こんにちは。K.Platinum代表の沼田海斗です。
僕は24歳でこの会社を立ち上げて、今は3期目・27歳。社員は17人で、製造業・流通・金融の中堅企業を相手に、ITコンサル＋受託開発＋ジゴカツ（プログラミングスクール）の3本柱でやっています。
今日は、少し前にXで拡散していた"うっかり漏洩"の話をきっかけに、多くの会社が見落としている情報漏洩の経路について書きます。読んだあと、たぶん「うちも同じ穴が空いてる」と思うはずです。
1. 悪意はなかった — でも設計書はもう外に出ていた
きっかけは、Xで話題になった一件でした。転職活動中の、ある中堅SIerの社員が、応募書類をAIに整えてもらおうとした。履歴書、源泉徴収票、そして——業務で扱っていた社外秘の設計書まで、私用のAIに読み込ませていた、という投稿が拡散したんです。
たぶん、本人に悪意はありません。「これ、いい感じにまとめといて」くらいの軽い気持ちだったと思う。転職の準備を、いつも使っているAIでやっただけ。でも、その瞬間に、会社の機密は、会社が管理していない場所に、確実に渡っていました。
この話が刺さるのは、これが特別な誰かの失敗じゃないからです。転職活動は、多くの人が会社に隠れてやります。私用のスマホやノートPCで、私用のAIアカウントで。会社のルールが、いちばん届かないタイミングと場所で、いちばん機密に近い人（辞めようとしている人）が、AIを使う。この構図は、どの会社にもあります。
僕はこの投稿を見て、自社と、支援先のお客さんの両方で、同じ穴が空いていないかを点検し直しました。今日はその話です。
2. 会社が整えたAIの"外側"に漏洩経路がある
ここ2年、多くの会社が生成AIの利用ルールを整えてきました。会社としてどのAIを使うか決めて、社内データを入れていい範囲を決めて、ログも取る。ここまでやっている会社は、増えました。立派だと思います（調査では、AI利用ポリシーを明文化できている中小企業は2割ほどという報告もあります。ルールを整えた会社は、それだけで先を行っています）。
でも、そのルールが守っているのは、"会社が用意したAIの内側"だけなんです。問題は、漏洩がよく起きるのは、その外側だということ。具体的には、3つの経路があります。
ひとつ目、私用端末。会社支給のPCはがっちり管理していても、社員が自宅の私物PCやスマホで業務ファイルを開いてAIに投げたら、会社の管理はまったく効きません。
ふたつ目、私用アカウント。会社契約のAIには制限をかけていても、社員が個人で無料登録したAIに、同じ資料を貼り付けたら、それはもう会社の外です。個人アカウントの入力は、会社からは見えません。
みっつ目、退職前後。辞めることが決まった人、転職活動中の人は、成果物や資料を「自分のもの」として持ち出しがちです。そして、その持ち出し先が、いまはAIになっている。
会社のAIをどれだけ厳しく整えても、この3つの外側経路が開いていたら、機密は普通に外に出ます。内側の鍵を二重にしても、裏口が開いていたら意味がない。そういう話です。
3. 禁止しても止まらない理由
こう言うと、「じゃあ私用AIの使用を禁止すればいい」と思うかもしれません。でも、これがほとんど効かない。理由は単純です。
転職も、私用端末も、私用アカウントも、会社の業務ルールが届かない領域だからです。就業規則に「私用AIに機密を入れるな」と書くのは簡単です。でも、自宅で私物のスマホを使う社員を、会社は監視できない。辞めようとしている人が、こっそり資料を持ち出すのを、ルールの文言だけでは止められない。
しかも、禁止を強めるほど、逆効果になることもあります。「AIを使うな」と締め付けると、社員はますます隠れて使う。見えないところで使われるのが、いちばん危ない。ここは、社員のシャドーAI利用を頭ごなしに禁止せず、安全な使い道を整えて表に出す、という考え方（以前このブログでも書きました）と地続きです。
だから、僕らのアプローチは「人を疑って禁止する」ではありません。そもそも持ち出せないように、経路のほうを設計し直す。人の善意や記憶に頼るのをやめて、仕組みで塞ぐ。これが現実解でした。
4. 17人ITコンサルが引いた線
じゃあ、具体的に何をやったか。うちと、支援先の中堅企業で引いた線は、4本です。
① 機密を分類する。まず、全部の情報を同じ重さで守ろうとするのをやめました。「これは外に出たら致命傷」「これは出ても軽傷」を仕分けする。設計書・顧客データ・ソースコードのような致命傷級を、はっきり色分けする。守る対象を絞ると、守り方が具体的になります。
② 持ち出せない仕組みにする。致命傷級のファイルは、そもそも私用端末にコピーできない、外部に送れないようにする。会社PCから私物へのコピー制限、機密ファイルの持ち出し制御。技術で塞げるところは、技術で塞ぐ。「持ち出さないでね」というお願いを、「持ち出せない」という状態に変えるのがポイントです。
③ 退職フローを棚卸しする。退職・転職のタイミングを、危険地帯として扱い直しました。退職が決まった時点で、アクセス権を段階的に絞る。何を持っていて、何を返すべきかを、辞める前に整理する。辞める瞬間ではなく、辞めると決まった瞬間から線を引く。
④ 教育より導線設計。「気をつけましょう」の研修は、正直あまり効きません。それより、安全な道を、いちばん楽な道にする。会社が用意したAIで、安全に応募書類を整えられるなら、わざわざ私用AIに機密を貼る理由が減る。禁止で締めるより、安全な導線を一番歩きやすくするほうが、人は自然とそっちを通ります。
この4本は、どれも特別なツールがなくても始められます。分類して、致命傷級だけ物理的に持ち出せなくして、退職フローを見直して、安全な道を用意する。順番にやれば、小さい会社でも回せます。
ちなみに——こういう「監視ではなく設計で守る」進め方を、一緒に面白がって組み立ててくれるエンジニアを探しています。ピンときた方は、エンジニア募集の詳細を見る。
5. "人を疑う"より"経路を塞ぐ" — 小さい会社でも回る現実解
最後に、考え方の話を。
情報漏洩の対策というと、つい「社員を信用できるか」の話にしがちです。でも、17人の会社で、一人ひとりを疑いながら仕事をするのは、無理だし、したくない。信頼で成り立っている組織を、監視で壊したら本末転倒です。
だから僕らは、人を疑うのをやめて、経路を塞ぐことにしました。悪意がなくても機密が漏れてしまう"経路"を、仕組みで閉じる。そうすれば、社員を信じたまま、事故を防げる。性善説で人を扱い、性悪説で経路を設計する。この組み合わせが、小さい会社にはいちばん合っていました。
Xでバズったあの一件は、対岸の火事じゃありません。転職活動も、私用端末も、どの会社にもある。違いは、その経路に線を引いているかどうかだけです。悪意のない一人の「いい感じにまとめといて」で、会社の設計書が外に出る。それを止められるのは、本人の注意力ではなく、会社が引いた経路の設計です。
まとめます。
- Xでバズった漏洩は、転職活動中の社員が私用AIに社外秘の設計書まで読ませた"悪意なき"事故
- 会社が整えたAIの内側だけ守っても、外側3経路（私用端末・私用アカウント・退職前後）が空いている
- 禁止は効かない。転職・私用は業務ルールが届かない領域だから
- 引いた線は4本＝機密の分類／持ち出せない仕組み／退職フロー棚卸し／教育より導線設計
- "人を疑う"のではなく"経路を塞ぐ"。性善説で人を、性悪説で経路を設計する
採用観点 — ルールより仕組みで考えられる人と働きたい
最後に採用の話を。
セキュリティを「気をつけましょう」で終わらせず、仕組みで解ける人は、これからますます価値が上がります。人の善意に頼るのではなく、事故が起きない導線を設計できる人です。
僕らが採りたいのは、こんな人。
- 「禁止すればいい」で止まらず、なぜ守られないのかを経路から考えられる人
- 守る対象を全部と言わず、致命傷級に絞って優先度をつけられる人
- 監視で締め付けるより、安全な道を歩きやすくする発想ができる人
小さい会社ほど、監視ではなく設計でセキュリティを回すしかありません。そういう現実解を一緒に考えられる人には、面白い場所だと思います。
会社の構造上、面接は最初から代表の僕が出ます。「人を疑わずに、事故を防ぐ」やり方を、一緒に考えられる人と会いたいです。
沼田海斗（ぬまた・かいと）
株式会社K.Platinum代表。24歳で同社を創業し、現在3期目・27歳。ITコンサル・受託開発・ジゴカツ（プログラミングスクール）の3本柱で、17人のチームを率いる。
K.Platinumでは一緒に働くエンジニアを募集しています。「実力で正当に評価される環境」に興味がある方は、ぜひ採用ページをご覧ください。ご質問・カジュアル面談のお問い合わせもお気軽にどうぞ。