放射線技師たちはある問題に直面していました。 そのうちの誰かが、病院の共有コンピュータシステム上の医療記録にアクセスしようとするたびに、その都度個別にログインしなければなりませんでした。
のシステムとソフトウェアは古すぎて、ログオン処理に
から5分もかかることがありました。
彼らの解決策は、シフトで最初に到着した人が、自分のIDでログインすることでした。 そして、最後に残った人がログアウトすることになります。
「彼らに悪意はなかったのです」と、サイバーコンサルティング会社「Beyond Layer 7 」の主任研究員であるクレイ・ポージー氏は述べています。同氏は、のサイバー衛生習慣について、同チームにインタビューを行いました（）。 「彼らは、
機密漏洩を引き起こそうとしていたわけではありませんでした。」 しかし、彼らの行動によって、そのような事態が起こる可能性が生まれたのです。
従業員から内部脅威へ
このような内部からの脅威は、「悪意のないコンプライアンス違反」として知られています。 これは、従業員がサイバーセキュリティポリシーに違反するよくある方法の一つです。 「彼らは、自分たちの行為が方針に反していることを承知していました」と、ブリガム・ヤング大学マリオット・ビジネススクールの情報システム学准教授でもあるポージー氏は述べています。 「しかし、適切だと考えられていたセキュリティ規則が、生産性や業務の流れの妨げとなってしまいました。」 「そこで、このグループは単に回避策を考案したのです。」
別の時代であれば、その創意工夫は称賛されたかもしれません。 しかし、今日では、サイバー犯罪者や国家が関与するハッカーたちが、 のエンドポイント やネットワークの脆弱性を絶えず探り、ログイン情報や
機密データ へのアクセス権、さらには被害者に ランサムウェア攻撃
を仕掛け、巨額の利益を得る手段を模索しています。
実際、病院で起きたような内部からの脅威は、多くの場合、従業員の ストレス、仕事をやり遂げなければならないというプレッシャー、さらには見当違いの利他心などが原因となっています。 これは、ポージー氏らが執筆し、全米科学財団（NSF）から出版された『 』（2020年6月 ）誌の論文『 』によるもので、同氏のチームは、新たにリモートワークを始めた従業員のサイバー行動について調査を行いました。 彼らは、リモートワーク（依然として何百万人もの人々にとって標準的な勤務形態となっています）が、こうしたセキュリティ上の問題が発生する機会を増やしていることを突き止めました。
この研究には関与していなかった、インディアナ大学ブルーミントン校のサイバーセキュリティ・リスク管理プログラムの責任者であるスコット・シャックルフォード氏は、「一般的に、こうした問題は、理解の欠如、関心の低さ、あるいはストレスや焦りによるものです」と述べています。 そして、それは悪意のある者たちに対する、まさに「後ろの扉を開け放ったような」招待状に他なりません。 「例えば、詐欺師たちが、従業員の注意が散漫になることを承知の上で、金曜日の午後遅くや連休中に連絡してくることは珍しくありません」と彼は述べています。
これは、技術だけでは解決できない、サイバーセキュリティ上の重要なリスクです。 この問題は、システムに関わる人々に働きかけることによってのみ解決できます。 ITチームはより優れた「ネズミ捕り」を設計することはできますが、もしそれを孤立した状態で――つまり、企業の保護された境界線の外にある分散型ネットワーク・エコシステムの一部となった、キーボードを操作する従業員のことを考慮せずに――行えば、結局は「チーズ」を失う結果に終わってしまうでしょう。
リモートワーカーが実際にサイバーセキュリティのガイドラインをどのように扱っているか
ポージー氏が、幅広い業界の 330 名以上のリモートワーカーを対象に行った調査によると、IT部門は、自部門のルールが従業員のワークフローにどのような支障をきたしたり、新たなストレスの原因となったりする可能性があるかについて、理解が不十分な場合が多いことがわかりました。 2週間にわたる自己申告に基づくこの調査によると、サイバーセキュリティ方針の違反の 18％は、1人以上の従業員が互いに助け合いたいという動機によるものであったことが判明しました。 全体として、 67％の人が、少なくとも1回はサイバーセキュリティポリシーを遵守できなかったと回答しており、平均的な遵守違反率は業務タスク 20 件につき1回となっています。
「詐欺師たちは、従業員が気を散らしていることが分かっている金曜日の夜遅くや、連休中に連絡を取ってくることが珍しくありません。」スコット・シャックルフォード氏、インディアナ大学ブルーミントン校 サイバーセキュリティ・リスク管理プログラム委員長
こうした違反について挙げられた理由は、非常に示唆に富んでいます。 上位3つには、「自分の仕事をよりうまくこなすため」、「必要なものを手に入れるため」、「他の人が仕事をやり遂げられるよう手助けするため」が挙げられました。 これらを合わせると、報告された意図的なセキュリティ規則違反の 85％を占めました。
実際、 リモートワーク は、従業員による悪意のないコンプライアンス違反のリスクを高めるようです。 これには、従業員が の承認されていないソフトウェア を会社のノートパソコンにダウンロードすることから、家族に会社の機器を使用させることまで、さまざまなケースが考えられます。 また、在宅勤務中は、モバイル端末から機密データにアクセスする頻度も高まっています。
その結果、各組織はサイバーセキュリティのコンプライアンスをどのように強化すべきか、頭を悩ませています。
在宅勤務におけるセキュリティがもたらす心理的負担について
今日のリモートワーク環境において、組織が直面する最も深刻なサイバーセキュリティ上の問題の一つに、電子メール によるフィッシング 詐欺、別名 ビジネスメール詐欺 (BEC) が挙げられます。 その手口は次のようなものです。攻撃者が上司や親しい同僚を装い、従業員に資金の送金を求める緊急の依頼をメールで送ってきます。 時間の制約や、助けたいという思いから、職員は規定を破り、依頼内容を確認せずにこうした移送を行ってしまうことがあります。
組織をサイバー攻撃から守るためには、高額な取引に対する確認ポリシーを導入するだけでなく、セキュリティプロトコルがなぜ重要なのかを従業員に周知し、日常業務への支障を最小限に抑え、プロトコルが業務の遂行と衝突した場合の対処法について指針を示すことが必要です。
何百万人もの労働者がリモートワークを続けている中、サイバーセキュリティの専門家たちは、管理職は、従業員が監視システムの下で働くことで直面する潜在的な心理的負担 について、警戒を怠らないべきだと指摘しています。
の追跡ツールやキーストロークの監視といった監視システムは、家庭では特にプライバシーを侵害しているように感じられるかもしれません。 たとえ直接的な影響がなくても、研究によると、ストレスが増加することで、間接的に人々がセキュリティプロトコルを破る可能性が高まることが示唆されています。
[関連記事：リモートワークの普及に伴い、データプライバシーへの懸念が高まっています]
ビジネスやテクノロジーのリーダーは、新たなセキュリティ対策の策定、評価、および導入において、必ず従業員を巻き込むようにすべきです。 ポージー氏は、ITチームは、同氏が「回避的思考と受容」と呼ぶものの間でバランスを取らなければならないと述べています。 セキュリティ違反に対して懲罰を科すのではなく、管理職は従業員がミスを犯すことがあるという事実を受け入れるべきです。
「様々な出来事は起こるものです。管理職は、その根本原因を理解するよう一丸となって取り組むべきです」と彼は述べています。
従業員向けのサイバーセキュリティ研修において、「人参」を多用し、「棒」を控えめに活用する
実際、 ITおよびセキュリティチームは、 生まれつき好奇心旺盛で、煩雑なセキュリティポリシーの背景にある理由を理解しようとする従業員から恩恵を受けることができると、ポージー氏は述べています。 各チームは、悪意のある攻撃や予期せぬ サプライチェーンの脆弱性とは異なり、従業員に起因する多くの情報漏洩は、セキュリティと生産性のバランスを取ろうとする試みから生じており、多くの場合、完全に予測可能な人間の行動に起因していることを理解すべきです。
[関連記事：ソフトウェア・サプライチェーンのリスク管理は、可視化から始まります]
セキュリティチームは、悪意のない違反がどれほど多く発生しているかについて、従業員に周知徹底しなければなりません。 しかし、それで終わりである必要はありません（そして、そうあるべきでもありません）。 従業員のモチベーションの源泉を理解し、セキュリティポリシーの策定やユーザーテストのプロセスに彼らを巻き込むことは、従業員が積極的に協力してくれるようになる上で大いに役立ちます。 そして、何よりも重要なのは、ビジネスやテクノロジーのリーダーたちが、サイバーセキュリティ対策が従業員の生産性を妨げないよう努めなければならないということです。
「ほとんどの人は、ただ自分の仕事をこなしたいだけなのです」とポージー氏は言います。 「彼らは毎日仕事に行くたびに、『ねえ、どうやって仕事を台無しにしようか？』なんて言ったりはしませんよ。」
