リモートワーク従事者の増加により、データ保護への取り組みに負担がかかっています。企業は、企業システムやネットワークのセキュリティを確保するためのスキルや専門知識を持つ人材の確保に苦慮しているからです。
2021 年には、人材獲得競争が前年より激化し、多くの企業でプライバシー担当チームの人手不足が生じました。 これは、ISACAが新たに発表した『 ：Privacy in Practice 2022』（）によるもので、サイバーセキュリティまたはプライバシーの分野で認定資格を持つ 832 名の構成員を対象とした調査結果に基づいています。
さらに悪いことに、より多くの取締役会がセキュリティ強化への支持を表明するにつれ、今年は人材への需要がさらに高まると予想されています。世界的なIT団体は、1月 28日の今年の「データプライバシーデー」に合わせて本日発表した報告書の中で、このように述べています。
情報システム監査・統制協会（ISACA）が実施した調査によると、回答者の半数以上（55％）が、技術系人材が不足していると答えています。 約 46％が、法務やコンプライアンスに関する専門知識が不足していると回答しています。 人材の供給が極めて限られているため、採用のペースが鈍化しています。 技術職の求職者の半数は、フレームワークや制御に関する知識を持っていません。 他の人たちは、単に十分な技術的な専門知識を持っていないのです。
「プライバシー担当チームには以前よりもはるかに多くのことが求められており、以前とは異なる形で注目を浴びています」と、ISACAのプライバシー専門実務アドバイザーであり、本調査の策定を主導したサフィア・カジー氏は述べています。 また、人材不足の最大の原因は人材の確保が困難であることにありますが、それに次いで大きな要因となっているのが、この問題に対する一部の企業の認識不足です。
彼らが知らないことが、彼らを苦しめているのです
人材不足に悩む法務・コンプライアンス部門も対象としたISACAの調査では、回答者の5人に1人が、過去 12 ヶ月間にプライバシー侵害が発生したかどうかさえ把握していないと回答しました。 That is particularly surprising, as well as alarming, given the wide range of high-profile criminal cyber attacks that occurred in 2021. 「彼らが全く気づいていないというのは、実に興味深いですね」とカジー氏は言います。 「彼らは適切な監視を行っていない可能性があります。」
あるいは、監視そのものが一切行われていない、とコンサルティング会社「Privacy & Security Brainiacs」のCEO、レベッカ・ヘロルド氏は述べています。 ヘロルド氏によると、多くの組織では、自社のネットワークやデータベース、あるいは従業員がリモートワークの際に使用する個人所有の端末を、まだ完全に把握できていないとのことです。 また、彼女は、一部の企業では、自社のデータをどのサードパーティプロバイダーに委託しているのか、あるいはそれらのプロバイダーがデータの安全性を確保するためにどのような措置を講じているのかさえ把握していないと付け加えています。
「データが保存されている場所は非常に多く、企業側でも把握しきれていない場合があるのです」とヘロルド氏は述べています。 「そのため、適切なリスク評価を行うことが非常に困難になります。」
そのため、サイバーセキュリティの専門家がまず推奨するのは、企業のハードウェアおよびソフトウェアに関する包括的な調査と のインベントリ の作成、ならびに、誰がどのデータにアクセスできるか、またデータがどこへ流れるかについての完全な一覧を作成することです。 このインベントリを活用することで、企業は、サイバー犯罪者、国家支援型ハッカー、ハクティビストを撃退することを目的とした、 の基本的なサイバー衛生管理 の対策を導入することができます。
「データが保存されている場所は非常に多く、企業側でも把握しきれていない場合があります。」 そのため、リスク評価は非常に困難になります。”Privacy & Security BrainiacsのCEO、レベッカ・ヘロルド氏
人材不足を解消するため、調査対象企業のほぼ半数が、プライバシー業務以外の部門の社員を研修し、プライバシー関連の職務に就かせるよう取り組んでいると回答しています。 その利点の一つは、こうした従業員は、会社やその仕組みについて、より深い知識を持っているということです。 調査対象企業の約3分の1が、外部の請負業者やサイバーセキュリティ・データプライバシーのコンサルタントを活用していると回答しています。こうした専門家は、最新のツールや専門知識をもたらし、企業のセキュリティ体制をより迅速に強化することができるからです。
従業員に対し、サイバーセキュリティおよびデータプライバシーに関する問題について教育を行う
外部の支援を導入する際は、その外部の担当者が社内の従業員に対し、データを適切に保護する方法について指導を行うことが最も効果的だと、ヘロルド氏は述べています。 つまり、一度きりのアップグレードでは不十分だということです。 ヘロルド氏によると、多くのビジネスやテクノロジーのリーダーたちが、監視ツールを一度実行しただけで、自社のネットワークは安全だと彼女に語っているそうです。 一度だけでは足りません。 モニタリングは継続的に行う必要があります。
長期的には、教育を最優先事項としなければなりません。 しかも、それは従業員が職場に到着した時だけではありません。 ヘロルド氏は、子どもたちがスマートフォンを持ち歩いているため、学校でデータプライバシーについて教えるべきだと述べています。 「そうした機器を安全に使いこなせるよう指導すれば」と彼女は述べ、「データプライバシーの重要性を理解した人材が労働市場に参入することになるでしょう」と語っています。
カジ氏もこれに同意し、早期教育を行うことで、プライバシー分野の仕事が、社会に出る若者にとってより魅力的なものになると述べています。
この調査によると、プライバシー関連の予算が削減される可能性は低いという点が朗報です。
「企業にとっては、はるかに重要な課題です」とカジー氏は述べています。 「情報漏洩がもたらす明らかな被害や、人々の生活がいかに台無しにされかねないかを目の当たりにしてきました。」
