パスワード管理、「ルールを作って終わり」の使い回し率が最悪 - 「研修なし」が「ルールなし」に劣る調査結果

パスワード管理のルールを社内に周知すれば、ひとまず安心――とは限りません。ビジネスパーソン300人にアンケート調査したところ、パスワードの使い回し率が高い職場の傾向が浮かび上がりました。ルールを「作って終わり」にしていないか、データが静かに問いかけています。

【調査概要】

---

パスワードの使い回し率が高いのは「ルールはあるが研修・周知なし」の職場

企業が情報セキュリティを担保するうえで、パスワード管理ルールの整備は必須と言えるでしょう。しかし、ルールを作成したというだけで、日々の運用が確約されるとは限りません。

TECH+が実施したパスワード管理に関するアンケート調査で、「職場のルール整備や研修・周知活動の有無」と「パスワードの使い回し率」をクロス集計したところ、意外な結果が確認されました。

• 

アンケート対象300人全体のパスワード使い回し率が52.3%であるのに対し、「ルールはあるが研修・周知なし」群は66.7%。「ルールや研修はなく個人任せ」群の53.2%よりも、むしろ高い数字でした。ルールが存在しない職場よりも、ルールだけが存在する職場のほうが、使い回しが目立つという結果は、「ルールを作れば安心」という前提を見直す材料になりそうです。

ただし、「ルールはあるが研修・周知なし」群の母数は63人であるため、普遍的な傾向として断定はできません。それでもパスワード管理の制度を整えたことで、職場に「これで大丈夫」という空気が生まれてしまう――そんな油断の芽が潜むのかもしれません。

「ルールはあるが研修・周知なし」群のパスワード管理実態

では、「ルールはあるが研修・周知なし」と回答した人たちは、日々どのようにパスワードを扱っているのでしょうか。

• 

• 

管理方法を見ても、ついやってしまう行動を見ても、「ルールはあるが研修・周知なし」群と回答者全体の間に際立った違いは見当たりませんでした。「Webブラウザの保存機能」がやや多めではあるものの、末尾だけを変える、私物のスマホにメモするといった行動の割合も、全体の傾向とおおむね同じ水準にとどまっています。

ここから読み取れるのは、ルールという「枠」が用意されていても、日々の行動そのものは、ルールのない職場と大きくは変わっていない、という実態です。ルールがあることが、現場一人ひとりの振る舞いにまでは反映されていない。言い換えれば、ルールが「あるだけ」の状態にとどまっている可能性がうかがえます。

この層が答えた設問の選択肢は「ルールはあるが、研修や周知はない」というものでした。ルールを定めても、研修や社内への周知を通じて定着を図らなければ、形骸化に繋がりかねない――今回のアンケート結果は、そのことを静かに示しているのかもしれません。

「不安だが、手立てがない」 - 数字の裏にある現場の声

ルールが行動にまで根づいていない職場では、日々どんなことが起きているのでしょうか。今回「ルールはあるが研修・周知なし」と答えた人たちからも、それをうかがわせる声が寄せられていました。

たとえば、「使い回しが不安になる」（49歳・非IT・一般社員）という一言。ルールの存在は知りながらも、それを支える手立てが手元にない――そんなもどかしさがにじみます。

「急ぎで設定したパスワードを、ツールに保存し忘れた」（42歳・IT・一般社員）という声も、忙しさのなかで手が滑る場面をよく表しています。

なかには「書いてあった紙を紛失してしまった」（33歳・非IT・係長）という声も。パスワードを紙で管理していること自体もさることながら、その紙をなくしてしまっては元も子もありません。責めるのは酷ですが、こうした"わかっているけどつい"こそが、ルールを掲げるだけでは防ぎきれない部分だと言えそうです。

いずれも特別な事故ではなく、どの職場でも起こりうる小さな綻びです。だからこそ、研修や周知を通じてルールが日々の運用として根づいているか――問われているのは、その一点なのかもしれません。