職場のネット利用ルールはどう決めるのか：禁止と許可の狭間で

SNSやブログの普及で、職場でのインターネット利用ルールをどう見直すべきだろうか。「業務に必要だ」と主張する一般社員の要求に管理者側が頭を悩ませている。

[國谷武史，ITmedia]

　SNS（ソーシャルネットワーキングサイト）やブログの利用は、本当に業務と関係があるのか――職場でのインタ−ネット利用における新たなルールが求められているという。11月13日に開催されたトレンドマイクロの年次イベントで、コンテンツフィルタリングサービスのネットスターがルール策定の取り組みを解説している。

高橋氏

　職場でのインターネット利用について同社が実施した調査（一般社員1030人が対象）によると、「私的利用している」との回答が65％、「私的利用しない」が27％、「（私的と業務の）境界が分からない」が8％だった。「“境界が分からない”というのも実際は私的利用の可能性が高く、実際には70％以上が私的利用とみられる」（高橋大洋広報部長）という。

　私的利用の頻度は、「ほぼ毎日」が57％、「週3〜4回」が17％。利用するサービスは、「ニュース・スポーツ・天気予報」（約74％）、「趣味など」（約71％）、「Webメール」（約35％）、「オンラインバンキング」（約28％）、「ショッピング」（約18％）、「ブログやSNS」（約16％）など。

　利用したい理由は、圧倒的に「今すぐ見たいから」というもので、高橋氏は「利用目的の主要なものは私的だとみなせるが、SNSやブログは“業務上必要だ”という声も多く、管理上利用を制限すべきかどうかが難しい」と指摘した。

「業務に必要なのに制限された」という経験をした一般社員は約39％。アクセスを制限されたサイトでは、「掲示板やSNS、ブログ」が約36％、「ニュース」が約27％、「Webメール」が約25％、「ソフトウェアダウンロード」が24％などだった。掲示板やSNS、ブログを「業務に必要」とする理由では、例えば商品開発などで参考になる消費者のコメントが得られる、新商品の口コミを狙って書き込みをするといったものだった。

URLフィルタリングなどでアクセスを制限されたサイトの内容

　多くの企業では、ルールで業務とは関係ないサイトの利用を禁止したり、フィルタリング技術などを利用して不正サイトなどへのアクセスを制限したりしている。基本的には、不正サイトなどからマルウェアが企業ネットワークに侵入するのを回避するのが目的で、その他に社員の業務効率を下げないようにするといった理由もある。また、機密情報の漏えいを防ぐために、掲示板サイトなどへの書き込みを禁止しているケースも多い。同社の調査では、企業が書き込みを制限しているサイトとして、アダルト系サイトや「2ちゃねんさねる」「mixi」など挙げている。

　インターネット利用に対して管理者が抱える課題のトップは、「どのサイトを利用許可するなどのルールの決定」（約44％）で、以下、「アクセス環境の導入コスト」（約19％）、「運用の負担」（約18％）、「規制解除への個別対応」（約15％）、「不正サイト利用のログ監視」（同）などだった。

　利用ルールの導入状況では、「全社一律に設定」（46％）、「申請部門では例外設定」（25％）、「申請した個人は例外設定」（16％）、「部門単位で設定」（12％）だった。高橋氏は、「カテゴリー単位で利用を制限する旧来型の対策が根強く残っているようだ」と分析している。

現状に即したルールの導入

　職場における適切なインターネット利用ルールを策定するために、高橋氏は「ユーザーごとにインターネットの利用を制限する仕組みを導入している場合でも、アクセスログなどで利用の現状を把握する」と話す。その際には、一般社員のアクセス内容が「不適切なサイト」であるかどうか、「不適切な利用」であるかどうかの2点に切り分けて把握すべきであるという。

　また、情報の書き込みが危険視される掲示板とブログについても、各サイトの状況を見て利用制限の中身を判断すべきだとしている。「おおむね掲示板では話題が散逸しやすく、ブログでは書き手の話題に関連する内容が広がることが多い。参加者の動向を見て、サイトの情報が業務に役立つ場合がある」（高橋氏）

　実際のルール策定では、業務内容とインターネット利用の相関関係も考慮した上で、部門単位などの柔軟な内容を用意することになるという。導入したルールでは、許可しないサイトと許可しない行動の基準を明文化して、利用者に理解させることが重要になる。

　高橋氏は、これからWebアクセス管理を導入する企業に向けて「海外製など一部の技術では日本企業の実態にそぐわない利用制限をかけてしまう恐れがあり、その点を正しく評価すべき」と話す。また、導入済み企業には「対策が遅れている部門や拠点への早期対策と、制限を厳格にしない運用ルール化、全社一律のルールからの脱却などに取り組むべき」とアドバイスしている。

　それらを実現するためには、例えば利用者への警告メッセージで「制限対象のサイトであり、○○の危険がある」と啓蒙する、制限の管理権限を部門へ限定的に移行するなど、利用者に近い環境でインターネットの制限を守るようにする環境が必要だという。

過去のセキュリティニュース一覧はこちら