データセキュリティ違反の報告件数が増加する中、これらの違反における人的要因は、この問題に対処する際に認識され、考慮されるべきです。
サイバー技術の導入自体が、データ保護において主な、あるいは唯一の要素であるという誤解がよく見られますが、それではデータ侵害が発生した際のデータ管理または誤管理における人的要素を無視することになります。
以下のエラー例をご覧ください：
フィッシング
詐欺師が個人の関心を悪用して制限された情報にアクセスする行為です。フィッシングは、この分野で最も根強い形態のデータセキュリティ侵害です。その性質上、このタイプのデータ侵害の被害者は、自分が悪用されやすい状態にあることに気づかない場合があります。フィッシングの仕組みは、不正に情報を取得しようとする人物が、被害者が正当なオンラインサービスとやり取りしていると思い込ませ、通常は電子メールを通じて目的の情報を取得しようとするものです。被害者は自分が騙されていることに気づかず、結果として自ら望まれた情報を提供してしまいます。被害者の意識では、正当なオンラインプラットフォームに必要な情報を提供しているだけですが、悪意のあるリンクやメール添付ファイルにアクセスすることで、結果的に（無自覚のうちに）データ侵害を助長してしまうことになります。
誤送信
メールの誤送信は、データセキュリティに影響を与える人為的誤りのもう一つの形態です。誤送信とは、機密情報を送信する責任を負った人物が、意図的または無意識のうちに、その情報を無許可のユーザーに送信してしまうことを指します。今日のメールマーケティングや大規模なデータ転送が一般的な時代において、こうしたデータ転送を担当する人物には、送信中のデータの安全性を保証する責任があります。このような転送において暗号化を活用することで、情報が意図しない受信者に届いた場合でも、その情報へのアクセスを最小限に抑えることができます。
不正アクセス
会社のデバイスなど、情報端末への不正アクセスも問題です。こうしたデバイスを信頼されて使用している人は、それらを十分な重要性を持って扱うべきです。従業員がこうしたデバイスにアクセスできるにもかかわらず、友人や家族に無制限に利用させてしまうことは珍しくありません。こうした場面で、本人の知らないうちに情報がアクセスされ、重大なデータセキュリティ侵害につながる可能性があります。こうしたデバイスの所有者は、自分がまさに機密情報のゲートキーパーであることを理解するための訓練を受けるべきです。
パスワードの習慣
弱いパスワードの使用は、個人または企業のデータを深刻に損なう可能性があります。こうした情報へのアクセスはパスワードで保護されるべきです。実際、もはやパスワードを持つだけでは不十分です。さらに求められるのは、定期的にパスワードを変更することで、情報へのアクセスを制限し続けることです。また、パスワードにありふれた単語を使わないことも重要です。パスワードを要求されるデバイスを管理する個人は、そのパスワードを他人と共有しないようにすべきです。企業は従業員に対して、データセキュリティ侵害を防ぐために適切なパスワード管理の実践が重要であることを強調すべきです。
トレーニングとガイドラインの欠如
機密データを扱う責任を持つ人々に対する不十分な、あるいは場合によっては全くないトレーニングです。機密情報を扱うスタッフに情報管理システムの利用を定期的に導入することで、ベストプラクティスに関するトレーニングを参照できるため、人為的誤りのリスクを低減できます。こうした明確なガイドラインや期待が存在しない場合、従業員は確実にデータセキュリティ違反のリスクにさらされることになります。
意識
データセキュリティに関する認識が不足しています。企業のデータを取り扱うすべてのメンバーに対して、セキュリティの重要性を強調する必要があります。セキュリティ強化につながるソフトウェアのアップグレードなどの課題は、管理部門だけの問題ではありません。最高のインターネットおよびデータ管理ソフトウェアを活用し、関係者にその重要性と使用方法を教育すべきです。データセキュリティの強化は、IT担当者と連携しながら、すべてのスタッフが率先して取り組むべき事項です。データセキュリティはすべてのスタッフの主要な責任であるべきであり、こうした意識の欠如がデータの漏洩を招く可能性があります。
データを適切に扱えないこと
データ取り扱いにおける不用心や明らかな不注意も、データ漏洩の原因となります。日々の業務遂行において、定められた手順が見過ごされることがあります。目標や締切達成の必要性から、多くの場合、従業員は煩雑だと感じる手順を省略しがちです。こうした省略が、既知のデータ漏洩の根本原因となることがあります。管理責任者は、業務負荷に関わらず、定められたデータ取り扱い手順が遵守されるよう確保する責任があります。作業を急ぐ中で、細部に注意を払わない従業員が、結果としてデータ漏洩を引き起こす可能性があります。
制限のないデータ利用
制限のないデータ利用も、データが危険にさらされる要因の一つです。誰もが簡単にすべての情報にアクセスできる状況は、見直されるべきです。機関のデータアクセスポイントを管理下に置き、機密性の高いデータにアクセスまたは要求する際に多層的な認証を導入することは、データ漏洩を防ぐ上で極めて重要です。こうした対策がなければ、アクセス権を持つ誰もが個人的な目的で自由に情報を取得できてしまいます。特に機密情報を取り扱う際には、制限を設けることで責任の所在と追跡可能性が確保されます。
コスト削減
データセキュリティに関連する予算配分における人的要因が、データ漏洩の原因となることがあります。経営陣が常にコスト削減を重視する中で、データ漏洩への継続的な対策を講じるために投資する必要性が軽視されがちです。特に、これまで一度もデータ漏洩を経験したことのない企業ではその傾向が顕著です。データセキュリティ対策に資金を割り当てず投資しないことは、企業をデータ攻撃に対して脆弱にし、攻撃が実際に発生した際に準備不足となることで被害がさらに拡大する可能性があります。
外部委託
外部ベンダーと契約する際、またはデータセキュリティに対する見解が自組織と異なる請負業者とやり取りすることは、組織にとってリスクとなる可能性があります。外部委託は、データ侵害事例の原因となることが知られています。ベンダーが機密情報にアクセスできるにもかかわらず、その重要性を理解していない場合、重大な情報漏洩につながる可能性があります。
上記のすべての要素を考慮に入れると、Techiespadチームは、データを保護する暗号化ソフトウェアの使用を検討することが重要だと提言しています。このようなソフトウェアを使用すれば、データは強力に暗号化され、第三者が明示的な許可なしにアクセスできないことが確実になります。パスワード管理も簡単で、DropboxやGoogle Driveなどのクラウドプラットフォーム上でデータを安全に保つことができます。