はじめに

連載最終回となる今回は、まず、経済安全保障関連法制のうち、特に機微な技術やデータの流出防止という切り口で、不正競争防止法や個人情報保護法などの法律のうち経済安全保障に関わる部分や、いわゆるソフトローであるガイドラインなどを紹介する。
さらに、これまでに紹介した経済安全保障に関わる各法制等を、企業がどのように理解し、自社の企業経営・企業ガバナンスにおいて活かすべきかについても検討していきたい。

機微な技術やデータの流出防止に関わる法律

不正競争防止法

（1） 概要

経済安全保障の観点から技術流出防止を考える際、不正競争防止法は「営業秘密を保護する法律」として重要な意味を持つ。同法は、企業の保有する技術ノウハウ、研究開発データ、製造方法等のうち一定の要件を満たす情報を「営業秘密」として保護し、その不正取得・使用・開示を規制している。
具体的には、不正競争防止法は、営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義している（同法2条6項）。このように、不正競争防止法による保護が認められるためには、流出した情報が法的に「営業秘密」に該当する必要がある。具体的には、当該情報が①秘密として管理されていること（秘密管理性）、②事業活動に有用であること（有用性）、③公然と知られていないこと（非公知性）を満たさなければならない^注1）。特に、秘密管理性の要件については、アクセス権限の制限、パスワード管理、秘密表示、秘密保持契約等を通じて、従業員が当該情報を秘密情報として認識できる状態に置かれていたかが重要なポイントとなる^注2）。その意味で、営業秘密の技術流出対策としては、事後的な法執行だけではなく、平時からの情報管理体制の構築維持も重要であるといえる。
このように、経済安全保障と不正競争防止法との関係を考える際、不正競争防止法は、安全保障の文脈で機微と考えられる「技術」が当然に保護されるものではなく、あくまでも「営業秘密として管理された技術情報」を保護するものであり、両者が完全に重なるものではないことに注意が必要である。もっとも、我が国企業が保有する機微な技術や顧客情報などがみだりに流出することを防ぐ観点では、不正競争防止法による保護も重要であると考えられる。

（2） 営業秘密の技術流出事案

技術流出との関係では、従業員による営業秘密の持出し事案が最も典型的かつ実務上重要な問題として位置づけられている。不正競争防止法は、営業秘密の不正取得、不正使用および不正開示を「不正競争」として規制しており（同法2条1項4号〜10号）、営業秘密の保有者に対して、侵害行為の差止請求権や損害賠償請求権を認めるほか（同法3条および4条）、刑事罰も設けている（同法21条）。営業秘密には、研究開発データ、設計図面、製造ノウハウ、ソースコード、化学組成、顧客情報等が含まれうるため、技術流出事案の多くは、営業秘密侵害の側面も有することとなる^注3）。
とりわけ近年問題となっているのは、営業秘密に正当にアクセスできる立場にあった従業員が、退職や転職に際してデータを複製し、USBメモリやクラウドストレージ等を利用して持ち出す事案である^注4）。この類型では、当初の情報取得自体は適法であるものの、その後の複製、持出し、競業先での利用または第三者への開示が不正競争防止法上の違法行為に該当しうる。したがって、企業にとっては外部からのサイバー攻撃対策のみならず、内部者による情報流出リスクへの対応が極めて重要となる。
さらに、経済安全保障の観点で注目されるのは、不正競争防止法が従来の国内の企業間競争秩序の維持の枠組みを超え、外国政府や海外事業者による技術獲得行為（産業スパイ行為や国家支援型の技術収集活動など）にも対応できるよう発展してきた点である。従来の営業秘密侵害罪は「不正の競争の目的」を要件としていたため、外国政府や外国軍事機関の利益のために技術情報が取得されるような事案について処罰可能性が必ずしも明確ではなかった。この点、平成21年改正では目的要件が「不正の利益を得る目的又は保有者に損害を加える目的（図利加害目的）」へ変更され、第三者には外国政府やその関係者も含まれうることが明確化された^注5）。すなわち、日本国内の事業者が保有する営業秘密は、国外における不正使用や不正開示についても刑事処罰の対象となりうるほか、国外で行われた侵害行為に対する処罰規定も整備されている（同法21条4項、22条1項1号）。
このように、不正競争防止法は企業が保有する機微技術の流出に対する中核的な法的手段であるが、その保護対象はあくまでも「営業秘密として管理された情報」に限られている。これに対し、営業秘密か否かに関わらず、安全保障上重要な技術の国外等への移転は、主として外為法上の安全保障貿易管理制度により管理されている。

産業競争力強化法

産業競争力強化法は、企業の競争力の源泉となる技術情報やノウハウの流出防止を目的として、「技術等情報漏えい防止措置」の実施を促進する制度を設けている（同法67条以下）。同法は、事業者が保有する技術、研究開発成果、生産方法その他の事業活動に有用な情報について、サイバー攻撃や内部者による持出し等のリスクに対応するため、技術等情報漏えい防止措置の実施の促進に関する指針（平成30年9月25日内閣府、総務省、財務省、文部科学省、厚生労働省、農林水産省、経済産業省、国土交通省、環境省告示第5号）や、技術及びこれに関する研究開発の成果、生産方法その他の事業活動に有用な情報の漏えいを防止するために必要な措置に関する基準（いわゆる「技術等情報漏えい防止措置基準」、令和6年8月16日内閣府、総務省、財務省、文部科学省、厚生労働省、農林水産省、経済産業省、国土交通省、環境省告示第1号）を定め、事業者に対し適切な管理措置を講ずることを促進している。
その中核となるのが「技術情報管理認証制度（Technology Information Control System （TICS））である。これは、事業者が実施する情報管理体制が国の定める基準に適合しているかを、国の認定を受けた認証機関が審査・認証する仕組みである^注6）。認証を取得することで、自社の技術情報管理体制を対外的に示すことができるとともに、日本政策金融公庫による認証取得事業者向けの低利融資制度を利用することが可能となるほか、取引先や共同研究先からの信頼向上にもつながる。また、ISMS適合性評価などの国際的な認証制度に比べると、認証取得までの期間が比較的短期であり、中小企業にとって取得のハードルが高くないという利点もある^注7）。
また、同制度は、一般的な情報セキュリティ対策にとどまらず、企業が守るべき技術等情報を自身で特定し、その重要度に応じて人的・物理的・技術的な管理措置を講じる点にも特徴がある。加えて、電子データだけでなく、図面、試作品、製造設備等に体化したノウハウも管理対象となっている^注8）。
経済安全保障と技術流出という観点から、不正競争防止法、産業競争力強化法および外為法の関係を見ると、いずれも技術流出対策に関係するがその規制目的と適用場面は異なる（図表1）。不正競争防止法は、秘密管理性・有用性・非公知性を備えた営業秘密が不正に取得、使用または開示された場合に適用される。技術情報が実際に流出した後、権利者は差止請求や損害賠償請求を行うことができ、悪質な事案については刑事罰も科される。そのため、不正競争防止法は技術流出に対する事後的な権利保護・救済制度としての側面が強い。これに対し、産業競争力強化法に基づくTICSは、企業が保有する技術情報や研究開発成果等について適切な管理体制を構築することを促進する制度であり、予防的・ガバナンス的な制度といえる。また、外為法は、国際的な平和および安全の維持の観点から、営業秘密か企業にとって守るべき技術か否かを問わず、規制対象技術の非居住者への提供を事前に管理する制度である。

図表1　技術流出防止に関連する三法の規制目的・適用場面等の比較

個人情報保護法

個人情報保護法は、本来、個人の権利利益の保護を目的とする法律であり、外為法や経済安全保障推進法のように国家安全保障を直接の目的とはしておらず、経済安全保障上の観点からデータ流出を直接規制する法律でもない。しかし近年では、医療情報、ゲノム情報、位置情報、生体認証情報、金融情報等の大量の個人データが、外国政府や海外事業者による情報収集、影響力工作、研究開発活動等に利用されうることから、我が国のデータの保全も経済安全保障上の課題の一つとなりつつあり、その意味で個人情報保護法も経済安全保障とまったく無関係とはいえない。
経済安全保障との関係で個人情報保護法上特に重要なのは、外国への個人データ移転（越境移転）に関する規制である。個人情報保護法は、個人データを外国にある第三者へ提供する場合、原則として本人の同意を要求するとともに、提供先国の制度や提供先事業者の保護措置に関する情報を本人に提供することを求めている（同法28条1項および2項、同法施行規則17条2項各号）。これにより、データが国外へ移転された場合のリスクについて本人の予測可能性を高めるとともに、事業者に対しても移転先国の法制度や事業環境を確認させる機能を有している。
また、2022年改正法により、個人情報取扱事業者による安全管理措置が強化され、一定の個人データ漏えい等が発生した場合には個人情報保護委員会への報告および本人通知が義務化された（同法26条1項および2項）。安全管理措置の内容として、企業は技術的・組織的・人的・物理的安全管理措置を講じる必要があり^注9）、サイバー攻撃や内部不正による情報漏えい対策が強く求められている。これらの措置は経済安全保障上も重要な意味を有する。
もっとも、個人情報保護法は個人データを対象としており、技術情報、営業秘密、産業データ等は直接の保護対象ではない。とはいえ、近年の政府有識者会議では、個人情報保護法のみでは安全保障上重要な個人データの保護として十分でない可能性が指摘されており^注10）、機微な個人データの取扱いを経済安全保障の観点から検討する必要性が議論されている。
また、経済安全保障とデータという観点から個人情報保護法、不正競争防止法および外為法を見ると、それぞれ異なる観点から情報保護を担うものと整理できるだろう（図表2）。個人情報保護法は、個人データの適正な取得、利用および第三者提供を規律し、特に外国への個人データ移転について本人同意や情報提供を求めることで越境データ管理を図っている。これに対し、不正競争防止法は営業秘密が不正に取得、使用または開示された場合の差止請求や損害賠償等の救済を定めている。また、外為法は、個人データや営業秘密への該当性を問わず、安全保障上機微な技術の非居住者への提供を管理する制度である。

図表2　データ保護に関連する三法の規制目的等の比較

経済安全保障に関わるソフトロー

経済安全保障経営ガイドライン

経済産業省が公表した「経済安全保障経営ガイドライン（第1版）」は、経済安全保障を法令遵守や危機管理の問題にとどめず、企業価値向上に資する経営戦略として位置づけることを目的としている。近年、地政学的対立の激化、サプライチェーンの分断リスク、先端技術を巡る国際競争、サイバー攻撃の高度化などを背景に、企業は従来の効率性重視の経営だけでは対応できなくなっている。このような環境認識の下、企業経営者による経済安全保障への対応を後押しするための指針として策定された^注11）。
ガイドラインの中心概念は「自律性」と「不可欠性」である。自律性とは、特定の国や企業への過度な依存を避け、供給途絶や経済的威圧が生じても事業を継続できる体制を構築することである。具体的には、サプライチェーンの可視化、多元調達、代替供給先の確保、備蓄の活用などが例示されている。一方、不可欠性とは、自社の技術や製品、サービスを国際的に代替困難なものとし、市場やサプライチェーンにおける競争優位を維持・強化することである^注12）。そのために、コア技術の特定、知的財産の保護、技術流出防止、人材管理の強化などが求められている。
経営者が認識すべき基本原則として、ガイドラインは以下の三点を掲げる^注13）。

①　自社のバリューチェーンや技術基盤を正確に把握し、供給途絶や技術流出等のリスクシナリオを策定すること。

②　経済安全保障への対応を単なるコストではなく、将来の損失回避や競争力強化につながる投資として捉えること。

③　第三に、取引先、金融機関、投資家、政府など多様なステークホルダーとの対話と連携を重視すること。

さらに、ガイドラインは「ガバナンス強化」を重要な柱としている。経済安全保障リスクは調達部門や法務部門だけでは管理できず、経営トップのリーダーシップの下で全社横断的に対応する必要がある。そのため、リスク管理体制の整備、取締役会による監督、関係部門間の連携強化、危機発生時の意思決定体制の確立などが推奨されている。
このガイドラインは法的義務を課すものではないが、経済安全保障リスクが顕在化する時代において、経営者が善管注意義務を果たしていることを示す一つの根拠となりうると位置づけられている。したがって、経済安全保障はもはや一部の先端技術企業だけの課題ではなく、あらゆる企業にとって企業価値の維持・向上と事業継続性確保のための重要な経営課題とされている。

コーポレートガバナンス・コード改訂版

2026年7月公表の「コーポレートガバナンス・コード改訂版」では、経済安全保障が取締役会の監督事項として明確に位置づけられつつある^注14）。改訂版では、リスク管理体制を整備するうえで考慮すべき事項として、サイバーセキュリティリスク、地政学的変化によるサプライチェーン途絶リスク、技術・情報流出リスクなどが例示されている^注15）。
重要なのは、経済安全保障が従来の「守りのガバナンス」の領域に限定されていない点である。改訂の背景には、企業価値向上のための成長投資を促進する考え方があり、サプライチェーン強靱化、研究開発投資、知的財産保護、人材確保、サイバー対策などは単なるコストではなく、競争優位や収益機会を生み出す投資として評価されるべきものとされている。
このため、コーポレートガバナンスの文脈においても、取締役会には経済安全保障リスクを把握し、そのリスクが事業戦略や資本配分に与える影響を監督するとともに、企業の価値創造ストーリーの中に経済安全保障への取組みを組み込むことが求められているといえよう。

企業経営・企業ガバナンスと経済安全保障

取締役会だけの問題か

近年、経済安全保障は国家安全保障政策の一環としてのみならず、企業経営そのものに直接影響を与える課題として認識されるようになっている。半導体、AI、量子技術、バイオ技術等の先端技術を巡る国際競争の激化に加え、各国による輸出規制や制裁措置の拡大、サプライチェーンの分断リスクの高まりなどにより、企業は従来の市場原理だけでは事業運営を行うことが困難になりつつある。その結果、経済安全保障への対応は法務・コンプライアンスや輸出管理部門だけの問題ではなく、企業全体の経営戦略に関わるテーマへと変化している。
この意味において、経済安全保障への対応は企業の取締役会レベルの課題となっているといえるが、もとより企業の取締役は会社法上の法令遵守義務や善管注意義務を負っている。昨今の状況を踏まえ、取締役は、従来からの会社法上の義務として、自社の事業内容や事業領域に適用のある法令については日本の法令に限らず遵守が求められると考えられる^注16）。さらに、厳密には法令ではないが経済安全保障に起因する国内外の事象・リスクが企業価値や事業継続に重大な影響を及ぼすことが予見される場合には、これらの事象・リスクを適切に認識し、必要な統制・リスク管理体制を構築する責任があると考えられる。また、大会社等に求められる内部統制システム構築義務との関係でも、技術流出、重要データの漏えい、日本や諸外国の制裁違反、供給網の途絶といったリスクは、法令遵守やリスク管理の対象として無視することができないものとなっている。
加えて、経済安全保障対応はもはや取締役会だけでは完結しない課題となっていると考える。経済安全保障の観点で検討・対応が必要な分野は、研究開発、人事、知的財産、情報セキュリティ、調達、物流、営業、海外事業など極めて広範囲に及ぶ。たとえば、外国企業との共同研究は研究開発部門が主導する場合が多く、研究成果の越境移転は知財部門や法務部門の管理対象となる。また、技術者の採用や兼業、人事異動は人事部門に関連し、クラウド利用やデータ管理はIT部門やセキュリティ部門が関与する。したがって、経済安全保障は特定部署のコンプライアンス業務ではなく、全社横断的な経営課題として捉える必要がある。さらに近年は、各国の規制や制度のアップデートの頻度も早く、時にはそれらがバッティングする場合もあり、グローバルに事業展開する企業においては、海外子会社等との連携も重要となっている。
その意味で、取締役会の役割は個別案件の実務判断ではなく、企業としてどのようなリスク・事象が想定されるのか、想定されるリスク等の中で何を優先付け、低減させるかに加え、そのようなリスク等を踏まえ、中長期的に企業価値を維持・向上させるために会社としてどのような構えを取っていくのかなどについて、企業の中長期的な経営戦略も踏まえた全社的な方針を定めることが重要である。そのうえで、そのようなリスク等の収集、分析、リスクマッピング、リスク対応等の検討を適切に行う体制を構築・維持することが重要である。このように、経済安全保障に関する対応を企業の全社的なリスクマネジメントおよび経営戦略の一部として位置づけることが、特に最近の取締役会に期待される本質的な役割であると考える。

経済安全保障はコストやディスカウント要素のみであるか

経済安全保障対応については、しばしば「コスト増加要因」として理解されることがある。輸出管理体制の整備、機微技術の管理体制の構築、データの管理強化、サプライチェーンの多元化、海外事業拠点のガバナンス強化、海外投資に対するデューデリジェンスなどは、いずれも企業に追加的な負担をもたらす。また、より安価であるという理由で調達先や研究パートナーを自由に選択できない場合もあるため、短期的には収益性を低下させる可能性もある。
しかし、経済産業省の「経済安全保障経営ガイドライン」は、このような捉え方を超えて、経済安全保障を「コストではなく投資」として位置づけるべきであると指摘している^注17）。すなわち、経済安全保障への対応は、将来発生しうる重大な損失を回避するとともに、企業の持続的成長を支える競争力の源泉となりうるという考えである。たとえば、サプライチェーンの多元化や海外事業拠点のガバナンス強化等は、平時にはコスト増加要因となるが、地政学的危機や災害が発生した場合には、代替調達先からの原料等の調達や海外事業拠点による的確な情報収集や同拠点との迅速な連携を行うことが、中長期的な事業継続能力の向上につながりうる。また、技術流出防止策や知財保護体制の強化は、自社の競争優位の維持という形で企業価値向上に寄与する。さらに、サイバーセキュリティやデータ管理体制の高度化は、顧客や取引先からの信頼獲得につながり、新たな受注機会や投資機会を生み出す可能性がある。
加えて、経済安全保障の観点は近年、投資家や金融機関による企業評価の対象にもなりつつある。従来のESGやサステナビリティと同様に、企業が地政学リスクや技術流出リスクをどのように管理しているかは、中長期的な企業価値を評価する重要な指標となりつつある^注18）。実際、制裁違反や輸出管理違反による巨額制裁金、重要技術の流出による競争力喪失、供給網寸断による生産停止等の事象は、企業価値に深刻な影響を与えることが明らかになっているが、投資家や金融機関からの目線は、このような事象発生の際に想定されるネガティブなインパクトそのものよりも（これは実施事象が発生してみないと分からないものであり結果論的な部分もある）、そのような事象に対する企業としてのプロセスや対応体制の透明性・合理性に向けられているのではないかと思われる^注19）。このような経済安全保障に関わる事象に対する全社的な構えをいかに構築するかは、投資家や金融機関からの評価という観点でも無視できなくなっているといえるだろう。
このように、経済安全保障の対応にコストがかかる側面は否定できないものの、単なるコスト要因のみならず、自律性（Autonomy）と不可欠性（Indispensability）を高めることで企業の競争力を向上させる側面や、投資家・金融機関からの企業評価を維持・向上させる側面もあるという意味で、戦略的投資としても評価することができると考える。

考えられるガバナンス体制

上記のとおり、経済安全保障対応はもはや法令遵守のみにとどまる問題ではない。そのため、経済安全保障を企業経営に組み込むにあたっては、従来型の法令遵守中心の体制から一歩進み、経営戦略と統合されたガバナンス体制を構築する必要がある。
まず、取締役会レベルでは、事業内容、事業領域を踏まえて、経済安全保障に関わる事象が企業価値評価や事業の維持継続に与える相対的なリスクを位置づけるとともに、個別のリスクを洗い出し、分析・対応する体制を構築することが望ましいと考える。具体的には、技術流出リスク、サプライチェーンリスク、制裁リスク、国際規制リスク等を洗い出し、それらについて定期的な報告を受ける体制を整備し、M&A、共同研究、海外進出などの重要案件については経済安全保障の観点から審査を行うことが考えられる。
その下の執行レベルでは、当然ながら企業の規模感や経済安全保障に関わる事象との距離感も考慮すべきだが、経済安全保障に関わる事象と近しい距離にある企業においては、経済安全保障責任者（Chief Economic Security Officer）や、経済安全保障委員会を設置することも選択肢となる。同委員会には法務、知財、輸出管理、調達、情報セキュリティ、人事、研究開発、経営企画等の関係部門を参加させ、部門横断的にリスクを管理することが望ましいだろう。
管理すべきリスク対象としては、

①　技術管理（外為法や米国EARへの対応、共同研究管理、営業秘密保護、人材を通じた技術流出防止等）

②　データ管理（個人データのみならず、研究データ、AI学習データ、製造データ等）

③　サプライチェーン管理（特定国や特定企業への過度な依存を把握し、代替調達先や在庫戦略を含めた事業継続体制を構築可否の検討や実践）

④　投資・取引管理（対内直接投資規制、対外投資規制、OFAC制裁、取引先デューデリジェンス等への対応）

などが含まれる。
さらに、多国籍企業においては、単体企業だけでなくグループ全体の統制が重要となる。特にEARやOFAC規制は広範な域外適用の問題を伴うため、日本本社だけではなく海外子会社も対象としたグローバルなポリシーや監査体制を整備することが望ましい。
最終的には、経済安全保障の観点からのガバナンスは、「守り」のためだけではなく、中長期的な企業価値の維持・向上という「攻め」の経営戦略を支える基盤として機能することが理想である。取締役会による監督の下で、技術、データ、サプライチェーンおよび取引関係を統合的に管理し、自社の競争優位を維持・強化する仕組みを構築することこそが、経済安全保障の観点からの企業ガバナンスに求められる理想像といえるだろう。

→この連載を「まとめて読む」

1. 営業秘密の要件は、経済産業省の不正競争防止法に係るウェブサイト等も参照されたい。[↩]
2. 経済産業省「営業秘密管理指針」（平成15年1月30日（最終改訂：令和7年3月31日）7〜19頁。[↩]
3. 令和6年2月14日開催に係る内閣知的財産戦略本部構想委員会第2回会議資料として、経済産業省知的財産政策室「技術流出と不正競争防止法」（令和6年2月）。[↩]
4. 情報流出の現状について、経済産業省知的財産政策室「営業秘密の保護・活用について」（平成29年6月）1〜3頁。[↩]
5. 前掲注3）。[↩]
6. 制度の概要については、経済産業省「技術情報管理認証制度（TICS）について」（2026年8月）。[↩]
7. 前掲注6）。[↩]
8. 対象となる技術については、経済産業省 貿易経済安全保障局経済安全保障政策課技術調査・流出対策室「技術情報管理認証制度(トップページ)」のFAQなども参考になる。[↩]
9. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添「講ずべき安全管理措置の内容」参照。[↩]
10. 経済安全保障法制に関する有識者会議「経済安全保障の更なる推進に向けた提言」（2026年1月30日）IX（データセキュリティ）2（1）②（39〜40頁）。[↩]
11. 経済産業省貿易経済安全保障局「経済安全保障経営ガイドライン（第1版）」（2026年1月23日）1.はじめに（3頁）。[↩]
12. 前掲注11）2.（4）本ガイドラインで定める内容と範囲（5〜6頁）。[↩]
13. 前掲注11）3.経営者等が認識すべき原則（7〜8頁）。[↩]
14. 株式会社東京証券取引所「コーポレートガバナンス・コード～会社の持続的な成長と中長期的な企業価値の向上のために～」（2026年7月21日）原則4－4（19頁）。[↩]
15. 前掲注14）。[↩]
16. 会社が外国において営業する場合に取締役が当該外国の法令も遵守する義務があると判示したものとして、大阪地判平成12年9月20日判例時報1721号3頁（大和銀行株主代表訴訟事件）。[↩]
17. 前掲注11）4.（2）①不可欠性確保の重要性の高まり（12頁）。[↩]
18. 座談会「経済安全保障と企業ガバナンス・Ｍ＆Ａ（上）」旬刊商事法務2430号11〜12頁。[↩]
19. 前掲注18）23頁。[↩]