専門家は、2010年までにはあらゆる企業が何らかの遮断と監視を行うようになるとみている。実際、そうしない理由はほとんどない。ツール（ソフトウェアが中心だが、アプライアンスとホスティングサービスも含む）は比較的安価（社員500人の企業用で年1万ドル程度）だ。不適切なコンピュータの使用や、社員が職場にふさわしくない画像をPCに表示したことで職場環境が劣悪になったとして訴えられた場合の潜在的な法的コストなどのリスクを考えれば、対策用の製品を上層部に購入させるのは非常に簡単だ。それに、問題のある社員に面と向かって対応しなければならないのは、CIOではなく人事部門なのだ。

　CIO Decisions誌が2006年9月に購読者394人を対象に行った調査によると、売上高5億～10億ドル規模の企業のうち約半数が、現在社員のWeb使用を監視しているという。調査会社Gartnerのアナリスト、ローレンス・オランス氏によると、これはセキュリティの懸念によるところが大きく、企業が監視を始めた主な理由は、スパイウェアなどのマルウェアをばらまくサイトへのアクセスを遮断する必要性だという。

　だが、監視ツールからだけでは全体の状況はみえてこない。ビスルカ氏は証言できる。冒頭で紹介した白人至上主義サイトを見ようとした従業員は実際には人種差別主義者ではなく、論文執筆のために検索していたアルバイトの大学生だった。ビスルカ氏はこの従業員がサイトを見ていることを知るとすぐに当人に電話し、説明を求めた。そうしていなければ「わたしはショックを受けただろう」とビルスカ氏は言う。この従業員は勤務時間後にコンピュータを使っていたが、会社のVPN（そのサイトへのアクセスは遮断されていた）にまだ接続していた。ビルスカ氏によると、その従業員は自分がまだVPNに接続していることに気付くと、すぐにログオフして検索をやめた。懲戒や警告の必要はなかった。

ルールを明確にする

　専門家はビスルカ氏の遮断と監視を使った手法を「中程度」と評価する。最低限以上のことはしているが、完ぺきに遮断された環境ではない。ビスルカ氏はBEAシステムズのシニアセキュリティアナリストで、同社はバックエンドコミュニケーション用ミドルウェア製品を構築する13億ドル規模のソフトウェア企業だが、同氏は「sinful six（邪悪な6サイト）」のみを遮断している。sinful sixとは、ポルノ、ギャンブル、攻撃的なサイトと、違法行為、下品な題材、暴力に関する内容を含むサイトを指す。

　デザート・ミューチュアルベネフィット・アドミニストレーターズのCIO、デビッド・ルイス氏が行っていることは「厳格」と見なされている（本人はこの等級に反論しているが）。同社の営業担当社員は、ほとんどのサイトにアクセスできない。仕事に必要でない限り、サイトへのアクセスは遮断されている。ショッピングも、バンキングも、旅行の計画もなしだ。

　「当然のことだと思う」とルイス氏は言う。デザート・ミューチュアルベネフィット・アドミニストレーターズは末日聖徒イエス・キリスト教会の会員の要求に応える2億ドル規模の保険会社だ。「当社では何年もこの方法でやってきた。仕事中のインターネットアクセスが社員の権利だとは思わない」

　ルイス氏は、社員をフルアクセスユーザーと制限付きアクセスユーザーという2つのカテゴリーに分けている。フルアクセスユーザーは、仕事で調査が必要となるような社員が中心で、sinful six以外のすべてのサイトにアクセスできる。制限付きアクセスユーザーは、仕事でネットへのアクセスが必要ない営業担当社員などだ。

　ルイス氏は必要に応じた監視も行っている。幹部が特定社員によるインターネットの使いすぎや帯域幅の問題があると疑うと、ルイス氏が「リポートを読んで原因を突き止める」。だがこれは、既に多くが遮断されているので、通常業務ではない。

　「どこにも行けない人がどこかに行くのを監視することはできない」とルイス氏は皮肉を言う。

　ルイス氏は、社員が自分のことを厳しいと言うだろうと分かっているが、「社員にフルアクセスを許しておいて、不適切なサイトにアクセスしたらクビにした方がいいのだろうか？　なぜ社員を誘惑する？」と反論する。

柔軟性は必要

　デザート・ミューチュアルベネフィットでは、厳しい規制が効果を上げているようだが、この方法がどんな会社にも当てはまるわけではない。厳格に遮断していると、高いスキルを持っていたり、有能な社員の反発を買うかもしれない。AMAのグローバル人材部門担当副社長、マニー・アブラミディス氏は次のように語る。「現実を直視すれば、インターネットサーフィンが特権となる会社もある」

　「厳しい規制を実施すると、従業員が『始業時間前にコーヒーを飲みながら旅行サイトをチェックできないなら、9時ぎりぎりに出社して、昼休みもしっかりとって、5時きっかりに帰ることにするよ』と言いだすリスクを抱えることになる。厳しい市場では、雇用者はどこで譲歩するかを判断しなければならない」（アブラミディス氏）

　企業は通常、遮断するサイトのカテゴリーを選ぶ。フィルタリングソフトのメーカーは、そうしたカテゴリーに入るサイトのリストを定義し、更新する。sinful six以外では、ショッピングやオークションのサイトなど、社員の生産性低下につながったり、セキュリティリスクをもたらすようなサイトのカテゴリーがある。

　BEAのビスルカ氏は、フィルタリング製品を導入する前に3カ月あまり、約1万3000人を観察し、ネットワークのトラフィックを測定した。そのデータをCIO、人事部のトップ、法務部に提出した。

　ビスルカ氏によると、CIOらはその内容の一部にショックを受けた。「彼らにある程度の認識を持ってほしかった。見せたデータは、社員がアクセスしているサイトのタイプとアクセス時間だけだ」。遮断の実施はグループでの決定だった。

　「社員の5％が完全に許可できないサイトに、20％が疑わしいサイトにアクセスしていたといえる」（ビスルカ氏）

　だが、監視することが「帯域幅食い」の発見やサイトの悪用者の調査に役立つとはいえ、一部のIT幹部は従業員の「監視」という提案に神経質をとがらせた。

　米国の温泉リゾート地グレンウッドスプリングス市の情報システム部門は、市のオフィスと公共のインターネットの両方を監視している。

　市の情報システムディレクター、ブルース・マンロー氏は次のように語る。「何を遮断すべきか決定するのは簡単だった。どのサイトが脅威になるか知っていた。スパイウェアとポルノサイトの対策を進めるのは自然な選択だった」

　だがマンロー氏は急いで（そしてきっぱりと）、これは職員の監視ではないと付け加えた。「われわれの第一の目的は、マルウェアの防止だ」と同氏は説明した。

　職員が就業中にサイトを見ることで貴重な時間が失われていただけでなく、スパイウェアやマルウェアの攻撃を受けたコンピュータの修復も情報システム部門の負担になっていた。

　「ユーザーの監視など本当にやりたくない。だが、ユーザーのシステムの汚染を阻止しなければならない。マルウェアの作者はますます賢くなってきている。企業を破滅させることができる。最先端分野だ」（マンロー氏）

　BEAのビスルカ氏も同意する。フィルタリングツールを導入してからは、「ウイルスやワームは減少した」。

　インターネットの使い方が不適切な人の対処については、CIOは雇ったマネジャーか人事部、法務部、あるいは警察に任せる。

　マンロー氏は新しい遮断と監視のシステムをテストしている間に、公共のインターネットを使っている小児性愛者らしきユーザーの逮捕を助けたことがある。市のコミュニティーセンターのジムを利用していた非番の警察官が偶然、コンピュータでアダルトポルノを見ている人に気付いた。マンロー氏は遠隔監視機能で、そのコンピュータに表示されている画面を保存できた。警官は、この容疑者にその画像を突きつけた。

　マンロー氏はこの男が管轄のコミュニティーセンター内ではなくoff the streetにいたこと、小児性愛者の逮捕が自分の目的ではなかったこと（そして、いまでもそうでないこと）に感謝している。CIOはインターネット警察になりたくはないのだと同氏は言う。