Windows、Webサイト、アプリケーション、モバイル端末のパスワードポリシーは設定が緩くなりがちだ。ユーザーは、攻撃者が簡単に推測したりクラッキングしたりできるパスワードを設定する可能性がある。中には私用と仕事用のパスワードを混同してパスワードを使い回しているユーザーもいる。付箋にパスワードを書いてデスクに張り付けている可能性すらある。

アップデート通知を無視する

　大半のユーザーは、アップデートプログラムを適用してデスクトップやアプリを再起動する作業の意味が分かっていない。そのアップデートプログラムがWindowsやmacOSのものであろうと、JavaやAdobe Acrobat Readerのようなサードパーティー製のソフトウェアであろうと、通知を無視してしまう可能性が高い。しかしこれはエンドポイントに脆弱（ぜいじゃく）性を生み出す元になる。

疑問を持たずにリンクをクリックし、添付ファイルを開く

　攻撃者はユーザーをだますことによって簡単に社内ネットワークに侵入できる。ユーザーは不正なリンクをクリックしたり、中身が分からない添付ファイルを開いたり、求められれば自分のログイン情報さえ提供する可能性が考えられる。フィッシング攻撃に対するセキュリティ対策をしっかりやらなければ、その他のセキュリティ対策は意味がない。攻撃者がいったんユーザーのログイン情報を入手してしまえば、そのユーザーがアクセスできる場所にはどこでもアクセスできる状態になるためだ。

行き届かないセキュリティコントロール

　ユーザーがローカル管理者の権限を持っている場合が少なくない。こうしたユーザーは、マルウェア対策のソフトウェアを無効にしたり、問題のあるソフトウェアをインストールしたり、エンドポイントのセキュリティに有害なタスクが実行できる。

　ローカル管理者の権限を持つユーザーが、そのユーザー自身の端末に悪影響を与えるタスクを実行していることをIT部門が検知するのは難しい場合がある。結果として、IT部門の知らないところでユーザーがリスクのあるタスクを実行し、会社のデータが脅かされる状態に陥ることもあり得る。

信頼できない無線LANに接続する

　ユーザーはインターネットに接続できるのであれば、どんな無線LANであっても疑問を持たずに接続してしまう可能性がある。IT部門がユーザーに対し、信頼できる無線LANのみを使うよう指示していたとしても、その行動を完全に防ぐことはできない。電子メールやソーシャルメディアをチェックするためにほんの数分だけネットに接続する必要が生じれば、ユーザーはIT部門による指示を全て忘れてしまう。

初期化せずにPCを売買する

　驚くべきことだが、OSの再インストールによってPCを初期化せずにデバイスを売り払っているユーザーは少なくない。初期化しなければ、ユーザーは個人情報を外部にさらす上、VPN（仮想プライベートネットワーク）接続といった会社の情報を危険にさらす。PCのリサイクルには危険が伴うことを覚えておくべきだ。

エンドポイントセキュリティ問題に対してIT部門ができること

　ユーザーはただ便利だからというだけの安易な理由で、手軽な方法を選んでしまうことがある。エンドポイントのセキュリティ問題は、その大半がこうしたユーザーの安易な気持ちから生じているのが現実だ。

　ユーザーの行動をIT部門がコントロールすることはできない。IT部門は、ユーザーに有害な行動をさせないための指針となるセキュリティポリシーを設定し、ユーザーがセキュリティリスクにつながる行動を避けるよう促していく必要がある。

　エンドポイントのセキュリティ対策を効果的に実施するため、IT部門は具体的にユーザーのどんな行為、行動がセキュリティリスクになるのか、見極める必要がある。IT部門は、ユーザーの誤った行動を防ぐためのセキュリティポリシーと方法を確立、実行し、その効果を見極め、必要に応じて修正しなければならない。そしてセキュリティポリシーが最新の脅威に対して有効であるかを常にチェックする必要がある。