Fortinetのマーケティング担当副社長ジョン・マディソン氏は、従業員がもたらすリスクが拡大する危険性については結論を急がず、次のように指摘する。「こうした従業員は主に2つのグループに分けられる。“ただ自分の端末を使いたいだけ”というグループと、“ただ仕事をしたいだけ”というグループだ」

　マディソン氏は、「こうした行為に悪意はないし、システムへの侵入やハッキングをしているわけではない」と続ける。「皆、ただ仕事をしようとしているだけ、あるいは自分が便利だと思う端末を使おうとしているだけだ。たとえBYODポリシーが定められていたとしても、従業員の多くは『自分は今、こういう仕事のやり方をしているだけだ』と考える。つまり、ITポリシーの方が現状に追い付く必要があるということだ」

　またマディソン氏によれば、若手社員は必要とあれば、セキュリティよりも生産性や利便性を選ぶ傾向にあるという。例えば、モバイル端末にインストールされているVPNサービスの速度が遅かったり、エラーが出たりすれば、ジェネレーションYの会社員は迷わず、VPNを経由せずにLANへ接続しようとする。

　恐らく驚くべきことだろうが、ジェネレーションYのエンドユーザーは、サイバーセキュリティの問題をかつてないほど認識しているようだ。情報セキュリティ関連の各種の用語について「どの程度理解しているか」を尋ねたところ、セキュリティ関連の知識はこれまでの年と比べて全体的に底上げされていることが分かった。例えば、回答者の88％は少なくとも「サイバー犯罪」を認識しており、「フィッシング詐欺」については80％、「APT攻撃（Advanced Persistent Threat、高度で継続的な脅威）」については50％が「知っている」と答えている。

　もっとも、こうして若手社員の間でセキュリティに対する認識が高まりつつあるとはいえ、モバイルとクラウドの分野に関してはその限りではないようだ。「私物のデバイスに対する攻撃」についての認識を尋ねたところ、「自分のデバイスが標的にされたことがある」と答えた回答者の割合は、デスクトップPCユーザーの間では64％、ノートPCユーザーの間では57％だったのに対し、スマートフォンユーザーの間では22％、タブレットユーザーの間では21％と低くなっている。マディソン氏によれば、こうした数値の開きには、セキュリティに対する会社の姿勢が影響しているかもしれないという。

　「実際、クライアントPCユーザーの方がより多くの攻撃に遭遇しているのだろう。だがクライアントPCへのアンチウイルスソフトのインストールを常に会社から迫られているため、クライアントPCユーザーの方がより多くの活動に気付き、より多くのコントロールやポリシーを認識している側面もあるかもしれない」と、マディソン氏は指摘する。

　モバイル端末の脅威に対する認識が欠けているのと同様に、ジェネレーションYのユーザーには、個人向けクラウドサービスの脅威に対する認識も欠けているようだ。クラウドサービスに関して、回答者の36％は「利用を禁止する企業ポリシーがあったとしても、クラウドを使用する」と答えている。実際、回答者の多くは既に業務目的でクラウドを利用しており、46％が「GmailなどのWebメールサービスを利用したことがある」と答えている。クラウドストレージの「Google Drive」と「Dropbox」については、それぞれ5人に1人のユーザーが「利用したことがある」と答えている。

　仕事にパーソナルクラウドサービスを使用していると答えた回答者に「保存しているデータの種類」を尋ねたところ、33％が「連絡先などの顧客データ」と答え、22％が「契約書や事業計画などの重要な機密文書」と答えている。セキュリティ担当者にとってはショッキングな数値かもしれないが、調査に参加したジェネレーションYの会社員は、クラウドのリスクをおおむね容認しているようだ。クラウドストレージの利用者のうち32％は「どんな種類のデータを保存するにせよ、クラウドを信頼している」と答え、57％は「クラウドにある程度のリスクがあることは認めるが、非機密データの保存を思いとどまる理由にはならない」と答えている。

　「クラウドを信頼しているか、あるいはリスクを認識しながらも信頼しているという人たちが大半だ。クラウドは実際、仕事を非常にやりやすくしてくれるため、多少のリスクは気にならないのだろう。リスクの存在は認識しているが、生産性を考えるとメリットが上回るということだ」と、マディソン氏は指摘する。

　では、こうして雪崩のようにリスク行為が増加しているとみられる現状に対し、ITセキュリティチームはどう対処すべきなのか？　マディソン氏はこの点について、3つのアドバイスを提唱する。

　意外に聞こえるかもしれないが、同氏がまず企業に奨励するのは、「会社が定めたセキュリティポリシー」と「モバイル端末やクラウドサービスに対する最新の脅威」の両方について、若手社員への教育を続けることだ。

　マディソン氏によれば、今回の調査報告書には、ユーザー教育の有効性を否定するようなデータも含まれるという。だが同氏は、「従業員は私物端末の使用に伴うリスクを理解する義務がある」との考えに同意する回答者が全体の88％を占めたことや、さまざまなサイバーセキュリティ関連の用語について認知度が高まっている点に言及し、「ジェネレーションYの会社員に、こうした問題を積極的に学ぼうという気持ちがあることの表れだ」と指摘する。

　続けてマディソン氏は、「こうした問題を解決するためには、企業はネットワークに目を配る必要がある」と指摘し、考えられる解決策の1つとして、ネットワークのセグメント化を挙げている。例えば、「LANの一部に信頼できるセグメントを配置する必要がある」と判断したのなら、企業はそのセグメントへのアクセスにはVPNなど追加の制御を要求する。

　さらにマディソン氏は企業に対し、もっと多くの時間をかけて社内のネットワークトラフィックフローを分析するよう奨励する。同氏によれば、クラウドサービスの利用から、VPNを経由しないモバイル接続まで、今回の調査報告書で言及されているリスク行動は全て「ネットワークレベルで確認するこが可能」だという。つまり、ネットワークレベルでセキュリティ対策を追加すれば、企業にとってはリスク行動を抑制する最高のチャンスかもしれないということだ。

　1つ確かなことがあるとすれば、それは「リスクが手に負えない状況に陥る前に、企業はBYODとクラウドの利用状況を把握する必要がある」ということだ。

　「将来、Google Glassなどのウェアラブルテクノロジーを所有することになりそうか」との質問には、回答者の半数が肯定的に答え、インターネットに常時接続するコネクティッドカーやテレビなどの最新技術については、さらに多くの回答者が関心を示している。また、回答者の49％は「こうしたテクノロジーの使用を禁止するITポリシーには従わない」と答えている。

　マディソン氏は次のように語る。「ITセキュリティポリシーを無視したこうした行為があちこちで行われている。だがジェネレーションYにとっては、恩恵がリスクを上回っているようだ。この傾向は止まりそうにない。同様の調査を2014年に実施すれば、この傾向はさらに強まっているはずだ。そしてこの傾向は、この先もずっと続いていく」