Ponemonが調査対象としたのは、過去2年間に情報流出を経験した組織に所属しているIT専門家584人。情報流出を機に経営幹部が情報セキュリティ対策に本腰を入れるようになり、ほとんどの組織では結果的に情報セキュリティ予算が増額されたことも分かった。

最大の脅威は内部関係者

　回答を寄せたIT専門家の大半が、情報流出に関する調査は以後の流出に備える上で役立つとの認識で一致した。報告によれば、「従業員が重要情報や社外秘情報の保護に一層気を配るようになった」との回答は61％に上った。

　多くの場合、情報流出の原因は内部関係者にあり、その大部分が従業員による重要情報の不注意な扱いであることも判明した。流出原因を突き止めることができた回答者のうち34％は内部関係者の不注意を原因として挙げ、悪意のあるサイバー攻撃（7％）を上回った。さらに、19％は情報のアウトソーシングの過程で流出が発生したと回答。悪意を持った内部関係者による流出は16％を占めた。

　防止策として最も多く挙げられたのは、新たな従業員を対象とする研修と、情報流出問題に対する啓発の組み合わせだった。

エンドポイントセキュリティとデータ暗号化

　研修や啓発に加え、システムのエンドポイント管理、法的助言もしてくれる社外の専門家との契約、インシデント対応計画の作成を防止策として挙げた企業も多かった。

　スマートフォンなどのエンドポイントの管理は、企業のデータセキュリティ対策の一環として重要だ。今回の調査を委託先であるExperian Data Breach Resolutionの上級ディレクター、オジー・フォンセカ氏は、モバイル端末とポリシーとの関係があまりにも隔絶され過ぎていると指摘する。

　「企業はモバイル端末を従業員に支給し、そのアクセス状況を監視すべきだ」とフォンセカ氏は語る。仕事を進めるために1日中通信が必要な従業員には、アクセス手段を確保しなければならない。ただし、雇用主は利用できるデータの制限や暗号化、盗難・紛失端末のデータ消去権限の確保によって、コントロールを維持する必要がある。

　同氏は個人情報やログイン情報、医療記録なども含め、企業のデータの60％が依然として暗号化されていないことに驚いたという。利益を追求するための投資が優先されて、データセキュリティがおざなりになる場合もある。

　「ITは複雑さを増しており、組織はセキュリティが破られるまで、効率性や生産性の方に目を向けている」とポネモン氏が言うように、暗号化やITセキュリティ担当者の増員といったセキュリティ対策は、情報流出が起きてから実現されるケースも多い。

　ポネモン氏は、データを暗号化する企業は徐々にだが着実に増えるとの楽観的な見通しを示しながらも、業界にとってまだ道のりは長いとの見方に同調する。

　「多くの企業はまだインシデント対応計画を立てていないか、立てていたとしても書類を作成しただけでテストを済ませていない」（ポネモン氏）。情報流出から教訓を得る企業がある一方、流出を経験していない企業は、残念ながら他社の過ちから学ぶことなく、自社では起きないと思い込んでしまうのが現状だ。