パスワード使い回しだけじゃない
専門家が選ぶ「危険なNG行動」トップ5
ここからはいよいよ上位5つです。多くの方が「危険」と知るパスワードの使い回しは、今回の評価では5位となりました。パスワードの使い回しと同等、あるいはそれ以上に危険と評価された行動が、上位に並びます。
5位：パスワードの使い回し
総合48点（1）4点（2）4点（3）3点
複数のサービスで同じIDとパスワードを使い続ける、多くの人がやりがちな行為です。
しかし一つのサービスから認証情報が漏れると、攻撃者は同じ組み合わせで他のサービスにも次々とログインを試みます。業務で使うクラウドや社内システムに侵入され、情報の盗み見や悪用につながりかねません。
対策は、サービスごとに異なるパスワードを設定し、パスワード管理ツールや多要素認証を併用することです。
4位：メールを使い回し、別の顧客情報を誤送信してしまう
総合64点（1）4点（2）4点（3）4点
過去のメールをテンプレート代わりに流用して新しい宛先へ送る、効率的に見えて危うい行為です。
しかし、本文や引用履歴、添付ファイルに前の案件の情報が残ったまま、別の顧客へ送ってしまう可能性があります。宛先自体は正しいため、送る側も受け取る側も気づきにくく、発覚が遅れがちです。送られた相手には無関係な他社の機密情報が渡り、自社の情報管理体制への信頼は大きく損なわれます。
防ぐには、流用時に本文・履歴・添付を必ず確認する習慣づけが有効です。
3位：クラウドや共有ストレージの公開・共有設定を誤る
総合80点（1）4点（2）4点（3）5点
「社内限定」のつもりが「リンクを知る全員が閲覧可能」になっていたり、公開範囲を広げたまま放置したり――。地味に見えますが、クラウドの公開設定ミスによる情報漏えいは実際に繰り返し発生しています。
URLさえ分かれば誰でもアクセスできる状態になると、顧客情報や機密資料が不特定多数の目に触れ、流出範囲の特定すら困難になります。対策は、共有時の範囲確認、アクセス権限の定期的な棚卸し、そして公開範囲を組織のルールで制御する仕組みづくりです。
2位：一斉メールで宛先・添付ファイルを間違える
総合100点（1）5点（2）4点（3）5点
メールマガジンや一斉連絡で、BCCにすべき宛先をToやCCに入れ、全員のアドレスが互いに見える状態で送ってしまう。あるいは顧客リストそのものを誤って添付してしまう。一度に大量の個人情報を流出させ、被害が数百～数千件に及ぶこともあり、送信後に情報を完全に回収することは困難です。
対策は、送信前の宛先・添付のダブルチェック、送信保留機能の活用、そして宛先数の多いメールは複数人で確認する運用です。
1位：不審なメールの添付ファイルやリンクを開く
総合125点（1）5点（2）5点（3）5点
不審なメールや、内容・送信元に不自然な点があるメールに気付かず、その添付ファイルを開き、本文中のリンクをクリックする行為です。取引先などを装ったフィッシングメールや、特定の組織を狙った巧妙な標的型攻撃メールもあり、見分けは簡単ではありません。
最も危険とされるのは、被害が情報漏えいだけにとどまらないからです。添付ファイルの実行やリンク先での操作などをきっかけにマルウェアに感染したり、偽サイトで認証情報を盗まれたりするおそれがあり、最終的には、システムの停止や事業継続を脅かすランサムウェア感染などへ発展しかねません。
「情報が漏れる」だけでなく「組織全体の業務停止にまで発展し得る」――これが、1位に選ばれた理由です。対策は、不審なメールは開かず報告する習慣づけと、メールフィルタリングなどの技術的防御の両面です。
「気をつける」だけでは防げない
企業が本当にやるべき情報漏えい対策
ここまで、情報漏えいにつながる身近な行動の10位から1位を見てきて、気づくことがあります。どれも、ごく普通の社員が「つい」やってしまう行動だということです。
だからこそ「危険な社員を見つけて注意する」という発想には限界があります。意識や注意力だけに頼る対策では、いずれ綻（ほころ）びが生じかねません。
大切なのは、危険な行動が起きにくい“仕組み”をつくることです。多要素認証やパスワード管理ツールの導入、PCの自動ロック、メールやURLのフィルタリング、アクセス権限の適切な管理――このような対策が、ミスを事故に発展させない防波堤になります。
意識の低い一部の社員だけの問題と思考停止せず、誰もがミスをする前提で仕組みを整え、その仕組みが形骸化していないかを継続的に見直す。それが、情報漏えいから組織を守るための確実な道筋です。
