iStock.com/SPmemory

　国防機関や諜報（ちょうほう）機関など、セキュリティ審査が必須要件となる分野もある。「私が所属する分野では、全ての役職に国家セキュリティクリアランス（National Security Clearance）の保有が求められる。さまざまな理由でクリアランスが一時停止または失効している従業員がいた。このケースでは、個人が開示しなくても雇用主がUK Security Vetting（UKSV）に連絡すれば、この情報が開示される」

　「いずれのケースも、その従業員は調査が終わるまで仕事を中断させられ、結果に基づいて仕事に戻るか、解雇された。UKSVが関与しなければ見つけるのは難しい。自社と従業員の安全を確保するには、こうした警告サインを見逃さないことが重要だ」（リア氏）

　身元確認は絶対確実なものではない。犯罪記録管理局で犯歴を調査しても、応募者が有罪判決を受けていなければ意味のある結果は出てこない。申し立てや係争中の問題は示されない。応募者の身元調査に何らかの不一致が見つかった場合、虚偽を示す可能性があるためさらなる調査が必要になる。

　犯歴調査は、企業ごとに適切なレベルを決める必要がある。だが、身元調査だけに頼って不適切な応募者を判断すべきではない。セキュリティリスクの可能性について、継続的に警戒する必要がある。

アクセス管理とネットワーク監視

　継続的な警戒には、IAM（IDおよびアクセス管理）システムが有効であることが証明されている。IAMによって新入社員のアクセス権を定義できる。従業員のアクセス権は、職務の遂行に必要な情報のみに制限する必要がある。当然、従業員の職務は時間とともに広がり、進化する。そのため、アクセス権は定期的に確認して再調整する必要がある。

　ネットワーク監視システムを使えば、ネットワークでの疑わしい挙動を検出できる。機械学習によって従業員の許容可能な行動パターンが生成される。「仕事のパターン（始業と終業の時刻、アクセスするデータ、ネットワークの移動経路）に関する従業員の行動パターンのイメージを把握する。そうすれば、従業員が許可されていない場所に踏み込もうとしても、かなり高い頻度でそれを検知できる」（タンカード氏）

　制限されている情報へのアクセスや勤務時間外の大量ダウンロードの試みなど、従業員が許容範囲外の行動を取るとネットワーク管理者に通知される。

　従業員監視という選択肢もある。だが、どのように職場を監視する場合でも威圧的にならないよう注意することが重要だ。確認しなければならないデータが大量になるだけでなく、従業員が信頼されていないと感じて士気に影響する恐れもある。

　オフィス環境ならば、疑わしい行動の兆候にはまず同僚が気付く。職務に関係ない情報について質問をする従業員などがその例だ。テレワークによって、こうした疑わしい行動の検知が困難になる。ただし、物理的な盗聴や他人のパスワードの利用などのリスクは軽減する。

内部通報のプロセス

　内部通報者は、実際には懸念を示しているだけなのに、近年では「密告者」という汚名を着せられる恐れがある。内部通報のプロセスを匿名にすれば、従業員が個人情報を公開しないで懸念事項を報告できる。

　「内部通報のポリシーを有する企業は多い。そうした企業は、通報することを非難しないよう奨励している」（タンカード氏）

　多くの場合、そうした通報は取るに足らないか単なる思い過ごしにすぎない。ただし、悪意のある行動の兆候や詳しい調査を必要とする通報もある。そうした事態に備えて通報ポリシーを用意することで、企業は懸念事項に迅速に対応できる。

　応募者との対面面接は、オンライン面接にまつわる多くのリスクを排除する。だが、応募者も限定される。適切な対策を講じれば、虚偽報告や悪意を持った行動から身を守りながら、地理的制約のない人材プールからオンライン面接できる。