組織が外部のサイバー脅威から身を守るためにテクノロジーへ多額の投資を行うのは当然ですが、最大のセキュリティ上の弱点は組織の内部、身近なところに潜んでいます。それは従業員です。
ウィリス・タワーズ・ワトソンのサイバー保険請求データによると、サイバー侵害の3分の2は、従業員の過失や不正行為によって引き起こされるか、その発生を助長されています。ノートパソコンの紛失、情報の誤った開示、悪意ある従業員の行為などがこれに含まれます。これに対し、外部の脅威が直接の原因となるのはわずか18%です。
従業員は、組織のサイバーセキュリティ戦略における最大の強みになり得ます。しかし、従業員をサイバー脅威に対する防御の第一線にするには、テクノロジーによる解決策だけでは不十分です。
こうした認識を受け、サイバーリスクへの脆弱性を軽減する行動を促すうえで、社内文化が果たす役割を検討する組織が増えています。2017年ウィリス・タワーズ・ワトソン・サイバーリスク調査に参加した組織の80%超が、今後3年以内にサイバーリスク管理を企業文化に根付かせたいと回答しました。しかし、組織のリスク文化の多くが表面下にあるなか、どうすれば実現できるのでしょうか。
以下の取り組みは、組織がサイバーセキュリティに精通した強い文化を築く助けになります。
1）社内のリスク文化を評価する
リスクを回避する文化を築くには、従業員の行動に内在するリスクを組織が測定できなければなりません。最も有用でありながら見落とされがちな評価手段の一つが、サイバーリスク文化調査です。これは、サイバーセキュリティに対する個人の責任意識と説明責任を評価する従業員調査です。
従業員に、サイバーリスクへの認識や脅威に対する行動について質問することで（たとえば、重要情報や機密情報をメールで送る際にパスワード保護を使っているか）、雇用主は特に注意を要するグループの特徴を把握できます。
この種の評価は、組織やそのリーダーがサイバーリスク文化をどの程度支えているかを明らかにする助けにもなります。たとえば、主要な機能部門ごとに、サイバーリスク研修に対する従業員の受け止め方を調査できます。
さらに、適切な能力とデータがあれば、組織は自らの結果を同業他社や世界の優れた組織と比較できます。
そこから得られる知見をもとに、上級幹部はリスクの高い層に重点的に働きかけ、サイバーリスク教育の不足を補う計画や、組織全体でサイバーセキュリティを支える体制を整える計画を策定できます。
2）対象を絞った研修を優先する
従業員によってサイバーリスクへの認識や知識の水準は異なるため、継続的な研修を従業員グループごとに調整することが不可欠です。
研修には、オンライン研修や講師による対面研修、自分のペースで進める学習、「実践を通じた学習」などを取り入れられます。たとえば、従業員がフィッシング詐欺などのサイバー脅威に対応するシミュレーションが考えられます。
包括的な研修の効果は明らかです。2017年ウィリス・タワーズ・ワトソン・サイバーリスク調査によると、従業員の77%が、研修によって職場のデータセキュリティに対する個人の責任意識が高まると考えています。
3）人材戦略を見直す
多くの国・地域で情報セキュリティ人材が不足し、人材要件も変化していることから、定期的にスキルの不足を評価し、新たな人材の採用や既存従業員のスキル向上など、最適な補完策を見極めることが不可欠です。新しいスキルを学び続けられる機会は、価値の高い従業員が組織にとどまる理由にもなります。
多くの国・地域で情報セキュリティ人材が不足し、人材要件も変化していることから、定期的にスキルの不足を評価し、新たな人材の採用や既存従業員のスキル向上など、最適な補完策を見極めることが不可欠です。新しいスキルを学び続けられる機会は、価値の高い従業員が組織にとどまる理由にもなります。
情報セキュリティが組織にとってますます重要な役割を担うにつれ、人材に関する新たな課題が生じています。たとえば、一部の組織では、事業部門と情報セキュリティ部門が共同で主導しています。この変化により、事業に関する知見と技術スキルの両方を必要とする、サイバーセキュリティ分野の複合的な職務が求められます。こうした役割の変化に対応し続けることは、競争上の優位につながります。
サイバー脅威が近いうちに弱まる兆しはありません。脅威を評価し、継続的な学習機会を設け、先を見据えた人材戦略を策定することで、組織はサイバー侵害から身を守る強く賢明な文化を築けます。
