貴社で最も危険な従業員は、バックグラウンドチェックに落ちた人物ではありません。すでに退職届を提出した人物です。
2016年、ある上級エンジニアが自身のスタートアップを立ち上げるため、Google の自動運転車プロジェクトを去りました。名前は Anthony Levandowski。退職前の数か月間に、彼は社内サーバーから約14,000件の技術ファイルをダウンロードしていました。その後の経緯は周知のとおりです：Waymo と Uber の大型訴訟、数億ドル規模の和解、そして営業秘密の窃取による有罪判決。これらすべてが、世界でも屈指の高度なセキュリティ体制を持つ企業で起きました。
多くの組織は、退職を人事上の出来事として扱います：退職届、面談、引き継ぎ、最終日のケーキ。
しかし実際には、従業員が退職を申し出た時点で、場合によってはその前、本人の中で決意が固まった時点で、方程式はすでに変わっています：システムへのアクセス権は完全なまま残っているのに、本人の帰属意識はすでに次の職場にあるのです。
退職の申し出から最終出社日までのこの期間は、雇用サイクル全体で最もリスクが高い時期です。そしてそれは、劇的な情報窃取だけを指すわけではありません。実際にはこのような形で現れます：個人利用のための顧客リストのコピー。作品サンプルを手元に残すための、価格資料の私用メールへの転送。自分が書いたものだから自分のものだと思い込んでいる、社内方法論の撮影。さらに、悪意がまったくない場合もあります：誰もその存在を知らなかったために、退職から数か月経ってもクラウドアカウントが有効なまま残っている、というケースです。
組織上の問題は、言葉にすれば単純です：人事が最初に知り、セキュリティ責任者が最後に聞かされ、情報システム部門は最終日にアクセス権を遮断する。この期間そのものを、誰も受け持っていないのです。
この期間を閉じる方法は次のとおりです。6つのステップ：
1. 申し出の日が報告の日です。退職の申し出は、その日のうちにセキュリティ責任者と情報システム部門に届きます。週明けでもなく、退職日を確定してからでもありません。
2. 直ちにアクセス権を洗い出します。その従業員がどのシステム、データベース、フォルダにアクセスできるのか。そして転職先を踏まえたとき、そのうち何が特に機微なのかを確認します。
3. 段階的に権限を絞ります。引き継ぎに不要なものは、最終日ではなく今すぐ閉じます。
4. この期間を監視します。異常な規模のダウンロード、私用メールへの転送、外部記憶デバイスの接続。この期間にこれを見るのは疑いではなく、最もよく知られた弱点への対処です。
5. 最終日のタスクを決めます。停止すべきアカウントの確定リストを用意します。中央のユーザー管理に接続されていないクラウドサービスや外部ベンダーも含めてください。忘れられるのは、いつもそれらです。
6. 退職面談をきちんと行います。秘密保持義務と知的財産に関する取り決めを改めて確認し、次の勤務先についても率直に話します。疑いからではなく、リスク管理としてです。
もう一方の側面も言っておく必要があります：退職者の大半は脅威ではありません。良い形で去る従業員は資産であり、企業の代弁者であり、将来の顧客になることもあります。この期間を適切に管理する目的は、退職者全員を容疑者にすることではなく、まったくその逆です：良い退職者が気持ちよく去れるようにし、組織に多額の損害をもたらす例外的なケースだけを、間に合ううちに捉えることです。
採用部門は、従業員がいつ組織に入ってきたかを正確に把握しています。問題は、その従業員が組織を出ていく瞬間を、誰が受け持っているのかです。