Column

3社に1社は電子メールポリシー違反で社員を解雇――米調査

調査によると、大手企業の半数近くは社員のメール監視を実施している。効率的に内容を追跡するため、人ではなく監視ツールを導入する企業も増えつつある。

公開 2006年08月25日 08時02分

更新 2012年09月04日 20時14分

著者

Bill Brenner

[TechTarget]

印刷する

　法的規制に縛られ、データ窃盗の増加に脅かされるなか、企業の間では、社員が会社の機密データを漏えいすることのないよう、社員のメールの内容やインターネットでの活動を監視する必要性に対する認識が高まっている。だが社員の側はおそらく、自分たちを監視するという目的で雇われたスタッフが同僚のなかに含まれているとは思っていないかもしれない。

　カリフォルニア州クパチーノのメールセキュリティ会社プルーフポイントとジョージア州アトランタのフォレスターコンサルティングが300人のIT意思決定者を対象に行った調査によると、企業のなかには、こうした監視用に専任スタッフを雇っているところもあるという。

　プルーフポイントの市場開発担当ディレクター、キース・クロスリー氏によると、企業が社員の活動を監視する背景には、基本的には、情報の発信について規定した法的規制の存在がある。だが、ここ1年半ほどは、データセキュリティ侵害に関するニュースが増加するなか、社員の監視に踏み切る企業側の動機にも変化が起きている。

　「企業にとっては依然として、法的規制が社員監視の動機になっているが、最近では、窃盗対策の必要性に迫られているという側面もある。小売業者は最近ハッキング攻撃に悩まされており、顧客データの管理に対する関心を高めている」とクロスリー氏。

　アトランタのデカルブ医療センターでは、外部に送信される電子メールをチェックするためのスタッフはまだ雇っていない。だが、同センターの情報セキュリティ管理者シャロン・フィニー氏によれば、同センターは電子メールを介して極秘データが外部に漏えいする可能性を懸念している。

　「病院でもデータのデジタル化が進んでいるが、電子化するデータが増えれば増えるほど、電子メールによって情報が外部に漏れる可能性は高まるということだ。世の中には、他人に便乗して自分の健康に役立てようと考える輩がいるものだ。それに、従業員は機密データをアプリケーションから電子メールに簡単にコピー＆ペーストできる」と同氏。

　フィニー氏によれば、デカルブ医療センターではまだ重大なセキュリティ侵害は起きたことがなく、ちょっとした規則違反はあったものの、いずれも単に認識不足の従業員によるものだったという。だが企業は、何か重大な事件が起きる可能性を常に懸念しているものだ。今回の調査結果にも、そうした懸念が反映されている。クロスリー氏によると、この調査では、回答者の71％が、外部に送信される電子メールにおけるID／個人情報保護の問題を「非常に懸念している」と答えている。

　この調査は5月に2週間半かけて実施されたもの。そのほかの主だった結果は以下の通り。

「社外向けの電子メールに目を通し、分析するためのスタッフを雇っている」と答えた回答者の比率は、従業員数が2万人以上の企業では全体の半数近く、それよりも小規模な従業員数1000人以上の企業では全体の38％となっている。
回答者の3分の1以上は「電子メールを介した機密情報の漏えいが疑われるケースを調査したことがある」と答え、36.4％は「過去1年間にデータセキュリティ規則の違反が疑われるケースを調査した」と答えている。
回答者のうち、ほぼ3社に1社は「過去1年間に、電子メールポリシーの違反を理由に従業員を解雇したことがある」と答え、半数以上は「過去1年間に、電子メールポリシーの違反を理由に従業員に懲戒処分を行ったことがある」と答えている。
回答者の予測によれば、社外に送信されるメールのうち、5通に1通以上は、法的、金銭的、法規的なリスクをもたらす内容を含んでいる。非コンプライアンスなコンテンツとして一般的なのは、会社の機密情報や極秘情報が含まれるメッセージだという。
回答者の3分の1以上は、「過去1年間に、機密情報や都合の悪い情報の流出により、自社にマイナスの影響が及んだことがある」と答えている。
5社に1社以上の回答者が「顧客情報の不適切な公開や窃盗により、自社にマイナスの影響が及んだことがある」と答え、15％の回答者は「知的所有権の流出や窃盗により、自社にマイナスの影響が及んだことがある」と答えている。
25.2％の回答者は「過去1年間に、裁判所や規制当局から、社員メールの提出を命じられたことがる」と答えている。
18％の回答者は「サードパーティーベンダーやアウトソーシング会社と共有している機密情報や個人情報の流出をめぐり、調査を受けたことがある」と答えている。

　一方、ブログや掲示板のセキュリティリスクも高まっているようだ。回答者のうち、およそ5社に1社は「過去1年間に、ブログや掲示板の利用ポリシーの違反を理由に従業員に懲戒処分を行ったことがある」と答え、7.1％はそうした違反を理由に「従業員を解雇したことがある」と答えている。また、10％の回答者は「過去1年間に、ブログや掲示板への投稿を介した財務情報の流出について調査したことがある」と答えている。

　なおクロスリー氏によれば、「人間よりも技術の方が電子メールの内容をより効率的に追跡できるだろう」との判断から、プルーフポイントの技術を採用するようになった顧客もいるという。

　「コンテンツのセキュリティ対策を人手で処理するとなると、従業員のプライバシーに関するもろもろの問題が表面化する。コンプライアンス違反などをチェックできるプログラムを配備する方が、人間が手当たり次第にメールをチェックするよりも優れた方法といえる」と同氏。

　デカルブ医療センターのフィニー氏も同じ意見だ。「当センターでは、1カ月に20万件以上のメッセージが外部に送信されている。これだけの量のメールを1人あるいは複数のスタッフでチェックするのは不可能だ」と同氏。また同センターでは、自分がほかの人よりも厳しく監視されているのではないかといった疑念がスタッフの間で生じるのを避けたいと考えている。その意味でも、技術は有効だ。

　「プライバシーの観点から言っても、そうしたツールを導入すれば、人間の主観性を排除し、客観的なデータを得られる。ツールは、誰が送信したメールかを気にしたりはしない。ただ、“リスクの可能性がある”とだけ指摘してくれる」とプルーフポイントの顧客でもあるフィニー氏は語っている。

印刷する