内部脅威についてのセキュリティ意識向上トレーニングへようこそ。このシリーズは 2 部構成です。基礎を築くためには、チームの全員が内部脅威についての基本を理解することが重要です。内部脅威は、サイバーセキュリティ脅威の中でしばしば誤解されるカテゴリーです (あとで詳しく説明します)。
この投稿では、内部脅威の基本をチームに伝える方法に焦点を当てています。つまり、内部脅威の定義と現在これが重要である理由です。
チームの内部脅威についての理解を支援
組織に近い人なら誰でも内部関係者になる可能性があり、これには従業員、コントラクター、パートナーなどが含まれます。内部脅威は、重要な情報やシステムに対する正規アクセスの誤用から始まります。
ほとんどの人は内部脅威が悪意から起こると考えています。ニュースの見出しにも、企業スパイの暗躍といった衝撃的なストーリーがよく登場します。現実には、62% のインサイダーは偶発的にインシデントを引き起こしています。例えば、クラウドサービスを通じて、関係のないメールアドレスにまちがえて文書を送信してしまうことがあります。あるいは、フィッシングのリンクを何となくクリックしてしまうこともあります。一部の内部関係者 (22%) は侵害されており、認証情報の盗難に遭っています。わずかに 14% の内部関係者が意図的にインシデントを引き起こしています。
重要なポイント: <ドパーティへの依存度、労働力のロケーションリスクなどに応じて組織ごとに多少変わります。こうしたことが組織のリスクについて従業員にセキュリティ意識向上トレーニングをおこなう理由になります。多くの内部インシデントは防止できます。内部脅威はそれぞれ独自であるため、ベストプラクティスや内部脅威を見分ける方法などについて従業員をトレーニングしましょう。すぐれた内部脅威管理プログラムは、他の防御手段（保護、検出、対応、復旧など）とセキュリティ意識の向上とを連携させます。
なぜ従業員が今気を付けるべきかに対する回答
パンデミックによってほとんどの組織に大きな変化が生じました。こうした変化の一部によって内部脅威のリスクが高まりました。例えば、多くのチームが分散し、リモートで働くようになっています。従来通りのオフィス環境にいつ、どのようにして戻れるのかは不透明です。言うまでもなく、組織が使えるリソースも減っており、仕事もうまくはかどりません。
つまり、サードパーティのコントラクターやベンダーが関与する機会が増えているということです。このようなサードパーティのグループはセキュリティポリシーに深い理解を持っているとは限りません。また、技術リストで承認されているものを知らない可能性もあります。多くはそれぞれ独自のセキュリティポリシーに従っていますが、それが組織の要件と違っているかもしれません。従業員と同様に、信頼できるサードパーティにもセキュリティの意識向上に理解を求める必要があります。
また、リモートワークの普及によって、従業員は協働したり、生産性を高めたりするために一層技術に頼るようにもなっています。チームは新しいツールのどれがサイバーセキュリティのポリシーに適っているのかわからない可能性があります。こうした状況下で、特に内部関係者の間違いによるデータ漏えいが増えています。
重要なポイント: セキュリティチームには、内部脅威やセキュリティ意識向上トレーニングプログラムの背後にある「なぜ」を伝える重要な役割があります。内部脅威を理解することがなぜかつてないほど重要なのかを説明してください。組織に特有の言葉を使ってチームの記憶に残るものにしてください。事例を使って語ることで、理路整然と語るよりも聴き手の心に一層響くことがよくあります。
例えば、同業組織がサードパーティのコントラクターが引き起こした内部脅威でニュースになったと想像してみましょう。そのインシデントや組織のセキュリティ対策、対応メカニズムについて、複数の機会（全社ミーティング、メール、部門ミーティングなど）を使って従業員と話し合うことで、強力なサードパーティのリスク管理やセキュリティ文化の維持の重要性について理解を促すことができます。
内部脅威の種類を理解する
基本について理解が得られたことと思います。次は内部脅威の種類について詳しく掘り下げます。このシリーズでは、次の投稿で内部脅威のインシデントが起こる仕組みについて従業員に説明できるようにします。これによって、従業員が偶発的なインシデントを防ぎ、意図的な内部脅威が発生した際に問題をエスカレーションする方法を理解できるようになります。
内部脅威管理およびセキュリティ意識向上トレーニングについての詳細は、proofpoint.com をご覧ください。
※本ブログの情報は、英語による原文「Security Awareness Training For Insider Threats Part 1: Laying the Foundation」の翻訳です。英語原文との間で内容の齟齬がある場合には、英語原文が優先します。