テレワークで高まるセキュリティリスク
テレワークに急速に移行する際は、BYODには大きなメリットがありますが、データハイジーンとデータセキュリティの面で難点があるという可能性は見過ごされがちでした。
これは、セキュリティの重大な盲点です。企業の71％は従業員が転職する際に通常、どれだけの機密データを持ち出しているかを把握していないと認めています。
機密データは、以前の雇用主に対する影響力を得るため、あるいは新しい雇用主に競争優位性を与える目的で、悪意を持って使用される可能性があります。しかし、従業員自身がデータを持ち出していることに気づかず、しかもそのデータを全く使用していないとしてもセキュリティ上のリスクは極めて高いのです。
このようなデータ損失の問題は、離職率が平均的な時でも十分重大ですが、大量辞職時代にBYODやハイブリッドワークへの移行が組み合わさると、問題はさらに悪化します。
データ損失は通常どのように発生するのか
データの流出には、悪意のあるものとそうでないものの2種類があります。悪意のあるデータ流出は、多くの組織が認識している以上に頻発しており、退職する組織に損害を与えるか、次の事業で有利に進める目的で、離職する従業員が故意に機密データを持ち出すのが一般的です。
従業員の役割やアクセスレベルにもよりますが、特に退職にまつわる「オフボーディング」のプロセスが徹底されていない限り、従業員がデータを組織から持ち出すことは難しいことではありません。
元従業員の電子メールアカウントが有効なままである、会社のサーバーへのアクセス権を剥奪していない、監視下にない個人用デバイスを日常業務に使用させる、などがよくある問題です。データ損失は、悪意がない場合や偶発的な原因でも起きますが、危険なことに変わりはありません。
2021年に発生したランサムウェア「Nefilim」の攻撃では、攻撃者が企業ネットワークに侵入するための主要な手法の一つとして、元従業員のログイン情報が有効なまま残されていた、いわゆる「ゴーストアカウント」を利用していたことが判明しました。
ある事例では、攻撃者は、管理者権限を持つ死亡した従業員のアカウントを乗っ取り、企業ネットワークに自由にアクセスできるようにしていました。このような休眠アカウントは驚くほど多く、外部攻撃者が脅威を及ぼす主な経路の一つとなっています。
従業員が組織を離れた後も、特定のデバイスでユーザーアカウントにログインしたままというのはよくある話です。また、タブレット端末やスマートフォンなどの会社所有の端末を返却し忘れたり、ひどい例では返却を求められなかったりするケースもあります。このような場合にも、徹底したオフボーディングプロセスがリスク軽減につながるのです。
