サイバーセキュリティのリーダーは、事業の中断を伴わずにデータを保護することに取り組む、ビジネスリーダーでもあります。しかし、今日のサイバーセキュリティ上の課題は複雑さと規模の面で多くの組織にとって困難であり、すべての経営幹部がサイバーセキュリティの専門家であるわけではなく、また必ずしもその必要もありません。重要なのは、組織内でサイバーセキュリティに第一義的な責任を負う人々が、同僚や事業全体に対して、リスクを効果的に伝えることです。
世界経済フォーラムが最近発表した『今日のデジタル世界におけるリーダーのためのサイバーセキュリティ・ガイド』は、サイバーセキュリティ上の課題に対処するための実践的な指針を提供しています。サイバー攻撃やセキュリティ侵害に対する完全な防御策になるのでしょうか。答えは否です。特効薬はありませんが、ビジネスリーダーが日常業務に取り入れるための10の基本原則が含まれています。これらの原則を慎重に適用し、企業文化の一部とすることで、リスクの低減とサイバーレジリエンスの向上に大きく寄与するでしょう。
チューリッヒ保険グループは、これを実現するためにリスクベースの枠組みを活用しています。その統合情報セキュリティ基準（IISB）は、グローバル組織全体のセキュリティへの取り組みを統合し、事業部門のCEO、COO、CFOなどのビジネスリーダーが重要なサイバーリスクをより深く理解し、管理できるよう支援しています。第一線と第二線の防御線が共同で管理するこの基準は、世界経済フォーラムのガイドにある複数の原則に関わる重要なリスク指標で構成されています。その主な利点は、第10の原則である「サイバーセキュリティの文化を醸成すること」の達成に役立つ点です。
強固なサイバーセキュリティ文化とは、組織内のすべての人を最新のサイバー脅威に関する技術専門家にすることではなく、以下の基本事項を念頭に置くことです。
組織内のほぼすべての個人は、サイバー犯罪者にとって価値のある情報にアクセスできます。これは、ダークウェブで売買されうる個人を特定できる情報のように、それ自体に価値がある情報である場合もあれば、悪用されてネットワークシステムに侵入し、他の重要なシステムにアクセスするために使われうる認証情報のような情報である場合もあります。
多くのデータ侵害は、弱いパスワードの選択やアカウントのログイン認証情報の共有など、意図せず危険を伴う行動によって引き起こされています。
最も重要なのは、今日のサイバー脅威の大部分が、人間を介して、またフィッシングやソーシャルエンジニアリングによって個人を標的にすることで目的を達成していることです。
組織は、次の方法によってサイバーセキュリティ文化をより強固なものにすることができます。
組織全体で理解されうるリスク管理の枠組みを構築すること。サイバーセキュリティの専門家でない人でも理解できるものにします。すべてのリスクを網羅的に測定する必要はありませんが、サイバーセキュリティリスク全体の指標を提供し、事業に関する議論の中で継続的に扱われるようにするため、主要なリスク分野を代表するリスク指標を用いるべきです。
サイバーに関する議論が、組織の最上位レベルで確実に行われるようにすること。CEOがフィッシング対策の啓発について語れば、すべてのレベルで優先課題となる可能性が高くなります。
セキュリティの指示と啓発を担う機能を構築し、セキュリティ啓発キャンペーンの実施とセキュリティ研修の監督に責任を持つ上級リーダーを任命すること。この経営幹部は、さまざまな業務部門の同僚と協力し、従業員のさまざまな専門分野のニーズに対応するプログラムを設計する権限を与えられるべきです。
セキュリティに関する前向きな行動を称賛し、強化するためのインセンティブ・プログラムを作ること。例えば、フィッシング模擬訓練は、ゲーミフィケーションや、最も多くのフィッシングメールを報告した人への小さな賞品によって、より楽しいものにできるかもしれません。
多くの企業では年次の研修受講が義務付けられていますが、年間を通じて、魅力的で手軽に受講できるセキュリティ研修を提供する方法を見つけることもできます。これは、楽しいクイズ、漫画、セキュリティをテーマにしたウェブ動画シリーズなどを通じて提供できます。
不審な活動を速やかに報告するための適切な窓口を従業員が把握し、その情報を容易に思い出せて、かつ利用しやすい状態にしておくこと。さらに望ましいのは、ITヘルプデスク、サイバー事案専用の報告電話回線、電子メール、さらにはSMSやソーシャルメディアのメッセージなど、複数の連絡手段を用意することです。
伝え、伝え、そしてまた伝えること。サイバーセキュリティを常に意識させるためには、複数のチャネルを通じて、頻繁かつ継続的に伝達する必要があります。社内報、ブログ、デジタルサイネージ、ポスターはいずれも、その日のサイバーセキュリティのヒントやスローガンから、サイバー詐欺をテーマとした企業トップの幹部へのインタビューまで、あらゆる内容を発信するのに適した手段です。
すべての企業、すべての組織において、すべての人がセキュリティの擁護者です。私たちは皆、知識と意識を保ち続け、ベストプラクティスの導入においてサイバーセキュリティチームを支える責任があります。
