持ち帰り残業のせいで情報セキュリティ事故？　働き方改革に必須の情報漏えい対策（1/2 ページ）

持ち帰り残業は、労務上もセキュリティ面でも大きな問題です。従業員が業務データを個人のオンラインストレージへ持ち出すといった問題を放任していると、情報漏えいのリスクにつながります。

公開 2017年05月31日 09時00分

更新 2018年07月20日 14時41分

著者

那須慎二

[船井総合研究所]

印刷する連載新着通知を受け取る

連載について

情報セキュリティ対策をしたくても、ITに詳しい人が社内外にいなくて困っている中堅・中小企業は多いのではないでしょうか。「知識不足」と「ヒト、モノ、カネ不足」の問題が目の前にあっても、対策は待ったなしの状況。予算を握る上司を説得するために、サイバー攻撃の事例を紹介しながら、その効果的な対策につながる情報セキュリティ製品を分かりやすく解説します。

事例で分かる、中堅・中小企業のセキュリティ対策（連載インデックス）

　国を挙げた「働き方改革」の後押しを受けて、大手企業のみならず、中堅・中小企業でも働き方改革に着手する企業が徐々に増えつつあります。拍車を掛けるように「プレミアムフライデー」という取り組みも2017年2月から始まりました。これは経済産業省が推進している働き方改革の取り組みです。月末の金曜日は15時に仕事を終えて、余った時間で買い物や飲食などの消費活動を楽しんでもらおうという景気喚起を狙ったものです。

　働き方を変えることで、事業の質が低下してしまっては本末転倒です。そのため企業は真っ先に業務改革や業務効率化に着手し、事業の質を向上させるビジネス改革を目指すことが求められます。

　日本では今後も働き手不足の状況が続いていくと予想できます。少ない人数で最大の業務パフォーマンスを発揮しなくてはいけなくなる状況も考慮しておく必要があるでしょう。いずれにしても企業としては「従業員が、限られた時間の中で、より効率的に仕事を遂行できる仕組みや体制作り」に着手することが求められます。

　働き方改革には、Webメールやソーシャルネットワークサービス（SNS）といったクラウドツールの活用は有効な手段です。これらのツールで時間や場所に縛られない働き方を追求していくことは重要ですが、実はWebメールやSNSの利用には、セキュリティ面で考慮すべきことがあるのです。

併せて読みたいお薦め記事

対策に有効な統合脅威管理（UTM）の一般的な機能

シャドーIT対策「むしろ利用制限しない」という考え方も

　企業が職場でWebサイトの閲覧制限を掛けていなかったり、Webサイト閲覧に対する監視体制を整えていなかったり、「Facebook」や「Twitter」などのSNSに対して特段の制限を設けず自由に利用できたりする場合、どのようなことが起きるでしょうか。例えば従業員が、つい趣味やニュース関連の記事閲覧に時間を費やしてしまったり、Facebookの投稿から目が離せなくなってしまったりと、限られた時間を有効活用できていないケースも往々にしてあるのではないでしょうか。かくいう筆者も、インターネットで調べものをしていると、面白そうな記事を見つけてしまい、ついつい時間を大きく消費してしまったことが幾度となくあるのですが……。

　いずれにせよ「有限である時間を効率的に活用し、業務時間内で質の高い業務を遂行できる仕組み」を作ることは、世の中の要請と言えそうです。そのため従業員のネットサーフィンやSNS閲覧などに費やされている時間を適宜チェックし、まずは利用実態を把握していくことをお勧めします。

悪気がなくても情報流出が起こり得る「シャドーIT」のリスク

　従業員のWebサイト利用状況を確認することは、業務の効率と質の向上だけが目的ではありません。セキュリティ面から見ても、Webサイトに閲覧制限がなかったり、私的なWebメール（「Gmail」や「Yahoo!メール」など）のやりとりができる状態になっていたり、SNSの交流を自由にできるような状態を放任しておくと、セキュリティにおける脆弱（ぜいじゃく）性を作ってしまうことにもなり、注意が必要です。

　これはいわゆる「シャドーIT」の問題です。シャドーITとは、ここでは企業として利用を許可していない私物のクライアントPCやスマートフォンなどの機器を利用したり、クラウドサービスなどインターネットで利用できるサービスを個人IDで利用したりする状態のことを指します。

　言葉にすると何やら難しそうなシャドーIT。要するに普段からプライベートで利用しているGmailやYahoo!メールといったメールサービス、「Dropbox」「Box」などのオンラインストレージ、「Evernote」「Google Keep」などのノートアプリを、ビジネス環境でも混在して使える状態になっていると、利用者に悪意がなくても情報流出が起こってしまう可能性がある、ということです。例えば次のようなケースです。