データ漏えいは、オーストラリア企業にとって重大なセキュリティリスクとなっています。Ponemon Instituteが実施した最近の世界的な調査 研究 では、オーストラリアの組織におけるセキュリティインシデント1件あたりの損失額は平均280万米ドルであり、データ侵害の調査・評価に費やす金額は世界で2番目に多く、1組織あたり平均120万米ドルに上ることが明らかになりました。
オーストラリア企業の多くは、情報の保護に関心を寄せています。しかし多くの組織には、情報セキュリティは技術的な問題であり、主な脅威は外部の悪意あるハッカーからもたらされるという根強い思い込みがあります。ところが、 研究 によると、組織の文化や従業員も、データ漏えいの発生源となる可能性が同じくらい高いことが示されています。
故意であるか不注意であるかを問わず、情報侵害の責任は通常、ハッカーよりも従業員にあります。たとえば、機密性の高い情報がソーシャルメディアを通じて 意図せず共有される ことがあります。
多くの情報セキュリティ専門家が認めるように、組織では情報漏えいへの対策が実際にはほとんど講じられていません。これまでは、人間的要因よりも物理的、技術的、財務的なセキュリティに重点が置かれてきました。これにはいくつかの理由が考えられます。一つの説明として、多くの経営幹部が「情報セキュリティ」と「ITセキュリティ」は同じものであり、したがってITマネージャーの責任だと考えていることが挙げられます。この思い込みが、「当社の情報は安全ですか」という質問に、「はい、ファイアウォールを設置しています」と答えることが多い理由かもしれません。
コロンビア大学のベンジャミン・ディーンは、企業がサイバーセキュリティに投資するインセンティブが不足していると 指摘しました 。しかし、情報の流れの性質について企業の理解が不足していることも、大きな要因となっています。
漏えいしやすい保管場所
ファイアウォールは侵入を試みるハッキングへの対策として適切かもしれませんが、情報が漏えいする経路はほかにも数多くあります。情報が存在するのはデジタル環境だけではありません。紙などのハードコピーや、従業員の頭の中にも「存在」します。実際、情報は従業員、ハードコピー、ソフトコピー（デジタル空間）という「保管場所」の間を絶えず行き来しています。すべての情報が機密性の高いもので、特別な保護を必要とするわけではありませんが、企業は変化する環境を監視し、特定の情報がいつ機密性を帯びる可能性があるかを見極め、適切な保護措置を講じる必要があります。
包括的な 情報セキュリティ戦略 では、保管場所へのアクセス、情報の流れ、そして情報の所有者や利用者である従業員の行動を管理または左右するためのセキュリティ対策を検討する必要があります。
アクセスの管理
重要な戦略の一つは、機密情報を資産として扱い、どこに保管されているかを把握することです。企業内には多種多様な保管場所があることを忘れてはなりません。
サイバーセキュリティ戦略では、技術的な管理策が重視されることが多く、その責任はITマネージャーにあります。こうした技術的な管理策は、デジタル保管に伴うリスクの軽減に役立ちます。しかし、社内で誰が情報にアクセスできるのかを特定することも重要です。
情報を保護する一般的な手法の一つは、機密性の高い組織の業務プロセスや情報を区分することです。つまり、その情報を「知る必要がある」従業員だけがアクセスできるようにします。これにより、機密情報が不必要に流通するのを防ぎ、漏えいのリスクを低減できます。同様に、印刷機で「印刷する必要がある場合に限る」という方針を徹底し、印刷物に情報所有者の名前を記載することで、紙の情報も区分できます。これにより、漏えいしたコピーや紛失したコピーが見つかった際に責任の所在を明らかにできます。
情報の流れの管理
社内の情報の流れを図示すれば、情報の取り扱い状況を把握できます。こうした図は、攻撃を受ける可能性のある経路を特定するために活用できます。
情報の流れは通常、企業内の業務の流れ、責任、関係性と密接に結び付いています。そのため、包括的な情報セキュリティ戦略は、より広範な事業戦略や業務運営に統合する必要があります。このような視点から情報セキュリティを捉える企業は、標的型の悪意ある攻撃だけでなく、通常の事業活動の最中にも脆弱性が生じ得ることを理解しやすくなります。
従業員の行動への対処
最後に、従業員を対象とした セキュリティ教育、訓練、意識向上に加え、行動変容に重点を置く戦略も同じくらい重要です。重要なのは、従業員が他者やコンピューターシステム、紙の情報とどのように関わるかによって、セキュリティプログラムの有効性が高まることも低下することもあると理解してもらうことです。定期的かつ継続的な訓練や注意喚起も、従業員の意識に方針や手順を定着させるのに役立ちます。したがって、サイバーセキュリティは企業のIT部門だけの責任ではないことが明らかです。
デジタルシステムの導入によって組織の機能の仕方は根本的に変わりましたが、残念ながら、技術的な管理策や基準に過度に偏重し、補完的で同じくらい重要なほかの情報セキュリティ戦略が排除される結果となりました。
オーストラリア企業の多くは、 社会技術的な問題 の複雑さを誤解しているか、取り組むことに消極的で、ITセキュリティだけに注力する傾向があります。データ漏えいのコストが増大し続けるなか、企業は今こそその見方を変えるべきです。
本記事は、 The Conversationとの協力により掲載されています。掲載は、世界経済フォーラムが見解を支持することを意味するものではありません。
アジェンダの最新情報を受け取るには、 週刊ニュースレターにご登録ください。
著者：アティフ・アフマドはメルボルン大学コンピューティング・情報システム学科の講師です。ショーン・メイナードはメルボルン大学コンピューティング・情報システム学科の講師です。シャントン・チャンはメルボルン大学情報システム学科の准教授です。
画像：2013年6月24日、ワルシャワのオフィスで、ノートパソコンを持つ男性にバイナリーコードが投影されている様子を示すイラスト写真。REUTERS/Kacper Pempel。