＜データ漏えいにまつわる課題、エピソード＞

• USBでのデータ持ち出しに制限をかけていたが、特殊なUSBケーブルを用いてデータ持ち出しを試みた利用者がいた。
• Zoomなどで画面共有しているときのWindowsの通知で秘密がバレる。
• セキュリティガバナンスが効いていない海外拠点がランサムウェア攻撃に遭い、情報が漏えいした。
• それほど重要ではないが、社内で作成したドキュメントを私用メールアドレスに送信することが多い。
• データ漏えいを恐れる社長は、就業規則を社員が自由に見られないようにした。
• ノートPCを盗まれたが、暗号化ソフトウェア対応であったので問題ないと判断された事案が多数。
• パスワードが全て同じになっているユーザーがいたので、どこかのサイトで漏えいしたパスワードでログインされた。
• ポケットルーターの紛失で本人が申告しなかったため、端末を無効化するまで半年もの時間がかかった。
• 家族の友人にPC画面を見られてしまった。
• 会議中の画面共有の際、トークソフトから他案件の会話が見えてしまうことがある。
• 退職社員によるデータのコピーがあるため統合管理ソフトがかかせない。
• 大容量のファイルをやりとりする方法をことごとく禁止にしたおかげで、通信経路から来る攻撃は受けなくなったものの、不便を強いられている。

＜従業員のセキュリティリテラシー不足にまつわる課題、エピソード＞

• 「不足」というよりも、セキュリティリテラシー向上を「拒否」する従業員の存在が課題。「セキュリティは管理者が完璧に守るもので従業員への要求はお門違い」という考え方を払拭（ふっしょく）する術が思い付かない。
• 「Emotet」に気を付けるように言った1週間後に、Emotetのメール添付を開き、「怪しい添付ファイルを開いてマクロを動かしたんですが、何も反応がなくて、これ開いても大丈夫ですかね？」と聞かれた。
• GitHubに公開してしまう。
• 情報システム部門で実施した偽のフィッシングメールをクリック。
• 「Slack」や「Microsoft Teams」などのツールを外部企業と連携し、社内資料を送付。
• デスクトップ仮想化（VDI）、FATクライアント間のデータの行き来のルールが厳しい一方で管理が緩くて通し放題になっていること。
• お客さまから預かったPCやデバイスをためらいなく社内ネットに接続しようとする、ポリシーで制限していることをなかなか理解してもらえない。
• お客さまのポリシーによって、「Box」などの外部ストレージを利用しているが、お客さまのBoxを経由したデータのやりとりなど、インシデントにつながりそうな危うい運用が存在している。
• スパムメール訓練で半数近くが（開いてはいけない）URLをクリック。
• なりすましメールのテストで40％近くがファイルを開いた。
• 社内のセキュリティ訓練で若年層が意外と引っかかる。
• セキュリティ啓発のeラーニングを実施しているが、標的型訓練メールでの開封率が低下しない。
• チャットで個人とグループの区別が付かず、全員に向けて投稿しているケースを散見。
• メールの誤送信が一向になくならない。
• リテラシーが不足しているため、画面に何らかの通知が出るたびに情報システム部門が呼び出される。
• 家族のいる部屋でWeb会議中、音声で共働きの奥さんに情報が伝わり、他の会社へのふとした流出の要因になった。
• セキュリティ教育資料が更新されず古いため、リテラシーがアップデートされていない。
• 電話のケーブルとLANケーブルを間違えた。
• 現場支給のスマートフォンをテザリングに使用してYouTubeを長時間閲覧し、20万円超の請求が来るトラブルがあった。
• 漏えい発生後になってはじめてセキュリティ研修を行っていないことが分かった。

＜私用端末の無断利用にまつわる課題、エピソード＞

• DHCPサーバ機能が有効になったデバイスを接続したユーザーがいてトラブルになったことがある。
• SASE導入後、社外での私用端末の利用が可能となった。万全なセキュリティ対策が前提条件だ。
• Zoomが社内PCでは使用できないため、海外とのZoom利用会議が、個人のPCを用いて在宅で実施というおかしな実態がある。
• スマートウォッチはまだグレーな存在なので判定が難しい。
• 会社のスマホに社員の私有スマホからLINE通話で連絡があったことを怒っている管理者がいた。管理者の電話料金は会社持ちだが、その社員は違うことを忘れていないか。
• 私用スマホのLINEでお客さまとデータをやりとりしていて、そのスマホを紛失した。しかし経営陣も当人も、データ漏えいの可能性を全く心配していなかった。
• 社長にアンチウイルスがインストールされていない私用端末を持ち込まれ、しかもマルウェア配布サイトにつながれた。挙げ句に逆ギレされた。

＜ネットワーク分散にまつわる課題、エピソード＞

• VPN装置に負荷が集中し、接続できない端末が出てきているので、ゼロトラスト移行を検討。
• Web会議や動画の利用などが増えて、Windows更新日に社内システム回線が逼迫（ひっぱく）した。
• クラウドプロキシーにより、自由に使えないアプリケーションがある（開発ソフト含めて）。
• クラウド化により帯域に余裕ができた回線でウェビナー通信を実施するなど小手先で対応している。
• 現状、VPN拠点でインターネットローカルブレークアウトしている。ローカルブレークアウトしている各拠点にファイアウォールを置く必要が出てきたため、インターネットへの出口を1カ所にまとめる予定。時代に逆行している。
• 構築当時の担当者が退職して、分散ネットワークを誰も把握していない状況のリプレースを提案して、構築を受注した。想定よりも大幅な工数超過となり、赤字だ。

＜シャドーITにまつわる課題、エピソード＞

• 「Amazon Web Services」（AWS）などを個人のアカウントで使わないよう（従業員に）お願いはしているが、制限できていない。
• CASBによる野良クラウド利用の防止。
• IT部門が把握していないSaaS（Software as a Service）利用がある。
• シャドーITとそのリスクが十分に把握できておらず、BCP（事業継続計画）の観点で不安がある。
• 事務関連などの業務者が使用しているGoogleアカウントは全て個人で取得したアカウントになっている。無料アカウントを利用する場合でも会社のメールアドレスにひも付けることを義務化するなどの方法はあると思う。だが結局Googleなどの認知度の高いサービスはそのまま使われている傾向がある。
• 無料版のSaaSを利用しているケースが多かった。利用者は特に罪悪感なく利用しており、情報が隠蔽（いんぺい）されることなくほぼ申告により実態を把握できた。