従業員の 70% 以上に問題あり：個人のデバイスに仕事用のパスワードを保持

Over 70% of Employees Keep Work Passwords on Personal Devices

2023/03/30 InfoSecurity — 従業員の5人に4人 (71%) が、個人のスマフォに仕事用の機密パスワードを保存し、66% が個人用のテキスト・アプリを仕事に使用している。このデータは、SlashNext の最新の Mobile BYOD Security Report によるものであり、プライベート・メッセージング・アプリを介したフィッシング攻撃について、セキュリティ・リーダーの 95% が懸念を強めていることも示されている。SlashNext の CEO である Patrick Harr は、「職場において個人のモバイル・デバイスが広く使われるようになり、機密情報のセキュリティを雇用主が確保することが、ますます難しくなっている」と述べている。

彼は、「2022年には、個人用のデバイス／アプリの使用が、多くの有名企業の情報漏えいの直接的な原因となっていることが判明した。この傾向は確実に続くものであり、会社用に加えて個人用のデバイスを仕事で使う従業員が増えたことで、サイバー犯罪者の攻撃対象が実質的に倍増することになる」と付け加えている。

個人用モバイル・デバイスのセキュリティ・コントロールは、企業用よりも劣っていることを、脅威アクターたちが知っているが要因だと、Harr が指摘している。

また、SlashNext のレポートでは、IT／Security リーダーの 89% が、従業員の個人データにアクセスすることに、法的な懸念があることを認めているという、鏡映対象のような傾向も紹介している。雇用主の 81% が、上記の問題の解決策として、従業員に仕事用のモバイル・デバイスを支給していると回答している。

Viakoo の CEO である Bud Broomhead は、「セキュリティ意識向上トレーニングは、従業員と企業を守るための素晴らしい出発点だが、それだけでは完結しない。この出発点から、それぞれの組織に特有の状況に対応する必要がある。

彼は、IoT デバイスを持つ組織に対して、それらのデバイスを別のネットワークに配置し、最新のファームウェアを用いた、最新の状態に保つことに注意する必要があると付け加えている。

Broomhead は、「あらゆる規模の組織であっても、セキュリティト・レーニングを反映した従業員の行動を確認するために、試験／監査のプロセスが必要だ」と付け加えている。従業員トレーニングに関する詳細は、SolarWinds の Chrystal Taylorに よる分析結果に掲載されている。

BYOD (Bring Your Own Device) という言葉が普通に使われるようになってから、それなりの時間が流れていますが、個人用と法人用のモバイル・デバイスが区別されていないという状況が明らかになったようです。脅威アクターたちは、その隙間を突いてきます。分けられるなら、それに越したことは有りませんが、そもそも、そんなことが可能なのかとも思えてしまう状況ですね。