に放置しない
・離席時にはパソコンをロックする
・業務用端末を家族などと共用しない
・画面を第三者から見られにくい場所で作業する
・紙文書を自宅へ持ち出す場合のルールを定める

またカフェや交通機関、共用スペースなどで仕事をする場合は、第三者による画面の覗き見や会話の聞き取りに注意が必要です。

特に、機密性の高い資料を開いたまま離席したり、周囲に人がいる場所で機密事項について通話したりすることは避ける必要があります。

公衆無線LANなど、安全性を十分に確認できない通信環境の利用についても制限し、会社が認めた通信方法やVPNなどを利用するルールを設けておくとよいでしょう。

機密文書は、保管している間だけでなく、廃棄が完了するまで適切に管理する必要があります。紙文書であればごみ箱に捨てるのではなく、シュレッダー処理や溶解処理など、内容を判読できない状態にして廃棄します。

外部の廃棄業者に委託する場合は、

・回収（集荷）方法
・輸送時の管理
・機密保持の締結
・再委託の有無確認
・廃棄完了の確認や証明

などもルール化しておくことがポイントです。

電子文書も、単にファイルを削除しただけでは、バックアップや別の保存場所にデータが残っている場合があります。保存期間が終了した文書については、不要な複製物も含めて確認し、組織として定めた方法で確実に廃棄することが重要です。

機密文書管理では、規程やルールを作成することも重要ですが、それだけで適切な管理が実現するわけではありません。ルールを社員に周知し、実際の業務で守られているかを継続的に確認する仕組みが必要です。

実際の業務では、

「ルールはあるが社員に知られていない」
「担当者によって機密文書の扱い方が異なる」
「古いルールのままでクラウド利用に対応していない」
「アクセス権が何年も見直されていない」

といったケースもあります。

こうした状態を防ぐためには、入社時や定期的な社員研修・教育を通じて、機密区分の考え方や保存・持ち出し・廃棄の方法、電子メールやクラウドサービス利用時の注意点などを周知することが重要です。

さらに、テレワークや在宅勤務、外出先での業務、Web会議などを想定した教育も実施します。

たとえば、

「自宅で機密資料を扱う場合はどうするか」
「カフェでパソコンを利用するときは何に注意するか」
「Web会議で機密資料を画面共有するときはどうするか」
「生成AIに社内資料を入力してよいか」

といった具体的な事例を研修に取り入れることで、社員が実際の業務で判断しやすくなります。

また、定期的な監査や自己点検によって、決められたルールが守られているかを確認することが望まれます。

たとえば、

・機密文書が指定された場所に保管されているか
・不要な機密文書が机や共有スペースに放置されていないか
・アクセス権が適切に設定されているか
・異動者や退職者のアクセス権が残っていないか
・保存期間を過ぎた文書が放置されていないか
・テレワーク時の持ち出しルールが守られているか
・会社が認めていない外部サービスが使用されていないか

といった項目を定期的に確認します。

監査や点検で問題が見つかった場合には、単に担当者へ是正を求めるだけでなく、「ルールが分かりにくかったのか」「実際の業務に合っていなかったのか」といった原因も確認し、必要に応じて規程や運用方法を見直すことが重要です。一方的な押し付けだけでは、みんながルールを守ってくれません。

働き方やIT環境は継続的に変化しています。紙中心だった時代のルールをそのまま使うのではなく、共有フォルダやクラウド、テレワーク、Web会議、生成AIなど、現在の業務環境に合わせて定期的に見直す必要があります。

「ルールの整備」「社員への教育」「運用状況の点検・監査」「ルールの見直し」までを一連のサイクルとして継続することが、機密文書を適切に管理するためのポイントです。

・機密区分を明確にする
・機密文書であることを分かるようにする
・閲覧できる人を必要最小限にする
・紙文書の保管場所と持ち出しを管理する
・電子文書の保存場所を統一する
・外部サービスへのアップロードルールを決める
・廃棄時まで機密性を維持する
・定期的な社員教育や監査などによって維持継続を図る

ニチマイでは、文書管理規程や機密情報取扱ルールの見直し、紙文書・電子文書の管理方法の整理、共有フォルダの運用改善など、各組織の実態に合わせた文書管理の支援を行っています。

機密文書の管理方法や社内ルールの見直しでお困りの場合は、お気軽にご相談ください。