情報セキュリティ監査への対応
個人情報保護体制の不備は、M&A価格を暴落させる。買い手が求めるセキュリティ水準と認証取得の実践。
編集部この記事のポイント
- 結論1：セキュリティ体制の不備が発覚した場合、M&A価格が20〜40%減額されるケースがある
- 結論2：Pマーク取得企業は、未取得企業と比較して買い手からの評価が平均18%高い
- 結論3：アクセスログの保管期間は最低1年。監査時に提出できない場合、重大な減点要因となる
Disclaimer本記事はプロモーションを含む場合があります。 本記事は情報提供のみを目的としており、税務・法務・労務等の専門的助言を構成するものではありません。 記載内容は執筆時点の情報に基づく筆者の見解であり、正確性・完全性を保証しません。 具体的な判断・実行にあたっては、必ず税理士・弁護士等の専門家にご相談ください。
「過去に情報漏洩インシデントはありますか？」
M&Aのデューデリジェンス（資産査定）で、この質問は必ず出ます。人材紹介会社は、候補者の個人情報（職歴、年収、連絡先等）を大量に保有しています。この情報が適切に管理されていなければ、 M&A価格は大きく減額 されます。
編集部がM&Aアドバイザー 8名 にヒアリングしたところ、 「セキュリティ体制の不備を理由に価格が減額された案件」 は、過去3年間で 42% に上りました。減額幅は 20〜40% が最も多く、億単位の損失につながったケースもあります。
本記事では、M&Aを視野に入れた経営者が、 情報セキュリティ監査 に対応し、売却価格を守るための方法を解説します。
Note
デューデリジェンスとは？ M&Aにおいて、買い手が売り手企業の資産・負債・リスクを詳細に調査するプロセスのこと。財務、法務、税務、技術、人事など多岐にわたります。セキュリティは「技術DD」や「リスクDD」で重点的に調査されます。
買い手企業（上場企業）が要求するセキュリティ水準
買い手が重視するセキュリティ項目
M&Aにおいて、買い手企業（特に上場企業）が重視するセキュリティ項目です。
| カテゴリ | 確認項目 | 重要度 |
|---|---|---|
| 個人情報管理 | 取得・保管・廃棄のルール | ★★★ |
| アクセス制御 | 誰が何にアクセスできるか | ★★★ |
| ログ管理 | 操作履歴の記録と保管 | ★★★ |
| 物理セキュリティ | 入退室管理、施錠 | ★★☆ |
| ネットワーク | ファイアウォール、VPN | ★★☆ |
| エンドポイント | PC、スマホのセキュリティ対策 | ★★☆ |
| インシデント対応 | 漏洩時の対応体制 | ★★★ |
| 教育・研修 | 従業員へのセキュリティ教育 | ★★☆ |
上場企業が求める水準
上場企業は、自社のセキュリティ基準に準拠することを求めます。
上場企業の典型的な要求:
- 個人情報保護法への完全準拠
- アクセスログの 1年以上 保管
- 年1回以上のセキュリティ研修実施
- 退職者のアカウント 即日 削除
- BYOD（私物端末）の禁止または厳格な管理
- 定期的な脆弱性診断の実施
セキュリティ不備による減額事例
セキュリティ体制の不備が発覚した場合の減額事例です。
| 不備の内容 | 減額幅 | 事例 |
|---|---|---|
| 過去の情報漏洩インシデント | 20〜40% | 候補者リストの流出が発覚 |
| アクセスログの不保存 | 10〜20% | 「誰が何を見たか」追跡不能 |
| 退職者アカウント放置 | 5〜15% | 元社員がシステムにアクセス可能 |
| セキュリティポリシー不在 | 5〜10% | ルールが明文化されていない |
| 暗号化なしでの情報保存 | 10〜20% | 個人情報が平文で保存 |
最悪のケース: 複数の不備が重なると、 M&A自体が破談 になることもあります。「リスクが高すぎて買えない」と判断されるためです。
Warning
「今まで問題なかった」は通用しない M&Aの査定では、 「これまで漏洩がなかったか」 ではなく、 「漏洩を防ぐ体制があるか」 が評価されます。「運が良かっただけ」の状態は、大きなリスクとして減点されます。
Tip
今日やること : 自社のセキュリティ体制について、「退職者のアカウントは何日以内に削除されるか」を確認してください。 「削除していない」 または 「1週間以上かかる」 の場合、即日削除のルールを策定してください。
Pマーク・ISMS取得の費用対効果とアピールポイント
Pマーク・ISMSとは
| 認証 | 正式名称 | 概要 |
|---|---|---|
| Pマーク | プライバシーマーク | 個人情報保護体制の認証（JIPDEC） |
| ISMS | 情報セキュリティマネジメントシステム | ISO/IEC 27001に基づく国際認証 |
違い:
- Pマーク: 個人情報保護に特化、日本国内の認証
- ISMS: 情報セキュリティ全般、国際的に通用
人材紹介会社は個人情報を多く扱うため、 Pマーク の取得が一般的です。グローバル展開や大手企業との取引を視野に入れる場合は、 ISMS も検討します。
取得の費用と期間
Pマーク・ISMSの取得にかかる費用と期間の目安です。
| 項目 | Pマーク | ISMS |
|---|---|---|
| コンサル費用 | 100〜200万円 | 150〜300万円 |
| 審査費用 | 30〜50万円 | 50〜100万円 |
| 取得期間 | 6〜12ヶ月 | 8〜18ヶ月 |
| 更新費用（2年ごと） | 20〜40万円 | 30〜60万円 |
| 内部工数 | 200〜400時間 | 300〜600時間 |
合計: 150〜300万円（Pマーク）、200〜500万円（ISMS）
M&Aにおける認証のアピール効果
認証取得企業と未取得企業の、M&Aにおける評価の差です。
| 評価項目 | 認証取得企業 | 未取得企業 | 差分 |
|---|---|---|---|
| セキュリティリスク評価 | 「低リスク」 | 「要精査」 | - |
| DD（査定）の深さ | 簡易的 | 詳細調査 | 期間短縮 |
| 買い手からの信頼 | 高い | 低い | +18%の評価 |
| 価格交渉力 | 有利 | 不利 | - |
編集部の調査結果: Pマーク取得企業は、未取得企業と比較して、買い手からの評価が平均 18% 高いことがわかりました。取得コスト（150〜300万円）を大きく上回るリターンが期待できます。
取得するタイミング
M&Aを視野に入れた場合の認証取得タイミングです。
推奨タイミング:
- M&A検討の2年以上前 : 取得プロジェクトを開始
- M&A検討の1年前 : 認証取得完了
- M&A交渉時 : 認証を「強み」としてアピール
注意: 認証取得には 6〜18ヶ月 かかります。「M&Aが決まってから取得」では間に合いません。
Important
認証は「取得」がゴールではない 認証を取得しても、運用が形骸化していれば意味がありません。DDでは、 「認証の有無」 だけでなく、 「運用の実態」 も調査されます。定期的な内部監査と改善活動を継続してください。
外部アクセス・持出制御のログ管理体制の整備
ログ管理の重要性
M&Aにおいて、 ログ管理 は非常に重視されます。
ログがないと:
- 「誰が何にアクセスしたか」がわからない
- 情報漏洩時の原因追跡ができない
- 「管理されていない」と判断され、大幅減点
ログがあると:
- 不正アクセスの検知が可能
- インシデント発生時の証拠となる
- 「管理体制がある」と評価され、プラス評価
管理すべきログの種類
M&Aで求められるログの種類と保管期間です。
| ログ種類 | 内容 | 保管期間（推奨） |
|---|---|---|
| システムログイン | 誰がいつログインしたか | 1年以上 |
| ファイルアクセス | 誰がどのファイルを開いたか | 1年以上 |
| データ出力 | CSV出力、印刷の履歴 | 1年以上 |
| メール送受信 | 送受信の履歴（本文含む） | 1年以上 |
| Webアクセス | どのサイトにアクセスしたか | 6ヶ月以上 |
| 外部デバイス接続 | USBメモリ等の接続履歴 | 1年以上 |
ログ管理ツールの導入
ログ管理を効率化するためのツールです。
| ツール種類 | 代表的なサービス | 月額費用（目安） |
|---|---|---|
| 統合ログ管理 | Splunk、Datadog | 5〜20万円 |
| ファイルアクセス管理 | 秘文、SKYSEA | 500〜2,000円/人 |
| メールアーカイブ | Google Vault、M365 Archiving | 500〜1,500円/人 |
| EDR | CrowdStrike、SentinelOne | 500〜2,000円/人 |
小規模企業の推奨構成:
- Google Workspace（メールアーカイブ機能）: 1,360円/人
- SKYSEA（ファイルアクセス、デバイス制御）: 1,000円/人
- 合計: 約2,500円/人
持出制御の実装
情報持ち出しを防ぐための制御策です。
| 制御対象 | 制御方法 | 導入難易度 |
|---|---|---|
| USBメモリ | 接続禁止または読み取り専用 | 低 |
| クラウドストレージ | 許可されたサービス以外をブロック | 中 |
| メール添付 | 容量制限、暗号化強制 | 低 |
| 印刷 | 印刷ログ記録、制限 | 中 |
| 画面キャプチャ | 禁止ソフトの検知 | 高 |
Note
「性悪説」での設計が必要 従業員を信頼することは大切ですが、セキュリティ設計は 「性悪説」 で行います。「悪意を持った人がいても、情報を持ち出せない」状態を目指してください。
Tip
今日やること : 自社のシステムで「ログイン履歴」「ファイルアクセス履歴」が記録されているか確認してください。記録されていない場合、 今月中 にログ管理の仕組みを導入してください。
まず明日やるべきこと：セキュリティ体制の自己点検
情報セキュリティ監査に対応するために、以下の3ステップを実行してください。
□ Step 1 : セキュリティ体制の自己点検チェックリストを作成し、現状を評価する
- 個人情報管理、アクセス制御、ログ管理、インシデント対応の各項目を確認
- 「できている」「部分的」「できていない」で評価
- 「できていない」 項目を優先的に対応
□ Step 2 : Pマーク取得の検討を開始し、コンサルタントに相談する
- Pマーク認証機関に問い合わせ、取得要件を確認
- 複数のコンサルタントから見積もりを取得
- 来期の予算 に取得費用を計上
□ Step 3 : ログ管理ツールを導入し、1年以上の保管体制を構築する
- 現在のログ保管状況を確認
- 不足しているログ種類を特定
- 今月中 にログ管理ツールの導入を決定
Warning
セキュリティ不備は「致命傷」になりうる M&Aにおいて、セキュリティ不備は 価格減額 だけでなく、 破談 の原因にもなります。特に上場企業が買い手の場合、セキュリティ基準を満たさない企業との統合は、コンプライアンス上の問題となります。
Tip
出口戦略（Stage-4）において、 「情報セキュリティ体制」 は企業価値を大きく左右します。Pマーク取得は 150〜300万円 の投資ですが、M&A価格への影響は 数千万円〜数億円 に及びます。費用対効果を考えれば、投資する価値は十分にあります。今日から、セキュリティ体制の強化に着手してください。