職場であなたのセキュリティとプライバシーが脅かされる5つのリスク

自宅にいるときはオンラインのセキュリティやプライバシーに真剣に向き合っていても、職場では意外と無頓着になりがちではないでしょうか。

多くの人は、オフィスの自分の席にさえいれば安全だと思い込んでいます。「IT部門がしっかり守ってくれるはずだ」という前提があるからです。しかし残念ながら、それは必ずしも事実ではありません。仮に国内最高レベルのITチームがサポートしてくれているとしても、あなたは依然としてリスクにさらされている可能性があります。

では、職場におけるプライバシーとセキュリティを脅かす最大の脅威とは何なのでしょうか。5つのポイントに分けて見ていきましょう。

1. 古くなったソフトウェア

会社のネットワーク上でどのようなソフトウェアが動いているかは、一般の従業員にはコントロールできません。しかし、これが深刻なセキュリティ問題につながることがあります。

特に危険なのは、開発元によるサポートが終了した古いソフトウェアを使わざるを得ない場合や、時代遅れのOSで業務を行っているケースです。

世界中の企業では、役割を終えたはずのソフトウェアが今なお使われ続けています。レガシーデータへのアクセスが必要などの正当な理由があることもありますが、そうでないケースも少なくありません。

たとえば、2017年の時点で米国企業の実に52%が依然としてWindows XPを少なくとも1台は稼働させていたという調査結果をご存じでしょうか。マイクロソフトがこの16年前のOSのサポートを終えたのは2014年のことです。現在のWindows XPはセキュリティホールや脆弱性だらけであり、専門家が「永遠に続くゼロデイ(zero-days forever)」と呼ぶリスクにあなたを晒すことになります。

古いOSを使い続けることには波及効果もあります。最新のアプリケーションは動作しないため、結果として古いバージョンのソフトウェアを使うことになり、そこにもまた別のリスクや脆弱性が潜んでいるのです。

なぜ企業は古いOSを使い続けるのでしょうか。その答えは大抵「コスト」に行き着きます。実際、2016年にオーストラリアのクイーンズランド州保健機関は、Windows XPからWindows 7への移行だけで2,530万ドルを費やしました。移行作業に伴うダウンタイムによる機会損失は、それに even 含まれていません。

2. あなたは監視されている

仮にあなたの会社がITインフラに潤沢な投資を行っていても、今度はIT部門による「監視」というリスクが待っています。

監視の形態はさまざまです。会社のメールアドレスから送信したメールの内容、SNSなど「時間の無駄」とみなされがちなサイトに費やした時間、そしてブラウザの閲覧履歴すべてを見ることができるのです。

10年以上前のことですが、筆者自身も新卒で入社した最初の会社でこれに引っかかりました。数年勤めた頃、成長の限界を感じて転職活動を始め、数週間にわたって求人サイトを閲覧し応募していました。するとある日、上司に呼び出され、「重大な不正行為」を理由に解雇されたのです。ITチームは私のネット上の活動に関する資料までまとめており、上司はそれを私の目の前で振り回してきました。

同じ失敗を繰り返さないために、覚えておいてください。会社のインターネットとメールシステムは、業務に関連する目的だけに使いましょう。

3. 個人情報の管理

会社には、あなたに関する膨大な個人情報が記録されています。氏名、年齢、住所、連絡先、緊急連絡先、銀行口座情報、健康保険の情報、社会保障番号など、数え切れないほどのデータが、どこか曖昧な響きの「従業員ファイル」にしまわれています。

しかし、今は1983年ではありません。あなたのファイルは、棚の奥で埃を被っている紙の箱ではなく、ネットワークに接続された人事システム上に電子的に保存されています。

ここには明白なリスクがあります。あなた自身がIT部門のメンバーでない限り、自分のデータを守るためにどのような対策やチェック体制が敷かれているのか知る由もありません。もしハッカーが会社のシステムに侵入すれば、あなたの個人情報は一瞬で盗み出される可能性があります。

これは中小企業でも大企業でも関係ありません。平均的に見て、小規模な企業は堅牢なセキュリティに多額の費用をかけない傾向があり、一方の大企業はサイバー犯罪者にとって魅力的な標的となるため、より多くの攻撃を受けるのです。

4. ユーザーアカウント

あなたのオフィスで、誰が管理者権限を持つアカウントにアクセスできるかご存じですか?ほとんどの人は答えられません。仮に知っていたとしても、自分のデータへのアクセス権をその人に全面的に委ねて安心していられるでしょうか?

思い出してください。管理者はセキュリティ設定の変更、ソフトウェアのインストール、追加ユーザーの登録、ネットワーク上に保存された全ファイルへのアクセスはもちろん、他のユーザーのアカウントを管理者権限に昇格させることさえできます。

たとえ正規のシステム管理者が信頼できる人物だと確信していたとしても、誰かのアカウントに誤って過剰な権限が付与されていたらどうなるでしょう。数千人規模の従業員がいる会社で、全ユーザーアカウントが適切なアクセスレベルで正しく設定されていると断言できますか?

たった一人の悪意ある(あるいは過失のある)従業員がいるだけで、重大なセキュリティ侵害が起こり得るのです。

5. モバイルデバイス

あなたの会社はBYOD(Bring Your Own Device=私物デバイス持ち込み)環境を採用していますか?理論上は素晴らしい仕組みです。自分の好きな端末やOSを使えるため、生産性向上にもつながります。

しかし、その代償は何でしょうか?その利便性と引き換えに、プライバシーの大きな部分を放棄している可能性が高いのです。しかも多くの場合、本人はそれに気づいていません。契約書の細かい但し書きを本当に読み込みましたか?

こうしたポリシーは、基本的に雇用主側の利益のために設計されています。通常、会社はあなたのデバイスにアクセスし監視する権利を得ています。

では、企業は具体的に何を見ることができるのでしょうか?よくある誤解に反して、写真などのコンテンツそのものは見られません。ただし、社内Wi-Fiに接続している場合、通信はすべて会社のサーバーを経由するため、デバイスに流れるデータのすべてにアクセス可能になります。多くの人にとって、上司にビーチの写真を見られることよりも、こちらの方がはるかに恐ろしい話ではないでしょうか。

社内Wi-Fiに接続していなくても、安全だとは言い切れません。雇用主は常に大量のデータや情報へアクセスできます。BYOD制度下の個人所有のスマートフォンやタブレットの場合、それには携帯キャリア名、端末メーカー、型番、OSのバージョン、バッテリー残量、電話番号、ストレージ使用状況、会社のメール、業務データなどが含まれます。

さらに位置情報も把握されます。「体調不良」と偽ってディズニーランドへ遊びに行こうと考えているなら、考え直した方がいいでしょう。少なくとも、スマートフォンは家に置いていくべきです。

では、どうすればいいのか?

ここまでの5つのポイントを読んで、「どれも普通の従業員にはどうにもできない問題ばかりだ」と感じたかもしれません。

それは一理あります。しかし、セキュリティとプライバシーを守るために、あなたが今日から実践できる重要な変更がひとつあります。それは「会社のネットワーク上に一切の個人的なデータを置かない」ということです。

あまりに多くの人が、オフィスのパソコンを自宅のネットワークの延長のように扱っています。極めて機密性の高いやり取りに会社のメールアドレスを使用したり、身分証明書や銀行明細のスキャン画像をハードディスクに保存したり、家族の写真をデスクトップに置いたり……挙げればキリがありません。

同様に、会社支給のスマートフォンやタブレットを持っているなら、銀行アプリ、個人用メール、SNSなど個人情報を必要とするアプリのインストールは避けましょう。会社がどんなデータを記録しているのか、あなたには分からないのです。徹底するなら、私用の電話通話すら控えるべきでしょう。

オフィスのセキュリティとプライバシー、気にしていますか?

この記事で挙げた5つのポイントに、心当たりはありましたか?職場にいる間のオンラインセキュリティについて、不安を覚えますか?

それとも逆に、「雇用主なら自分の個人情報も安心して任せられる」と考えていますか?

あなたの意見を、ぜひコメント欄でお聞かせください。