クラウドストレージやファイル同期サービスと同様に、ソーシャルメディアツールはセキュリティリスクを呼び込む。特に私用と仕事用のアプリケーションで同じパスワードとユーザー名を使い回している従業員は危険だ（参考：なりすましによる情報漏えいが多発、原因は「パスワード管理の不備」）。さらに、ユーザーはサービスを乗り換えた場合でもアカウントを削除しない傾向があり、こうしたパスワードは攻撃側にとって格好の標的となっている。

　Dropboxのセキュリティ問題にメジャーリーグのFacebookページのハッキング、米Reuters NewsのブログプラットフォームとTwitterアカウントの乗っ取り――。こうした出来事が最近相次いでいることは、仕事用と個人用のアカウントでそれぞれパスワードを分け、各パスワードは破られにくい独特のものを設定する必要性を裏付けていると、ソフトウェアセキュリティを手掛ける米CSIDのティム・ブラウン最高技術責任者（CTO）は語る。「1件の小さなハッキングが、別のアカウントやシステムと結び付く。IT部門には、自分たちが守っているのは最も重要でもうけになる情報だという認識が必要だ」（ブラウン氏）

　CSIDは、予防措置を強める方法として、ソーシャルメディアやクラウドサービスに多要素認証機能がある場合は、その利用を勧める。加えて、攻撃側にとってどのデータや情報に価値があるのかを見極め、それをセキュリティ対策の優先課題とするよう求めている。「IT部門のセキュリティ対策には、あらゆるデータの保護を目指したアプローチも多い。だが例えば、売り上げに関するデータはどこにでも出回っているものであり、それほど重要性は高くない。一方、わが社の500万の顧客に関する情報は保護しなければならない。知的財産も同様だ。ソーシャルメディアで話題にさせるわけにはいかない」とブラウン氏は話す。

セキュリティポリシーの重要性

　ブラウン氏によると、従業員からの情報流出を先回りして予防できる方法はほとんどない。従ってIT部門は、セキュアなパスワードや教育、研修、特定のポリシー利用といった、コントロール可能な要素について警戒を強める必要がある（参考：セキュリティ研修実施で考慮すべきポイント）。

　ソーシャルメディアのセキュリティ対策は、10代の子どもを育てるようなものだと話すのは、米調査会社Gartnerのキャロル・ロズウェル氏である。「従業員は、IT部門が『ダメ』といえばいうほど、ソーシャルサイトでやっていいことといけないことの限界を試そうとする」（ロズウェル氏）。組織でFacebookやTwitter、Google+、LinkedInといったソーシャルメディアの利用を認めるのであれば、IT部門にとって最善の策は、会社の戦略をはっきりさせ、潜在的なセキュリティリスクについて従業員に周知させ、警戒を怠らないことだ。

　Altimeter Groupの最近の調査によれば、米国企業の80％はFacebookの公式アカウントを持ち、半数近くがTwitterも利用している。だが職場でさまざまなソーシャルメディアサービスを個人的に利用している従業員の数を考慮すれば、この割合は大幅に高くなるはずだと、同社のウェバー氏は指摘する。

　「ほぼ全ての企業にポリシーが存在する」（ウェバー氏）。にもかかわらず、ポリシー改定のペースがソーシャルメディア市場の急速な変化に追い付いておらず、ポリシー徹底のための研修や教育を実施していない企業が多いことに驚くと同氏は言う。

　Gartnerのロズウェル氏によると、最善の策は、従業員に対して「職務に直結した」ソーシャルメディア利用の研修を実施し、自分自身と会社を守るためにポリシーがいかに重要なのかを認識させることだという。ポリシーと教育が重要なのは、コミュニケーション監視用のツールが充実したメールと異なり、ソーシャルメディアのリスク回避に的を絞ったIT担当者向けツールのほとんどが未熟なためだと同氏は話す。