多くの企業は、内外部からのサイバーセキュリティ脅威を回避するため、⻑い道のりを歩いてきました。しかし、テクノロジー改⾰のペースは加速することから、状況は複雑化しています。デバイスやオンラインデータの監視は、継続的な取り組みとして実施されているのが現状です。2015年10⽉半ばの時点では、606件ものデータ侵害が報告され、1.75億以上ものデータが危険にさらされてしまいました。企業は、⾃社データのみならず、顧客、従業員の情報保護を最優先に⾏わなければなりません。
しかし残念ながら、従業員のサイバーセキュリティに関する知識や習慣は、遅れを取っているといえます。セキュリティインシデントの⼀部は、標準に満たないプランニングやシステムに起因しますが、多くは従業員のミスが原因で起こります。ITのベストプラクティスを意識するだけでは⼗分ではありません。サイバーセキュリティは、従業員が⽇々何気なく⾏うテクノロジー上の「決定」に反映されます。そうした決定事項には、ログイン情報の定期的な変更、予測可能なパスワードの回避、フィッシングの回避など⽇常的なことが含まれます。2014年、⽶国インターネット犯罪苦情センターは、269,422件の苦情件数を確認し、それらの損失額は8億ドル以上であったことを報告しました。エンドユーザーはこれまで以上にテクノロジーに精通していますが、危険を顧みない習慣は存続しています。

調査⽅法
従業員のサイバーセキュリティに関する意識の現状を探るため、CompTIAは、⽶国の従業員1,200⼈を対象に、⽇常のテクノロジー使⽤、サイバーセキュリティに関する意識、セキュリティ習慣などに関するオンライン調査を実施しました。同時に、実世界における消費者の⾏動を直接観察し、特定の⾏為がいかにITセキュリティリスクにつながるかを実証するため、実験を実施しました。

調査から⾒られた重要所⾒:

63%

94%

49%

45%

仕事⽤のモバイルデバ
イスを、私⽤⽤途にも使⽤している従業員の割合

ノートPCやモバイルを、公共Wi-Fiネットワークに接続して使⽤したことがある従業員の割合

ログイン（ID+PW）を少なくとも10セット所有している従業員の割合。しかし、この中で、⼀致なくユニークログインを使⽤している割合はわずか34%

勤務先企業からサイバーセキュリティトレーニングの提供がない従業員割合

消費者向けテクノロジーの脅威として注⽬されたサイバーセキュリティインシデントの⼀つに、Stuxnetがあります。USBウイルスは、この悪名⾼きワームに拡散され、2010年には⽶国とイスラエルは、イランの核遠⼼分離機に侵⼊するため意図的に使われたといわれています。マルウェアがプログラムされたUSBメモリは、デバイスや重要インフラを素早く感染させることが可能です。
2015年8⽉から10⽉の間、CompTIAでは、USBメモリを発⾒した消費者のサイバーセキュリティ習慣を観察するため、実証実験を⾏いました。調査では、頻発するサイバーセキュリティ攻撃やデータ侵害、それらの公表にもかかわらず、消費者のセキュリティ意識は低く、無意識に⾃⾝のデバイスやデータを危険にさらしている、という仮説を検証します。
実験では、200個のUSBメモリが⽤意され、シカゴ、クリーブランド、サンフランシスコ、ワシントンDCを含む空港、コーヒーショップ、ビジネス街の公共広場といった交通量の拾った USB メモリを実際にデバイスに接続してしまった⼈の割合多い場所に置かれました。USBメモリにはテキストファイルがプログラムされています。USBメモリが接続されると、指定されたアドレスへのメール送信や、追跡可能なリンクのクリック（接続）を⾏うよう指⽰が出る仕組みです。
数週間の実験の後、全体の17%がUSBメモリを拾い、⾃⾝のデバイスに接続、テキストファイルを開封、⾒覚えのないリンクへの接続または、指定されたアドレスへのメール送信といった⼀連を⾏ったことが確認できました。また、消費者のテクノロジーリテラシは、USBメモリの扱われ⽅に無関係であることが分かりました。その例に、サンフランシスコ国際空港では、多くのIT業界で働く⼈たちがUSBメモリを接続してしまいましたし、多国籍企業のオフィスビルにあるセキュリティ会社においてもメール送信を⾏ってしまったのです。送信されたメールの中には、拾ったUSBはウイルス感染しているか聞いてくるものもありました。つまり、リスク⾃体は理解しながら、⾃⾝のデバイスを危険にさらしているという⽭盾があるのです。⾒も知らぬUSBメモリ - または保護のないWi-Fiネットワークや、特定できない相⼿からのメール - を盲⽬的に信⽤してしまうことは、個⼈だけのリスクにとどまりません。上の所⾒で⾒られるように、IT知識のあるエンドユーザーであっても、疑わしいテクノロジーに対して、安全といえない意思決定を⾏いかねないのです。これは、（知識のみならず）強固なサイバーセキュリティ習慣を⾝につけることがいかに難しいかということを表しています。

モバイル使⽤は、従来テクノロジーの使⽤をしのぐ勢いです。多くのモバイル導⼊により、⽣産性の向上が望まれる⼀⽅で、企業やエンドユーザーが保護しなくてはならないエンドポイントが派⽣します。多くの従業員は、仕事上でデスクトップコンピュータおよびスマートフォンに依存（それぞれ78%）、その次にノートPC（73.5%）に依存しています。また、新しいテクノロジーにも前進が⾒られます。従業員の半数以上（54%）が、定期的にタブレットを使⽤し、5分の1近く（20%）がウェラブルデバイスを使⽤しています。
さらに、仕事⽤とされるモバイルデバイスは、オフィスを越え使⽤されます。3分の2近くの従業員（65%）は、勤務先から提供されたモバイルデバイスを使って⾃宅で仕事をしています。61%は、コーヒーショップ、空港、その他の公共の場所などの外出先で使⽤しています。また、63%は、ショッピングからソーシャルメディアのアクセス、ネットバンキングといった私⽤⽬的のために仕事⽤モバイルデバイスを使⽤しています。
すべての従業員が同じような状況とは限りませが、IT部⾨は従業員のデバイス習慣に備える必要があります。男性は、⼥性と⽐較して、⾃宅（73%）および外出先（68%）で仕事⽤のデバイスを使⽤する傾向が強いことが分かっています（⼥性はそれぞれ、59%、55%）。ミレニアル（21歳から34歳）は、他のどの世代と⽐較しても、⾃宅（74%）、外出先（73.5%）での使⽤、私⽤⽬的の使⽤（79%）が⾼くなります。

サイバーセキュリティに対する認識から、従業員が最も恐れるサイバー脅威を垣間⾒る
サイバーセキュリティは、ITに関連するあらゆる出来事や⼈物、プラクティスすべてを包括します。従業員のサイバーセキュリティに対する印象は様々であることから、彼らが恐れるリスクや脅威を⾒ることができます。また、彼らのサイバーセキュリティに対する認識や、経験にはギャップがあることも分かります。
従業員は、サイバーセキュリティを「個⼈情報の盗難」（36%）と関連付ける傾向があり、その差は「ハッカー」（18%）と⽐較して倍になります。「マルウェア」と関連した割合はわずか8%でした。また、従業員の5分の1近く（19%）が、過去2年間にハッキング被害にあったことを報告しています。Ponemon Instituteでは、2014年だけ⾒ても47%の⽶国成⼈がハッキング被害にあったと発表しています。さらに、おおよそ3分の1（32%）の従業員が、過去2年間における仕事⽤デバイスの感染を報告しています。ミレニアル世代は、データ侵害（27%）、デバイス感染（42%）の被害が⾼い傾向にあります。
データ侵害にあった際、多くの従業員は、⾃⾝で何らかのアクションを取る、またはIT部⾨に報告すると回答しています。ハッキング被害にあった場合、3分の1以上の従業員が、すべてのデバイスおよびアカウントのログイン情報を変更するとしています。これは、多くの従業員がパスワードを複数のサービスに再利⽤していることから、正しい選択といえるでしょう。⼀⽅で、5分の1は、被害や感染のあったアカウントのみログイン情報を変更するとしています。また3分の1が、⾃社のIT部⾨に状況を報告するといいます。

従業員の⼤部分は、誤ったセキュリティ習慣が引き起こすリスクを認識しているものの、そうした知識を適⽤していないのが現状です。WiFi接続からオンラインアカウントの管理まで、彼らのIT全般における⾏動は、脆弱性の程度を反映しています。

従業員の間で広まる公共WiFiの使⽤従業員は、内在するセキュリティリスクにもかかわらず、保護されていないWiFiネットワークへのデバイス接続を⾏っています。
ほぼすべての従業員（NET94%）が、ノートPCまたはモバイルデバイスを公共WiFiネットワークに接続したことがあり、そのうちの69%は、接続中に仕事に関連するデータを処理したことがあると答えました。テクノロジーの性質からか、⾮セキュアなネットワークの使⽤は、年齢に関連します。
さらなる懸念に、⾮セキュアネットワークに接続しながらの機密性の⾼い個⼈または企業データの扱いがあります。エンドユーザ
ーが⾏うアクティビティの上位には、⽐較的安全なものから、明らかにリスクの⾼いものが含まれます。

不適切なパスワード習慣
私たちは、まさにパスワードの世界に⽣きていて、従業員はアカウントの管理や対応に追われています。増加するオンラインアカウントに、パスワードの再利⽤という問題がある環境では、個⼈や企業のデータ防御は必然的に悪化の⼀途をたどってしまいます。
従業員の半数（49%）は、少なくとも10のログイン（ID+PW）を所有していますが、その中で⼀致なくユニークログインを使⽤している割合はわずか34%にとどまります。さらに、36%は、私⽤アカウントに仕事のメールアドレスを登録していて、38%は、私⽤アカウントに仕事で使うパスワードを使⽤していることが分かりました。

つまり、いくらかの従業員は、仕事上アカウントのログイン情報を、複数の個⼈向けサービスに再利⽤していることです。これは、組織にとって漏えいとなるポイントを増加させることとなり、こうした従業員の⾏動を変えるには、トレーニングなしに対処することは困難となります。
アカウント管理に関しては、従業員は全般に企業データにより多く注意を払い扱っているようです。彼らは、仕事のパスワードの更新には、個⼈⽤ログインよりもより安全なアプローチを取っています。しかし、全体の37%が、パスワードの更新を「⼀年に⼀度」または「散発的」に実施していることに関して、IT部⾨は⼼地よく思わないでしょう。
多くの従業員は、利⽤可能なアカウント防御があることを知らず、利便性のためセキュリティを疎かにしてしまいがちです。例えば、41%は⼆段階認証に知識がなく、27%は聞いたことはあっても概念について理解していません。⾃発的に⼆段階認証を適⽤している割合は、半数以下（48%）にとどまりました。

地域や年齢の違いも、従業員の習慣に影響を与える要因のようです。欧⽶の従業員は、⼆段階認証が何であるのかを最も認識していて（38%が認識。全体の平均では32%）、また、⾃⾝のアカウントに適⽤している割合が⾼いことが分かりました（55%）。年代別に⾒ると、ミレニアル世代が最も⾼く46%。その後にジェネレーションX世代31%、ベビーブーマー世代21％となりました。同様に、ミレニアル世代は、⾃発的に⼆段階認証を適⽤している割合が最も⾼く（63%）、ジェネレーションX世代51%、ベビーブーマー世代34%と続きます。

オンラインでの個⼈情報の提供が増加
オンライン上のコンテンツやサービス、プロモーションと引き換えに、消費者は少なくともメールアドレスの提供が条件として求められるケースが増えています。⼀般に、従業員は、様々なオンラインアカウントに⾃⾝のメールアドレ
ス、⽒名、⽣年⽉⽇などを提供することにさほど抵抗を感じません。ですが、特定の情報に関しては、チャネルにより提供を判断または拒否しているようです。クレジットカード情報をソーシャルメディアアカウントに提供することにためらいを感じないとするのは、ごくわずかの従業員でした（8%）。しかし、その提供先がEコマースサービスや、エンターテイメント系アカウントになると、ハードルが下がるようです。それぞれ41%、35%の従業員は、カード情報の提供を⾏うと回答しました。⽐較的少数（37％）の従業員は、ソーシャルメディアに住所を提供していますが、4分の3近く（71%）は、Eコマースサービスのサイトに住所を提供しているといいます。
⽶国のソーシャルセキュリティ番号は、すべてにおいて機密性の⾼い情報という認識があります。ソーシャルメディア
またはEコマースサイトに番号を提供する場合があると回答したのは、従業員のわずか6%でした。また、運転免許証や⾝分証明となる番号にも同様の認識が⾒られます。それら情報を、ソーシャルメディアのアカウントに提供する場合があると回答したのは7.5%。エンターテイメント系サービスへの提供は7.5%。Eコマースサイトのプロフィールへの提供は7%でした。

従業員とIT部⾨に共通する、ハードウェア保護の負担
従業員デバイスの保護は、本⼈およびIT部⾨で共有される負担です。当然のことながら、⼀部の従業員には、他者よりも厳しい保護体制が適⽤されていることもあります。
プラス⾯としては、ほぼすべての従業員が何らかのアンチウイルスプログラムを使⽤していること。使⽤していない割合は2％であったことです。⼤半（57%）が有料のソフトウェアを使い、30%が無料のオンラインソフトウェアを使⽤。11%は、デバイスとバンドルされているアンチウイルスソリューションに依存しています。
オペレーティングシステムに関しても同様に良好な結果となりました。ほとんどの従業員は、⾃⾝のデバイスを最新の状態に維持するため、積極的な取り組みを⾏っていると報告しています。これは、「アップデートが利⽤できます」というプロンプトを無視したり、⾃動再起動のリマインダを無視するといった、多忙な従業員の典型的な⾏動に反する結果です。回答者の多くは、⾃⾝でオペレーティングシステムのアップデートを⾏うよう努めているといいます。
年齢別にみると、ミレニアル世代は、仕事で使⽤するコンピュータのオペレーティングシステムアップデートの管理に関してIT部⾨に依存する傾向が低いことがわかっています。割合としてはわずか29%でした。この割合は、ジェネレーションX世代では43%、ベビーブーマー世代では46%でした。ミレニアル世代は、アップデートのプロンプトが上がってから1週間以内に実施する傾向の⾼いことも分かっています。（22.5% vs. 16%ジェネレーションX世代 vs. 10% ベビーブーマー世代）

⼗分注意せず扱われているUSBメモリ
無料かつ商業向けのファイル共有アプリが普及しているにもかかわらず、多くの従業員（58%）が、デバイス間のファイル転送にUSBベースのストレージデバイスに依存しています。これは、認識のないUSBメモリを使⽤してしまう傾向が検証されていることから、多くのセキュリティリスクを意味しています。
従業員の3分の1以上（35%）は、ファイルのコピーまたは転送のためにUSBメモリを借りた経験を持ちます。また、公共の場に落ちているUSBメモリがあると仮定した際、22%はそれを拾うだろうと回答しています。この回答をしたグループのうち、84％が、⾃⾝のデバイスに接続する⾏為に⾄る可能性があるとしています。
ミレニアル世代は、⽇頃よりUSBメモリを使⽤する傾向が最も⾼いだけではなく（ミレニアム世代 74% vs. 55% ジェネレーションX世代 vs. 47% ベビーブーマー世代）、認識のないメモリスティックを信⽤してしまう傾向にあります。ミレニアル世代の40%は、公共の場に落ちているUSBメモリを拾う可能性が⾼いことが分かりました。世代別で⾒ると、ジェネレーションX世代で20％、ベビーブーマー世代で9％でした。また、⽶国内では、⻄部地域の従業員が、落ちているUSBメモリを拾ってしまう可能性が最も⾼い事が分かりました（63％）。

多くの従業員は、サイバーリスクに対処するために必要なトレーニングを受けていないのが現実です。
従業員の45%は、勤務先の組織ではサイバーセキュリティに関連した教育を提供しておらず、エンドユーザーが取るべきベストプラクティスについても⾔及されていないと報告しています。ITセキュリティを、新⼈研修やプロフェッショナルの育成プログラムに組み込んでいない組織は、従業員に提供されるデバイスの数や、多くの従業員やスタッフに処理される機密データを考慮した際、⾮常に脆弱であることが分かるでしょう。
サイバーセキュリティトレーニングを実施している組織では、その多くがオンラインおよび対⾯の座学的な学習形式の組み合わせを導⼊しています。

⼤⼈にもサイバーセキュリティ教育の⽋如の広がりが⾒られることから、⼦供には⼩中学⽣といった早い段階で必要なスキルを鍛えるべきではないかという意⾒があります。
ほぼ3分の1の従業員は、学⽣のためのサイバーセキュリ
ティトレーニングは、5歳から10歳の間に始められるべきだと感じています。42%は、11歳から13歳の間に始められるべきだとしています。また、3%以下の回答者が、サイバーセキュリティは、⼩中学⽣のカリキュラムに組まれるには不適切なトピックであると感じています。

この10年間で、サイバーセキュリティは、主に政府や企業のITマネージャに監視されていたニッチな領域から、トップ記事、消費者の注⽬を集める⼤きな問題となりました。しかし、認知の上昇にもかかわらず、多くの従業員のサイバーセキュリティへの理解・⾏動は、デバイスや個⼈情報の保護の点において、それぞれ低⽔準といえます。
このような状況は、ITのある概念から成るものかもしれません。従業員は、アンチウイルスソフトウェア、ファイアウ
ォール保護、その他ITプロトコルがインストールされていることから、オンラインで何を⾏おうと安全である、または、何か起きたとしてもテクノロジーで守られていると思っているのかもれません。すべてのデータ侵害やID盗難のインシデントがニュースの⾒出しになるわけではない、といった考えも個⼈の脆弱性を過⼩評価してしまう原因でしょう。
同時に、消費者向けテクノロジーのエコシステムが活性化していることから、デバイス使⽤の線引きが⾮常にあいまいになっています。従業員は、様々な個⼈および企業ツールを使⽤しますが、仕事⽤デバイスは仕事⽬的だけに使⽤されるとは限られません。こうした混合が⽣じていることから、組織に責任が問われることになります。組織は、従業員が「良好な」サイバーセキュリティプラクティスを理解していること、また、それを実施できるスキルを備えていることを確実にしなければなりません。
従業員は、サイバーセキュリティトレーニングを通じて取り組むべき課題が多くあります。⼈事、IT、実⾏機能すべてにおけるビジネスリーダーは、脅威、ソフトウェア、デバイスの状況は変化を続けることから、従業員・スタッフの教育により積極的なアプローチを取らなければなりません。優秀なトレーニングプログラムは、サイバーセキュリティの知識や意識を提供するだけではなく、エンドユーザーの⾏動を形作り、情報に基づいた安全な選択を⾏うことを教えます。
様々な点において、エンドユーザーはこれまで以上にテクノロジーに精通していますが、必ずしも安全⾯にも反映されているとは限りません。IT環境は複雑化が進み、対策が不⼗分であれば代償も⾼くつきます。エンドユーザーは、テクノロジーの精通と安全性の両⽅を確保することが必須です。
調査⽅法：
この調査は、Blackstone Groupにより、Instantly Inc.のオンラインパネルを使⽤し実施されました。パネルには、仕事上でコンピュータを使⽤する⽶国のフルタイム従業員1,200名が参加しました。調査結果は⽶国のワークフォース全体を⽰すよう、年齢、性別、企業サイズにクォータ法（割当法）が使⽤されています。
ソース：
データ侵害に関する報告書、Identity Theft Resource Center 2015/9
http://www.idtheftcenter.org/images/breach/DataBreachReports_2015.pdf
ITセキュリティ動向調査、CompTIA 2015/3
https://www.comptia.org/resources/trends-in-information-security-study（英語）http://www.comptia.jp/cont_library.html （⽇本語）2014インターネットクライムリポート、連邦捜査局 2015/5
https://www.fbi.gov/news/news_blog/2014-ic3-annual-report
アメリカ成⼈の半数がハッキング被害に、CNN Money 2014/5
http://money.cnn.com/2014/05/28/technology/security/hack-data-breach/