• 業務システムの正しい使い方
• ユーザー認証
  • 複数種類の認証要素を利用する「多要素認証」に関する部分
• PCの入手および廃棄方法
  • 新しいPCの購入と設定、古いPCの売却や処分に関する部分
• データのバックアップ
  • 社内で認可された領域へのデータ保存に関する部分
  • 個人所有PCおよびファイル共有サービス、オンラインファイル同期サービスといったクラウドサービスへのデータ保存に関する部分
• メール
  • 私的メールと業務メールの混在に関する部分
• 暗号化
  • ノートPC、スマートフォン、タブレットの暗号化に関する部分
• パスワード
  • パスワードの複雑さと使い回しに関する部分
• ソフトウェア
  • 許可するソフトウェア、許可しないソフトウェアに関する部分
• VPN（仮想プライベートネットワーク）

　最低でも概要レベルのインシデント対処方法を従業員に覚えてもらうことも有効だ。インシデントを構成する要素と脅威について説明し、各自が利用するPCや業務システムで起きた全ての異常を報告することを促す。こうした取り組みを、セキュリティ意識向上と教育プログラムに組み込むとよい。

2．ソフトウェアのアップデート

　ソフトウェアへのパッチ適用が促されたらすぐに実施するよう従業員に周知することも必要だ。「Windows」「macOS」といったOSだけが対象ではない。ドキュメント閲覧ツール「Adobe Acrobat Reader」、Webブラウザ「Google Chrome」、Web会議ツール「Zoom」などの業務で利用するソフトウェアも含まれる。

　従業員は会社支給デバイス内だけでなく個人所有デバイス内のソフトウェアも最新状態に保つ必要がある。モバイルアプリケーションに加え、「Android」「iOS」といったモバイルデバイス用OSの更新も不可欠だ。これらの手順を明確かつ簡潔な言葉で伝えるようにする。

3．新しいセキュリティポリシーのドキュメント化

　IT部門やセキュリティ部門向けのセキュリティポリシーテンプレートが入手できるオンラインサービスを活用するとよい。重要なのは、最新のリスク評価に基づき、自社のニーズに合わせ、既存の優れたセキュリティポリシーをカスタマイズして取り入れることだ。新しいセキュリティポリシーを策定したら、従業員に共有する必要がある。

　企業資産の保護では次の2点を重視しよう。

　1つ目は、セキュリティガバナンス委員会が従業員への期待を見直すこと、すなわち何をすべきであり、何をすべきではないかを再検討することだ。通常、従業員はこうした定義を既に把握している。だが新型コロナウイルス感染症によって人の生活が制限されている状況ではその限りでない。新型コロナウイルス感染症が拡大しているかどうかにかかわらず、許可されていない行動を取るべきではないことを従業員に意識してもらい、かつセキュリティのベストプラクティスを覚えてもらう。

　2つ目は、従業員をセキュリティチームに取り込むことだ。セキュリティ対策が効力を発揮するかどうかは、従業員が積極的にセキュリティ対策に関与するかどうかに左右される。