「知らぬが仏」は通用せず

　社内犯の動機ははっきりしている、とバートン氏は話す。「彼らはデータを盗みたいのだ」。

　その一方で、忠誠心はあるけれどもセキュリティ意識が低い社員がいる。彼らは、仕事の効率を上げるために、あるいはポルノ画像などをダウンロードするために、セキュリティポリシーや手順をきちんと守らず、その結果、システムに悪質なコードを侵入させ、データの流出という事態を招くのである。

　バートン氏によると、悪意を持った社員は企業のIT部門内部にいることが多いという。CIO（最高情報責任者）にとっては耳をふさぎたくなるような話だが、もはやこの状況を無視するわけにはいかない。

　「こういった社員にはある種の心理的傾向が見られ、管理者はそれに注意する必要がある」とバートン氏は指摘する。「『この会社は何も分かっていない』と言うような連中や、自分たちがネットワークを所有していると勘違いしている連中だ。ダウンサイジングやレイオフの候補に上がっている社員も要注意だ」。

　ネットワーク境界（ファイアウォールなど）の内側にあるデータであっても防御しなければならない、とバートン氏は話す。企業は厳格なデータアクセスコントロールに頼ることはできないという。専門家らは、境界セキュリティを強化するという戦略を維持するのは不可能だとしている。

　「大抵の社員は忠誠心を持っているだろうが、彼らは防御策を講じないままデータを社内でやりとりするといったずさんな方法でデータを扱っている」とバートン氏は指摘する。例えば、重要な顧客情報は暗号化された電子メールで送信しなければならないというポリシーを定めていたとしても、便利だからという理由で、Webベースの電子メールを利用して顧客の口座情報を送信する社員もいるだろう。そんなことをすれば、企業の境界セキュリティをすり抜けるウイルスやワームにそのデータを収集される恐れがある。

　「結局、セキュリティの文化を創出することが大事なのだ」（バートン氏）

　バートン氏によると、企業に必要なのは効果的なセキュリティポリシーだという。そのためには、重要なデータ資産および認定されたネットワークシステム／デバイスを特定する必要がある。また、データへのアクセスや許可されるデータ利用法について規定したポリシーおよび手順を文書化し、公表しなければならない。

　不正に設置されたワイヤレスアクセスポイントや許可されていないソフトウェアなどがないか定期的に監視する必要もある、と同氏は話す。さらに、Web電子メール、FTP、インスタントメッセージングの利用を制限するか、厳しく監視を行い、ウイルス対策アップデート、脆弱性スキャニングおよびパッチ配備を自動化しなければならない。すべての不必要なプロセスを特定して無効にするとともに、セキュリティ設定変更の検出を自動化する必要もある、と同氏は付け加える。

　米国の大手小売業者のセキュリティ部門のIT幹部（匿名希望）は、「会社への忠誠心を持った社員がセキュリティの脅威になるという問題が深刻化している」と話す。こういった社員は、悪意を持った社員と同じくらい一般化してきたという。

　「ITがビジネスに深く浸透し、人々が日常的な業務習慣の一部としてITを利用しているため、彼らは自分が何をしているのか考えないのだ。例えば、センシティブな情報が含まれる電子メールを取引業者に送信したりするのだ」と同幹部は話す。

　バートン氏によると、悪意に基づかない脅威を防止する上で最も重要なのが意識改革だという。「ITの視点から意識改革を推進する唯一の方法は、何が正しく何が間違っているのかを明確に示すことだ。当社においては、それを公的なことか私的なことかで区別しているが、これも一種のベストプラクティスだといえる」（同氏）