割れ窓理論

建物の割れた窓を放置すると、やがて他の窓も壊され、地域全体が荒廃するという理論。情報セキュリティにおいては、軽微なルール違反を放置すると、やがて重大な不正につながるという考え方に応用される。

軽微な乱れを放置すると、より重大な犯罪を誘発するという理論。情報セキュリティでは、規程違反やクリアデスクの不徹底といった小さな逸脱を放置しないことが内部不正の抑止につながるとされる。

業務を適正に進めるための統制の仕組みが欠けていたり、有効に機能していなかったりする状態。職務が分離されていない、承認や点検の手続が形骸化しているといった状態は、内部不正や誤りを防げない組織的な脆弱性となる。

人が不正行為に及ぶのは「機会」「動機」「正当化」の3要素がそろったときであるとする理論で、米国の犯罪学者クレッシーが提唱した。内部不正の防止では、アクセス制御や監視で機会を減らし、処遇や職場環境の改善で動機を抑え、規程の周知で正当化させないようにする。

業務の過程、人の行動、システムの不備や障害、外部の事象が原因で損失が生じるリスク。事務処理の誤り、内部不正、システム障害、サイバー攻撃、災害などを含み、金融機関のリスク管理で使われてきた分類である。

IPAが公表している、企業などの組織が内部不正を防ぐための対策をまとめたガイドライン。犯罪予防の考え方に基づき、犯行を難しくする、捕まるリスクを高める、犯行の見返りを減らす、犯行の誘因を減らす、犯罪の弁明をさせない、の5つの基本原則に沿って、経営者の責任、アクセス権の管理、教育、監視などの対策を示している。

利用者や機器の通常の行動パターンを学習し、そこから逸脱した異常な振る舞いを検知するセキュリティ技術。内部不正や不正アクセスの兆候を、従来のルールベースでは検出困難なケースでも機械学習により検知できる。

犯行の機会そのものを減らすことで不正を防ぐという考え方。労力の増加、リスクの増加、報酬の減少、言い訳の排除などの観点から対策を設計する。内部不正防止では、アクセス制限や監視の可視化がこれに当たる。