本ブログは、英語版ブログ「https://www.proofpoint.com/us/security-awareness/post/security-awareness-training-resolutions-2020-be-proactive-about-predictions」の翻訳です。
一年が終ると、私たちの多くは過去を振り返り、新しい年には可能な限り目標を絞った効果的な計画をたてようと考えます。それに倣うならば、以下の3つのポイントとそれに関連したセキュリティ意識向上トレーニングによる解決策の組み合わせは、2020年（およびそれ以降）のサイバーセキュリティ環境で人中心のアプローチを強化するのに役立つでしょう。
1. 実世界の脅威へのフォーカス
企業の従業員も消費者も、クラウドアプリからIoTデバイスまでのあらゆる技術リソースにアクセスすることができます。しかし、接続されている個々のリソースには、個別に潜在的な侵害点が存在します。そして、サイバー犯罪者は絶えず進化しており、ルアーを論理的で関連性があり信頼できるように見せかけるために、実証済みのテクニックに新たな工夫を追加しています。
そのため、情報セキュリティとトレーニングを担当するチームは、これらの洗練された標的型の脅威に対抗できるよう、ユーザーを教育しなければならないと感じています。しかし多くの場合、セキュリティ意識向上トレーニングにこれ以上の時間をかけることはできません。
解決策：脅威インテリジェンスを活用して診断とトレーニングをガイド
セキュリティ意識向上トレーニングは、しないよりもしたほうが良いに決まっています。しかし、「ボックスをチェックする」といった教育プログラムでは、ユーザーに行動の変化をもたらすことはできないでしょう。教育プログラムは、広範で基礎的な知識を学ぶサイバーセキュリティ教育と、組織固有の弱点や特有の攻撃に対処するトレーニングを組み合わせたものでなければなりません。
以下にいくつかの方法を示します：
- 脅威インテリジェンスを活用して、Very Attacked People（VAP）を特定します。誰が標的にされているかということや、攻撃者が組織を侵害しようとしている方法を知ることは重要です。この情報を利用して、適切なトレーニングを適切な人に適切なタイミングで提供します。
- ProofpointのAttack Spotlightなどのツールを使用して、Proofpointの研究者が特定した攻撃トレンドをエンドユーザーにすばやく警告します。
- トレンドとなっている攻撃を模倣したフィッシング攻撃シミュレーションを実施します。組織内で広く使用されているブランド（OneDrive、Office 365、DocuSignなど）を模倣するルアーに特に注目してください。自動登録などの機能を使用して、攻撃に騙されたユーザーに、そのトピックに関連するトレーニングを自動的に受講してもらいます。
2. BECおよびEACの問題が持続
ビジネス電子メール詐欺（BEC）と電子メールアカウント侵害（EAC）は衰える気配を見せていません。これは、あらゆる業界のあらゆる規模の組織に影響を及ぼす世界的な問題で、数十億ドル規模の損害をもたらしています。スプーフィングの手法はこれまでもエンドユーザーを騙すことに成功しており、アカウント乗っ取りと攻撃者による正規のサービスの不正利用は問題をさらに悪化させます。
解決策：BECおよびEACに関するトレーニングの取り組みを強化する
これらの解決を偶然に任せることはできません。これらの種類の脅威をユーザーが警戒しなければならないことについて認知してもらい、クレデンシャル侵害によって脅威アクターが正当なアカウントからメールを送信することができることを理解して貰わなければなりません。
電子的な送金を依頼、または実行する従業員とサードパーティの関連会社が、これらの攻撃を特定して金銭的損失を防ぐ方法を理解することが特に重要です。これには、CxOなどのCレベル役員も含まれます。「パスワードを口頭で伝える」などの電子的手段を使わないローテクな方法も、これらの高度な攻撃に対抗するために有効です。
3. エンドユーザーを最終防衛線として活用
電子メール保護ツールおよびその他の技術的保護手段は進化を続け、攻撃をブロックする能力は向上しています。しかし、それらは絶対確実ではありません。そのため、組織は境界型の防御システムをすり抜けるフィッシング攻撃を特定するために、エンドユーザーの協力を得る必要があります。エンドユーザーが効果的な最後の防衛線として機能するためには、疑わしいメッセージを特定できる能力だけでなく、疑わしい攻撃を見つけた場合に情報セキュリティチームに簡単かつ効率的に報告するツールを持つ必要があります。
解決策：「簡単クリック」で報告できるツールを実装する
警戒心を備えた従業員は、悪意のある電子メールを確実に見つけることができます。また、報告と分析を自動化することは組織にとって有効です。ProofpointのPhishAlarmでは、クライアントに備えられたレポートボタンにより、ユーザーは事前に設定されたアドレスにワンタッチで疑わしいメールを転送することができ、ヘッダに手を加える必要もありません。PhishAlarm Analyzerが報告されたメッセージを自動的に評価し、危険である可能性が最も高いメッセージを特定します。これにより、セキュリティレスポンスチームは最も危険な脅威に集中できます。
報告されたメッセージの配信と分析の自動化に加えて、これらの電子メールの修復の自動化も有効です。ProofpointのClosed-Loop Email Analysis and Response（CLEAR）ソリューションは、セキュリティレスポンスチームの貴重な時間を節約します。PhishAlarm、PhishAlarm Analyzer、Threat-Response Auto-Pull（TRAP）の機能を組み合わせて、悪意のある可能性のある電子メールの報告、分析、修復にかかる時間を数日から数分に短縮することができます。
Proofpointについて
Proofpoint Inc.（NASDAQ：PFPT）は、人々の働き方を守るクラウドベースのソリューションを提供する次世代の主導的セキュリティ/コンプライアンス企業です。Proofpointのソリューションは、電子メール、ソーシャルメディア、モバイル、クラウドアプリケーション経由で行われる高度な攻撃からユーザーを保護し、高度な攻撃やコンプライアンスリスクからユーザーが作成した情報を保護し、インシデント発生時には迅速に対応できます。詳細はwww.proofpoint.com/jpをご覧ください。
© Proofpoint, Inc. Proofpointは米国及びその他の国々におけるProofpoint, Inc.の商標です。本ドキュメントに記載されている会社名、製品名、サービス名は、一般に各社の登録商標または商標です。本ドキュメントの記載内容、製品及びサービスの仕様は予告なく変更されることがあります。
www.proofpoint.com/jp