ここ数ヶ月、 の指標 の多くが、今年、オフィスへの復帰義務化が進むことを示唆しており、連邦政府機関におけるリモートワークの終了を指示したトランプ大統領の指令により、この傾向はさらに加速すると予想されます。これに伴い、サイバーセキュリティ上の脅威が急増する可能性もあります。
RTOを推進する経営陣は、主に従業員の連携や生産性の低下、そしてもちろん、半分空いているオフィススペースを維持するためのコストを懸念しているようです。 実のところ、研究によると、週5日の出社義務化は、従業員の生産性や企業の利益、株価のパフォーマンスを向上させる効果はほとんどないことが示唆されています。また、この移行過程において、従業員を苛立たせたり、場合によっては離職させたりするリスクも確実に存在します。
こうした従業員からの苦情や職場でのストレスの増加は、 の最高情報セキュリティ責任者（CISO）である 氏をはじめ、「」の内部脅威や、および官民組織におけるサイバーセキュリティ全般の監視を担当する方々にとって、深刻な影響を及ぼしています。
そして、これが、企業のリーダーたちが従業員の勤務場所に関するメリットとデメリットを検討する際、サイバーセキュリティを最優先事項として念頭に置いておく必要がある理由の一つです。
「妨害行為を含む内部からの脅威も考慮する必要があります。変更によって個人的な影響を受ける従業員もおり、極端な場合には、問題行動に及ぶ可能性があるからです。」フリッツ＝ジャン・ルイ氏、インフォテック・リサーチ社 サイバーセキュリティ主任顧問
というのも、単にパンデミック前の通常の状態に戻るというだけの問題ではないからです。 RTOは、さまざまな形でサイバーセキュリティに影響を及ぼします。 確かに良い面もありますが、専門家たちは、かつてのセキュリティ上の脅威が再び問題となり、その他の予期せぬリスクによってセキュリティチームの対応がさらに複雑化することから、いくつかの重大な課題が生じると予測しています。
CISOにとってのRTOのメリットとデメリット
まず、メリットについてです。RTOの取り組みにはいくつかの課題が生じる可能性がありますが、一方で、CISOにとってサイバーセキュリティのいくつかの側面をより円滑にする効果もあると、ラリー・ホワイトサイド・ジュニア氏は述べています。 このベテランCISOは現在、CISO向けの製品評価・再販サービス「Confide」を運営しています。
「企業の敷地内に人々を留めておくほうが、はるかに簡単です。」ConfideのCISO兼共同創業者、ラリー・ホワイトサイド・ジュニア氏
「社内の従業員を保護するほうが、はるかに簡単です」と彼は言います。 「人々の自宅のシステム構成も、自宅のネットワーク環境も、あなたにはわかりません。」 自分がいない時に、職場のパソコンを使う人はいますか？ そのネットワークには、他にどのようなセキュリティ対策が不十分なデバイスが接続されていますか？ 「ほとんどの家庭用ルーターは『めちゃくちゃ』です」と彼は付け加えます。 これらのソフトウェアを更新する人はほとんどいません――ただし、 に記載されている中国の高度持続的脅威（APT）グループ が、 マルウェア を感染させているケースは別として。
ゼロトラスト —— ネットワーク上のあらゆるものを信用せず、 堅牢な認証 に基づいて権限を付与するという考え方 —— は、こうした問題を解決するものと期待されていました。 しかし、ホワイトサイド・ジュニア氏によると、これは単一の製品というよりは、 の複合的なフレームワーク（ ）であり、多くの企業はこれに対応する準備ができていなかったとのことです。
[関連記事：リモートワーカーの採用にはリスクが伴います――ディープフェイク詐欺にご注意ください]
しかし、RTOの要件には独自の課題も伴います。その中には、恐れられている「（横方向の移動）」も含まれており、これは、攻撃者が1台のデバイスを侵害した後、企業ネットワーク上の他のデバイスへと移動し、それらも侵害してしまうというものです。
「パンデミックの最中、誰もが自宅にいた時期に、あるデバイスから別のデバイスへ移行すること自体が問題だったわけではありません。むしろ、 による権限昇格 が問題だったのです」と、ホワイトサイド・ジュニア氏は説明しています。
自宅では、業務用端末は社内ネットワークに接続されていないため、攻撃者がその感染した端末から社内ネットワーク上のマシンへと侵入する機会はありません。 その代わりに、近年のサイバー攻撃者は、クラウドソフトウェア上の業務用アカウントを乗っ取ることを可能にする、リモート端末から従業員の認証情報を盗み出すことに注力しています。 例えば、ホームネットワーク上の感染した端末から、従業員のMicrosoft 365 のクラウド型ワークスペースへのログイン情報が漏洩する可能性があります。これにより、攻撃者は自身のコンピュータからそのワークスペースにアクセスし、業務ファイルを盗み出すことが可能になります。 （ の適切なIDおよびアクセス管理ポリシー および技術を活用することで、ユーザーの権限を管理し、こうしたリスクを軽減することができます。）
横方向（いわゆる東西方向）の移動により、攻撃者はネットワーク内を水平方向に移動し、比較的容易にアクセス範囲を拡大することができます。 エンドポイント検知ツールは、ノース・サウス・トラフィック（例えば、ネットワークへの流入や流出）を容易に特定できますが、ラテラル・ムーブメントは発見が難しい場合があります。 企業は、 の自律型エンドポイント管理（ ）や、の異常検知（ ）、の高度なサイバーセキュリティ分析（）といったリアルタイム監視ソリューションを活用する必要があります。これらはそれぞれ、異常なユーザー活動を検知し、追跡することができます。
RTOにおける最大のサイバーセキュリティリスク：従業員が不正行為に走る場合
CISOにとってのもう一つのRTOに関する懸念は、企業のデータやサイバーシステムを危険にさらしかねない、対立や不和です。
「多くの企業が、アマゾンが［昨年9月］に5日間のオフィス復帰を発表した際、嬉しく感じたと話してくれました。 同社はこれを、アマゾンから優秀な人材を引き寄せる好機と捉えています。”ピッツバーグ大学経営学准教授、マーク・マ博士
ピッツバーグ大学の経営学准教授であるマーク・マ氏（ ）は、 のRTO（オフィス復帰）方針について調査を行い、企業が従業員に職場復帰を命じた際、従業員の満足度が大幅に低下することを明らかにしました。 マ氏は、これがそのまま高い離職率につながったと指摘しています。特に、家庭に子供がいる女性社員や、自律性を重視し、将来の雇用主から高い評価を得やすい経験豊富な社員の間で、その傾向が顕著だったとのことです。 「多くの企業が、アマゾンが［昨年9月］に週5日のオフィス出社を発表した際、喜んだと私に話してくれました」と彼は述べています。 「同社はこれを、アマゾンから優秀な人材を引き寄せる好機と捉えています。」
その従業員の中には、新しい雇用主との契約条件をより有利にするために、会社の機密情報を持ち出す者もいるのでしょうか？ 専門家たちは、これは深刻な懸念事項だと指摘しています。
「妨害行為を含む内部からの脅威を考慮しなければなりません。変更によって個人的な影響を受ける従業員もおり、極端な場合には、問題行動に出る可能性があるからです」と、アナリスト企業Info-Tech Researchの主任サイバーセキュリティ顧問であるフリッツ＝ジャン・ルイ氏は警告しています。
在宅勤務中に雇用主から過酷な監視を受けた場合、従業員は報復したくなるかもしれません。 在宅勤務の従業員を監視する、偏執的な企業の話は後を絶ちません。 によると、 のソフトウェアを使用して、在宅勤務者がマウスを動かす頻度を監視し、デスクにいるかどうかを確認しているとのことです。
[関連記事：従業員が「シャドウAI」を積極的に活用し、企業のデータを危険にさらしている理由とは]
「この『バーチャル・プレゼンス主義』という風土は、従業員を疎外するだけでなく、生産性を測る指標としても不適切である、とマ氏は警告しています。」「オフィスへの復帰義務化が、企業の業績や株価評価、あるいは株式リターンを実際に向上させたり、あるいは悪化させたりするという有意な証拠は見つかりませんでした」とマ氏は述べています。
今後の道筋
このより受け入れやすい解決策は、オフィスへの出社を必要としつつも、従業員との敬意に満ちた生産的な関係を築き続けるための、彼が考える企業の進むべき道の一部でもあります。 「出力を直接追跡・監視してみてはいかがでしょうか？」 彼はそう提案しています。 「従業員が目標、すなわち期待される成果に向けて、どの程度進捗しているか。」
「［ハイブリッド］型のアプローチでは、従業員のニーズをある程度優先しつつ、オフィスでの時間をいかに有意義なものにするかを検討しています。」マクリーン・アンド・カンパニー、人事調査・コンサルティングサービス担当ディレクター、エリスカ・フェルナンデス氏
同氏は、オフィス勤務のメリットを最大限に活かしつつ、士気の低下や、重大なサイバーセキュリティ上の脅威につながる可能性のあるその他の問題を最小限に抑えるため、ハイブリッド型のアプローチを提言しています。
[関連記事：職場の満足度向上を図るために、今こそ従業員エンゲージメント戦略を見直すべき理由]
人事担当者にとっては、これは双方にとってメリットのある状況となります。 「これは、従業員のニーズをある程度優先しつつ、オフィスでの時間をいかに有意義なものにするかを検討するアプローチです」と、コンサルティング会社マクリーン・アンド・カンパニーの人事調査・アドバイザリーサービス担当ディレクター、エリスカ・フェルナンデス氏は述べています。 「これらはすべて、在宅勤務を続けている場合でも、オフィスや自宅以外の実際の職場で過ごす時間を増やすという、より広範な傾向の一環と言えます。」
Ma氏は、オフィスに出勤するのが適切かどうかは、各チームが自ら判断できるようにすべきだと提案しています。 具体的には、決まった時間帯や曜日となる場合もあれば、大規模なチームミーティングや顧客との打ち合わせといった特定の種類のイベントを中心に設定される場合もあります。 成功の鍵となるのは、処理されたレコード数やレポートの提出時期といった実際の成果を測定する、透明性が高く堅牢なパフォーマンス監視システムです。
RTOポリシーを慎重に策定すれば、意思決定プロセスにおいてサイバーセキュリティ上の課題を優先しつつ、企業の目標と従業員のニーズのバランスをとることができます。
