中小企業の機器・データ持ち出し規程ガイド｜ノートPC・ファイル・記録媒体の社外持ち出しルールを文書化して情報漏えいを防ぐ実践手順

社員が業務用ノートPCや機密ファイルをカバンに入れてそのまま帰宅する──あなたの会社でそんな光景が日常になっていませんか。持ち出しを口頭で注意するだけでは、万が一の情報漏えい事故を防ぐことはできません。

この記事では、従業員10～100名規模の中小企業向けに、機器・データの社外持ち出しを管理する「持ち出し規程」の作り方と運用定着のポイントをわかりやすく解説します。法律の知識がなくても、今すぐ始められる実践的な手順をまとめました。

機器・データ持ち出し規程とは？（経営者向け解説）

「機器・データ持ち出し規程」とは、社員が会社の機器（ノートPC・スマートフォン・タブレットなど）や業務データ（書類・ファイル・記録媒体）を社外に持ち出す際の、申請方法・承認フロー・取り扱いルールを文書化したものです。

情報漏えい事故の原因として、不正アクセスと並んで多いのが「持ち出した機器・書類の紛失や盗難」です。経済産業省のデータでは、国内企業の情報漏えい経路のうち、誤操作・紛失・盗難が全体の3割以上を占めています。セキュリティソフトを入れるだけでは防げないリスクが、社外持ち出し管理の整備で大きく下がります。

また、IT利用規程（クラウド・スマホ・社内ネットワークのルール）が整っていても、持ち出し行為に特化したルールが別途ないと、「社内ルールは守っているが外に持ち出したら管理できない」という盲点が生まれます。

持ち出し規程を整備するメリット

社外持ち出し管理のルールを文書化すると、次の3つの効果が得られます。

効果	具体的な内容
情報漏えいリスクの低減	申請・記録の義務化で「なんとなく持ち帰る」行為を抑制できる
事故発生時の迅速対応	「誰が・何を・いつ持ち出したか」が記録に残り、被害範囲の特定が早い
取引先・顧客への説明責任	規程の存在が取引先のセキュリティ審査・Pマーク・ISMS取得時の加点要素になる

従業員数が少ない会社ほど「全員が顔見知りで信頼している」と感じますが、悪意のない操作ミスや不注意による情報漏えいは誰にでも起こります。ルールの存在が社員の「うっかり」を防ぐ抑止力になります。

持ち出し規程の対象：何を管理すればよいか

規程に盛り込む対象を整理します。まず「機器」と「データ」に分けて考えると作りやすくなります。

持ち出し管理が必要な機器の例
・ノートPC： 業務データが直接入っているため最優先の管理対象
・スマートフォン・タブレット： 会社支給端末はもちろん、私物でも業務利用しているなら管理対象
・外付けHDD・USBメモリ： データが持ち出せる媒体として管理が必要（詳細はUSBメモリ・外部記憶媒体の管理ガイドも参照）
・紙の書類： 顧客情報・契約書など機密情報が印刷されたものは電子データと同等に扱う

持ち出し管理が必要なデータの例
・顧客情報・個人情報： 氏名・連絡先・取引内容など
・社外秘書類： 見積書・契約書・技術資料・経営情報など
・クラウドデータのオフライン保存： クラウドデータをローカルに同期・ダウンロードしたファイル

機密情報を「社外秘」「極秘」などのレベルで分類しておくと、どのレベルの情報が持ち出し申請の対象になるかが判断しやすくなります。機密レベルの決め方は機密情報分類ガイドを参照してください。

持ち出し規程の作り方（4ステップ）

1. 持ち出し対象と禁止事項を定義する

まず「何が持ち出し可能で、何が禁止か」を明文化します。禁止事項を曖昧にしたままでは、違反が起きたときに注意ができません。

禁止事項の例
・個人情報や機密情報が含まれるデータを私物の記録媒体へコピーすることの禁止
・会社のノートPCを施錠されていない場所（車内・カフェなど）に放置することの禁止
・承認なしに顧客リストや設計図を社外に持ち出すことの禁止

持ち出しを認める条件の例
・上長の事前承認を得た場合
・持ち出し記録台帳に記入し、返却日を明記した場合
・データがパスワード付きで保存されている場合

自社が管理している情報の全体像を把握しておくと、禁止対象の定義がスムーズになります。情報資産台帳の作り方も合わせて整備することをおすすめします。

2. 申請・承認フローを設計する

持ち出しを「申請→承認→記録」の流れで管理します。フローが複雑すぎると運用が続かないため、シンプルな設計を心がけます。

フローステップ	担当者	具体的な作業
①申請	持ち出す社員	持ち出し記録台帳（紙またはGoogleフォーム）に日時・品目・目的・返却予定日を記入
②承認	直属の上長	業務上の必要性を確認し承認（緊急時は口頭でも可、事後記録を原則とする）
③持ち出し	持ち出す社員	承認済みの機器・データのみを持ち出す
④返却・報告	持ち出した社員	返却時に記録台帳を更新し、紛失・破損があれば即時報告

申請記録はGoogleスプレッドシートやGoogleフォームで管理すると、ペーパーレス化と同時に検索・集計が容易になります。従業員が5名以下の小規模な会社なら、まず紙の台帳1枚からでも十分始められます。

3. 持ち出し時の安全対策を規程に明文化する

「申請して承認を得たから何でもOK」ではなく、持ち出し中の取り扱いルールも規程に盛り込みます。

明文化しておくべき安全対策の例
・ノートPCは席を外す際も画面ロックを必ずかける
・電車・カフェなど不特定多数がいる場所での業務画面の取り扱い（プライバシーフィルター使用を推奨）
・機密書類は鞄から出したまま放置しない
・持ち出したUSBメモリ・外付けHDDは、使用後は即時返却または会社の保管庫に入れる

会社支給スマートフォン・タブレットについては、MDM（モバイルデバイス管理）ツールでリモートワイプ（遠隔データ消去）の設定を入れておくと、紛失時の被害を最小化できます。また、BYOD（私物端末の業務利用）を認める場合は、持ち出し規程とBYODポリシーを一体で整備することを推奨します。

4. 違反時の対応と罰則を明記する

規程に実効性を持たせるには、「違反したらどうなるか」を明文化する必要があります。罰則の有無・内容は就業規則と整合性をとりながら決めます。

違反時の対応例
・口頭警告→書面注意→人事評価への反映（段階的対応）
・情報漏えいが発生した場合の報告義務と損害賠償の可能性について社員に周知
・悪意のある持ち出し（不正競争防止法上の営業秘密侵害）の場合は刑事告訴もあり得ることを明記

中小企業では「社員が少ないから信頼している」という理由で罰則を設けないケースも多いですが、規程に明記するだけで心理的な抑止力が生まれます。就業規則に「情報漏えいにより会社が損害を受けた場合の懲戒規定」を追加するだけでも効果があります。

持ち出し規程の周知・定着のコツ

規程を作っても「知らなかった」では意味がありません。全社員への周知と、定着させるための工夫が必要です。

周知の方法
・入社時の説明資料に規程を含める（オンボーディングDXガイドも参照）
・社内掲示板やグループウェアに規程文書を掲示し、いつでも確認できる状態にする
・年1回、内容の確認テストを実施して理解度を高める

定着させるための工夫
・申請フォームをデスクトップに置く、または入力しやすい場所にリンクを設置する
・月1回の「持ち出し台帳確認」をルーティンに組み込む
・「申請せずに持ち出しているケース」が目に入ったら、担当者がその場で声をかける仕組みを作る

セキュリティ教育・訓練の一環として持ち出し規程の内容を毎年復習するとよいでしょう。

かかるコスト（費用の目安）

持ち出し規程の整備自体には大きな費用はかかりません。社内でひな形を作成して運用する場合は実質ゼロ円からスタートできます。

対応内容	費用の目安	備考
規程文書の自社作成	無料	Wordやメモ帳で作成。ひな形は経産省・IPAのサイトから入手可
申請フォームの整備（Googleフォーム等）	無料	Google Workspace利用企業はそのまま活用できる
弁護士・社労士への確認（任意）	1回3万～10万円	就業規則との整合性確認が目的
MDMツール（会社支給端末のリモート管理）	1端末あたり月300～700円	紛失時の遠隔ロック・消去に活用。10台なら月3,000～7,000円

（執筆時点：2026年9月）

IT導入補助金（セキュリティ対策推進枠）では、MDMツールの導入費用が補助対象になる場合があります。詳細はIT導入補助金 セキュリティ対策推進枠の申請ガイドを確認してください。

よくある失敗と回避策

失敗①：規程を作ったが申請フローが複雑すぎて誰も使わない
→ 回避策: 申請は「記録台帳に1行書く」レベルの最小化から始める。デジタル化は運用が定着してから移行する。

失敗②：機器の持ち出しルールはあるが、クラウド経由の持ち出しを想定していない
→ 回避策: 「GoogleドライブやOneDriveにアップロードして自宅PCからアクセスする」行為も持ち出しと同等のリスク。クラウドのオフライン同期・外部共有の扱いを規程に明記する。

失敗③：規程を作って終わり、社員に周知されていない
→ 回避策: 規程の保管場所を全員に告知し、入社時と年1回の説明を必須にする。

失敗④：テレワーク導入後、「自宅への持ち帰り」が常態化してルール適用外になる
→ 回避策: テレワーク規程と持ち出し規程をセットで整備する。テレワーク時の情報取り扱いルールはテレワーク規程策定ガイドを参照。

失敗⑤：アクセス権は絞っているのに持ち出し管理を忘れている
→ 回避策: 社内でのアクセス制限（アクセス権管理ガイド参照）と社外への持ち出し管理は別の施策。両方の整備が必要。

本記事のまとめ

機器・データの持ち出し管理は、高価なセキュリティツールを導入する前に「誰が・何を・いつ・なぜ持ち出したか」を記録する仕組みを作るだけで、大きなリスク低減効果があります。

・まず整備すること： 持ち出し対象の定義・申請フロー・違反時対応の文書化
・費用： 規程作成は実質無料でスタート可能。MDM導入は1端末月300円から
・定着のカギ： 申請フローをシンプルに保ち、年1回の全社周知を繰り返す

持ち出し規程は、アクセス権管理・IT利用規程・テレワーク規程と一体で整備することで、より強固なセキュリティガバナンスが実現します。まだ手をつけていない会社は、まず「持ち出し記録台帳」の1枚から始めてみてください。

セキュリティ技術面の詳しい対策については、姉妹サイトセキュリティマスターズ.TOKYOも参考にしてください。