パンデミックの間、内部関係者によるデータ漏洩は著しく深刻化しました。ほぼ全員が、 自宅からセキュリティ対策が不十分な状態で仕事を行っていたためです。。 現在、経済の低迷により大規模な人員削減が相次ぐ中、企業はさらに大きな脅威に直面する可能性があります。それは、元従業員が の機密パスワード やデータを保持し続けていること、あるいはさらに悪いことに、元雇用主に対してサイバー攻撃を仕掛けることです。
特にハイテク業界における最近の人員削減の規模は桁外れです。Googleの親会社であるAlphabetは 12,000 人の人員を削減し、Amazonは18,000人、Dellは 6,650人、IBMは 3,900人、Microsoftは 10,000人、SAPは 2,800 人に解雇通知を出しました。
「 2009年頃に大不況が終息して以来、これほど大規模な人員削減は見られていません」と、米国人事管理協会（SHRM）のナレッジ・アドバイザーであるジョン・ドゥーニー氏は述べています。 「こうした人員削減から生じる脅威や問題に対し、雇用主がどのように対処していくのか、注目されますね。」
解雇された労働者全員が、後日復讐を果たすための悪意ある計画の一環として、パスワードや会社のデータを握りしめておくほど怒りを感じるわけではないのです。 実際、解雇された従業員の多くは、すぐに、そして目立たない形で別の仕事を見つけ、新たな道を歩み始めます。 また、ハイテク分野については、ZipRecruiterの最近の調査によると、 10人中4人 が、求職活動を始めてから1か月以内に新たな就職先を確保することに成功しています。
とはいえ、企業が新入社員の受け入れや退職時の手続きに関する計画や慣行において、サイバーセキュリティを中核に据えていない場合、従業員の解雇に伴い深刻な影響を受ける可能性があります。
「多くの企業が犯す人事（HR）上の最大の過ちの一つは、採用や解雇がサイバーセキュリティに及ぼす影響を、手遅れになるまで考慮しないことです」と、Taniumのテクニカルアカウントマネジメント担当ディレクターであるカイル・デュワー氏は指摘しています。 「多くの場合、従業員は、次の職場で活用したいと考えている、テンプレートやプレゼン資料といった、さほど重要ではない書類を持ち出すだけです。」 しかし、知的財産（IP）を売却する窃盗犯がたった一人いるだけでも、あるいは不満を抱いた元従業員がたった一人、企業のネットワークに不正アクセスするだけで、その企業に損害を与えることになりかねません。 「残念ながら、最近相次いでいる大規模な人員削減により、そのような事態がますます頻繁に起きているのです。」
実際、不十分な離職管理計画を持つ雇用主の約3分の1が、過去1年間に元従業員による機密データの持ち出し（29％）、ネットワークへの不正アクセス（28％）、またはウェブサイトのバックエンドへのハッキング（32％）が発生したと回答していることが、 とBeyond Identityによる調査 （新しいタブで開きます） で明らかになりました。 その結果、それらの企業の4分の1が評判の低下を被りました。
こうした問題を回避するため、専門家は、在職中に従業員がネットワーク上のデータやリソースにどのようなアクセス権を持つか、そのアクセスはどのように監視・管理されるか、そして退職時にはどうなるかを明確に定義することを推奨しています。
安全な発砲は、賢明な採用から始まります
インサイダー脅威管理企業であるDTEX Systemsの最高顧客責任者（CCO）兼 i3 リードを務めるラジャン・クー氏は、まず人事部門とIT部門の責任者が、新入社員が勤務開始前に署名するすべての入社手続き書類の一部として、適正利用規定（AUP）を策定すべきだと助言しています。 従業員は、AUP（利用規定）に法的に同意することにより、会社のコンピュータやネットワークリソースを安全に利用するための規則に従う義務を負います。 また、彼らは、不審な、あるいは悪意のあるデジタル行動を特定するための取り組みの一環として、勤務中に雇用主が匿名で自分のオンライン活動を監視している可能性があることを認識しています。
「企業が犯す人事上の最大の過ちの一つは、採用や解雇に伴うサイバーセキュリティ上の影響を、手遅れになるまで考慮しないことです。」Tanium社のテクニカルアカウントマネジメント担当ディレクター、カイル・デュワー氏
クー氏は、こうしたことはどれも、冷淡に、あるいは強引なやり方で伝えるべきではないと述べています。 むしろ、経営陣は、会社は従業員を信頼しているものの、法的および規制上の理由から、機密性の高い財務情報や顧客情報を保護するために最善を尽くさなければならないことを、率直に説明すべきです。 クー氏は、このメッセージを適切に伝えれば、解雇後であっても、コンプライアンスの促進と不適切な行動の抑止につながると付け加えています。
企業は、実際には監視を行っていないのであれば、監視を行っていると主張すべきではありません。 従業員は馬鹿ではありません。いずれは誰も監視していないことに気づき、特に退職を計画していたり、差し迫った人員削減の兆候を察知したりした場合には、許可なく会社のデータを持ち出すことをためらわなくなるかもしれません。
[関連記事：なぜ従業員はサイバーセキュリティポリシーに違反するのか]
実際、 のCyberhavenによる調査（ ）によると、従業員は退職前にデータやパスワードを持ち出す可能性が68.7％高くなることが明らかになりました。 同様に、この調査によると、解雇された従業員は、解雇される前日にデータを持ち出す可能性が 23.1％高く、解雇当日にデータを持ち出す可能性が 109.3％高いことが明らかになりました。
インサイダーリスクの兆候を見抜く
専門家によると、こうした行為は従業員が営業秘密を盗んでいる可能性を示すものであるため、組織はこうした活動に警戒すべきだとのことです。
その好例が、有罪判決を受け（ 恩赦を受けた）、自動運転車のエンジニアであるアンソニー・レヴァンドフスキー氏です。同氏は数年前にGoogleを退社し、自身の会社「Otto」（後にUberに買収されました）を設立しましたが、Googleの自動運転車に関する機密情報 を持ち出したとして告発されました。 また、通常とは異なるデジタル上の行動は、従業員が自身のビジネスを営むために顧客の連絡先情報をダウンロードしている可能性を示唆しているかもしれません。 あるいは、 に記載されているように、幻滅した従業員 が、社内通信を盗聴したり、企業情報を破壊したり、あるいは将来的にサイバー攻撃を仕掛けたりするために、パスワードを蓄積している可能性も考えられます。
のリアルタイムな可視化、制御、および是正ツール は数多く存在しており、企業がこうしたデジタル活動を監視し、対処するのに役立ちます。 例えば、 のエンドポイントセキュリティソリューション（ ）の中には、内部関係者（あるいはまもなく外部関係者となる人物）による脅威や（）、ゼロデイ攻撃（）から企業を保護できるものがあります。 また、それによって、そうでなければ見過ごされていたかもしれないセキュリティ上の脆弱性を特定し、解消することもできます。 さらに、これらの製品の中には、盗まれたデータ、特に知的財産がどこへ流出したかを追跡するための監査証跡を作成するものもあります。
「多くの組織は、自社の知的財産が失われたことに、それが競合他社の製品として市場に出回るようになる何年も後になって初めて気づくため、これは重要なことです」とクー氏は述べています。 「監査証跡があれば、過去にさかのぼって、どのようなデータが移動されたか、そのデータがどこから来たのか、誰が操作したのか、そしてどこへ移動したのかを確認することができます。」
「D-Day」に向けた準備
専門家によると、従業員が退職したり解雇通知を受け取ったりする段階までに、綿密に練られた入社・退職のプロセスを整えておけば、データ漏洩やハッキング被害を最小限に抑えることができるとのことです。 しかし、長期的なリスクを最小限に抑えるためには、出発日、つまり「D-Day」に、まだいくつかの手順を踏む必要があります。
「従業員が自ら取り組んだ成果の一部を持ち帰れるようにすることは、退職する従業員にとって、ある種の安らぎや慰めとなるでしょう。」ジョン・ドゥーニー氏、米国人事管理協会（SHRM）ナレッジ・アドバイザー
最も重要でありながら、最も見過ごされがちな考慮事項の一つは、次の点です。思いやりは大切です。 従業員には、電子メールを送ったり、説明なしにネットワークへのアクセスを遮断したり、ニュースで自分の運命を知らされたりするのではなく、まずは思いやりのある人間から解雇の知らせを直接伝えるようにしてください。 このような 冷酷な行為 は、不快感を抱いた元従業員の一部に、デジタル資産を盗んだり、将来的にサイバー攻撃を仕掛けたりする動機を与える可能性があります。
コントロール・リスクス・クライシス・アンド・セキュリティ・コンサルティングのプリンシパルであるキャサリン・マリニス＝ヤクブ氏は、最近のブログ記事の中で、企業に対して他にもいくつかの予防措置を講じるよう推奨しており、その中には以下が含まれます：
- メールボックス、アプリケーション、 クラウド（）、社内ネットワーク、その他のデータソース、および会社が所有するモバイル端末を含む、企業のデジタル資産へのすべてのアクセスを遮断します。 繰り返しになりますが、これは、従業員に解雇が通知された時点と一致するか、あるいはその直後に実施されるべきものです。
- 従業員に支給された、ノートパソコン、ハードディスク、USBメモリ、携帯電話、社用クレジットカード、社員証、入館カード、駐車許可証など、会社が提供したすべての端末、機器、および資産を回収いたします。
- 従業員が所有する電子機器から企業データを削除すること。
[関連記事：すべての従業員がサイバーセキュリティチームの一員となり得る――そしてそうあるべき――方法とは]
- マリニス＝ヤクブ氏は、「組織に対する外部へのリスクに対処し、従業員に対し、会社の 重要な資産 を保護する義務や、競業避止契約について改めて認識してもらうため」、セキュリティ担当者やリスク管理担当者の立ち会いのもとで退職面談を行うことを提案しています。 もしこれが直接行うことができない場合は、企業は従業員に送る書面による連絡の中で、これらの重要な点について説明すべきだと彼女は述べています。
- 退職予定の従業員が最終出勤日に現場に滞在することが見込まれる場合、人、データ、または施設への被害を防ぐため、現場での警備体制を強化し、必要に応じてその従業員を敷地外まで付き添って送り出すこと。
この後者の点について、SHRMのドゥーニー氏は、人事部門は、敷地外へ連れ出されることによる心理的トラウマを和らげるべきだと述べています。
「雇用主は、従業員に対して、会社が持ち出しを許可している私物や書類を取りに戻るための時間を確保できると伝えることで、従業員を助け、安心させることができます」と彼は述べています。 「もちろん、顧客の連絡先情報などではありません。」 しかし、従業員が自ら取り組んだ成果の一部を持ち帰れるようにすることは、退職する従業員にとって、ある程度の安らぎや慰めとなるでしょう。」
