退職した社員の個人スマホに、会社の情報が残っていませんか？——業務データの「置き場所」が情報漏洩リスクを左右する

社員の退職は、会社を運営していれば必ず直面する出来事です。退職手続きが済んだ後、ふと気になることがあります。「あの人が使っていたチャットの記録や、共有していたファイルはどこにあるのだろう？」と。

業務で使うツールが個人のスマホやクラウドアカウントに結びついている場合、退職後も会社の情報が個人のデバイスに残り続ける可能性があります。この記事では、業務データの「置き場所」という視点からリスクを整理します。

退職者の「個人環境」に会社の情報が残る経路

悪意のある持ち出しだけが問題ではありません。日常の業務の中で、気づかないうちに個人のデバイスやアカウントに会社情報が残っていることがあります。代表的な経路は次の通りです。

• 個人スマホのLINEやWhatsApp：取引先や同僚との業務連絡を個人のメッセージアプリで行っていた場合、退職後もその履歴が個人のスマホに残ります
• 個人のGoogleドライブやDropbox：業務で作成したファイルを個人のクラウドストレージに保存していたり、「共有」という形でアクセスできる状態になっていたりする場合
• 個人のメールアドレス：業務資料を個人のGmailで送受信していた場合、退職後も個人アカウントに残ります

これらは「持ち出し」というより、「業務と個人の環境が混在していた結果、自然に残ってしまった」状態です。

退職時に「消してください」と言っても確認できない

退職後に「会社の情報なので削除してください」と依頼しても、相手が本当に削除したかどうかを確認する手段がありません。個人のスマホやクラウドアカウントは、会社が管理できる範囲の外にあるからです。

情報漏洩は、悪意のある持ち出しよりも「ルールや仕組みがないまま業務が進んでいた結果」として起きることの方が多いのではないでしょうか。個人ツールを業務に使う文化が定着している会社ほど、退職時の対応がより難しくなります。

また、退職者が使っていたSaaSのアカウント削除漏れも同様の問題を引き起こします。「採用後のIT作業」についての記事でも触れたように、入社・退社のたびに複数のSaaSアカウントを管理することの難しさは、中小企業にとって共通の課題です。

データの「置き場所」がリスクの大きさを決める

この問題の根本は、「業務データが会社の管理できる場所にあるかどうか」にあります。

個人のLINE・Gmail・Dropboxを業務に使っている場合、データは会社の管理できない場所に分散しています。退職後に「戻してほしい」と言っても、技術的に回収する方法がありません。

一方、業務コミュニケーションや業務ファイルが会社の管理するシステムに置かれている場合は、退職者のアクセス権限を停止することで、以後のアクセスを遮断できます（すでに個人にコピーされたデータまでは防げませんが、構造的なリスクは大きく下がります）。

データの分散がどのようなリスクを生むかについては、「SaaS乱立で起きるデータ分散リスク」でも詳しく取り上げています。

「会社のデータは会社の管理下に置く」仕組みを作る

対策の方向性は明確です。業務で使うコミュニケーション・ファイル共有・会計などを、会社が管理するシステムに集約することです。

具体的には次のような見直しが有効です。

• チャット・連絡ツール：個人LINEの代わりに、会社が管理するビジネスチャットツールに統一する。退職者のアカウントを会社側で無効化できる
• ファイル共有：個人のクラウドストレージに業務ファイルを置くのをやめ、会社が管理するサーバーに集約する
• アカウント管理ルール：退職手続きの中に「各ツールのアカウント停止」を組み込む

「データを会社の管理下に置く」考え方については、「大切な顧客情報は『手元』で守る」でも参考になる視点を紹介しています。

チャット・ファイルが社内サーバーにあるとどう変わるか

Orcinusは、チャット（Mattermost）・ファイル共有・会計（Hieronymus）が1台にまとまった社内設置型のサーバーです。これらのデータはすべて社内のサーバー上に保存されます。

退職者が出た場合、Mattermost・ファイル共有・Hieronymusそれぞれでアカウントを無効化する必要がありますが、いずれも同じ社内サーバー上のサービスです。対応箇所が社内の1台に集まっているため、「どのサービスのアカウントを止めたか」を把握しやすくなります。

また、チャットの履歴やファイルが社内サーバーに残るため、退職者が個人アカウントにデータを持ち出していなければ、業務の記録が会社の管理下に引き続き存在します。個人LINEで業務連絡をしていた場合は退職と同時に会話履歴が見えなくなりますが、社内チャットであれば記録が残ります。

ルールと仕組みの両方が揃うことで、退職時のデータ管理が現実的に機能します。「IT担当者がいなくてもできる対策」として、まず業務データの「置き場所」を見直すことが一歩目になります。