ガートナージャパンは、従業員のセキュリティ意識の現状に関する調査結果を発表した。従業員300人以上の日本企業の46.7％が、「自社の従業員のセキュリティ意識は低い」と回答した。
また、自社のセキュリティルールが分かりにくいかどうかでは、13.0％が「非常に該当する」、47.2％が「ある程度該当する」、36.6％が「あまり該当しない」と答え、たいていの企業は大なり小なり自社のセキュリティルールの理解性に問題があることを認識していた。
従業員のセキュリティ意識改善に必要なもの（複数回答）では、73.4％が「ITリテラシーの向上」、58.9％が「分かりやすい研修資料」、56.1％が「経営から従業員へのメッセージ」、47.4％が「研修や訓練の回数増加」などが挙げられていた。
ガートナージャパンは、DXや働き方改革で既存のセキュリティルールの変更と新規ルールの追加が頻発し、セキュリティルールを順守すべき従業員のセキュリティ意識が低いことは喫緊の問題だと指摘する。
IT部門やセキュリティ部門がサイバー攻撃などを防ぐ境界防御モデルのセキュリティ対策を主導し、セキュリティルールで禁止・制限事項が増加。セキュリティルールは日々の業務と密接に関わるため、従業員が面倒なルールや矛盾するルールに嫌悪感を覚えるなどすれば、セキュリティ意識の低下につながる。セキュリティインシデントは、サイバー攻撃などが原因になるばかりではなく、従業員のITリテラシーやセキュリティ意識の低さが原因になることが多いとした。
企業は、セキュリティルールを「守らせる」側のIT／セキュリティ部門と、「守る」側の従業員が対立する状況を早々に打破しなければならないという。IT／セキュリティ部門は、セキュリティルールが現実に即しているか検証し、従業員の意見を踏まえて守られるルールの評価と検証を繰り返す必要がある。
一方の従業員は、セキュリティに無関心な姿勢であることが非常に問題だと認識し、柔軟な業務環境のために、従業員がセキュリティに対する大きな責任を果たさなければいけないことを認識する必要がある。従業員に意識を改めさせるには、組織のリーダーが従業員のセキュリティ意識向上策の体制、戦略を全社レベルで実行することが重要だという。
ガートナーは、2013年から「People Centric Security（人中心型セキュリティ）」を提唱しているという。これは、IT／セキュリティ部門主導の禁止・制限前提のセキュリティ対策を変更し、従業員がセキュリティに直接かつ積極的に関与し、個々の従業員のセキュリティ責任下でセキュリティ保護を実行するモデルにしていくものとしている。
