リスクベースで行う社内セキュリティ教育の前提知識

2020年に急増したサイバー攻撃の手口

　コロナ禍により、一時的に経済活動が停滞したことで、影響を受けたのは企業や個人だけではありません。サイバー犯罪者にとっても、「以前までの標的や手口でサイバー攻撃をしにくくなった」ことなどにより、一時的に（2020年4月）サイバー攻撃被害が少なくなりました ¹。

　一方、多くの企業はリモートワークを増やし、オンラインによる業務を拡充しました。これにより、社員が遠隔からログイン情報（資格情報）だけでシステムにアクセスする機会が増えました。サイバー犯罪者はこの変化に目をつけ、過去の漏洩データやSNSから入手できる個人情報を利用したと思われるフィッシング（なりすまし）詐欺やマルウェア感染などにより、ログイン情報を盗む行為を増加させています。

　これを裏付けるような注意喚起として、個人情報保護委員会から、「テレワークに伴う個人情報漏えい事案に関する注意事項」（令和2年9月23日）が公表されています。そこでは、新型コロナウイルスの影響によりテレワークの利用が広がるなかで、実際に確認された個人情報漏えい事案の個別事例が紹介されています。

事業の継続性を重視したサイバーレジリエンスの考え方

　以前より、情報セキュリティを推進する行政機関から「事故前提社会」や「機能保証」などのキーワードを伴った戦略や行動計画の文書が公表されていますが、残念ながら企業全体への周知や対策強化が行われているとは言い難いところがあります。

　一方で、最近では、サイバー攻撃により被害企業の事業が停止してしまう状況が発生しています。そこで、サイバー攻撃の発生に備えて、準備、対応、および回復する組織の能力を意味する「サイバーレジリンス」の強化が求められるようになっています。

　行政機関からの文書では、サイバーレジリエンスを「回復能力」と言い換えているところが見られますが、これは誤った認識を与える可能性があります。サイバーレジリエンスの概念は「プロセス（それぞれの主体者の⾏動の組み合わせと流れ）」を重視するものです。実際には、複数の部門が緊密に連携しながら、発生したインシデントの影響を抑制しつつ、攻撃中および攻撃後の事業の継続性を保証するという適宜の統制とバランス配分が求められます。つまり、組織に司令塔を必要とするものです。

コロナ禍で理解が進むサイバー衛生（Cyber Hygiene）

　海外に多くの拠点を持つ一部の⽇本企業は、「コンプライアンスベース」から「リスクベース」へのサイバーセキュリティ対策への切り替えを急いでいます。それだけ直面せざるを得ないサイバー脅威に対する危機感が高まっていることを意味しています。

　「リスクベース」のセキュリティ対策を設計するうえで、さまざまなキーワードが出ており、情報システムの領域では「ゼロトラスト（Zero Trust）」が注目されています。これについては、「Zero Trust Architecture Technical Exchange Meeting | NCCoE」における議論が参考になります。この会合は、社内ネットワークをインターネットとの境界で守れない前提に立ち、すべてのアクセスを信頼せずに検証する仕組みを目指す「ゼロトラスト」について、さまざまな課題や官民間のギャップに対処し、実装に向けた準備を推進することを目的としたものです。

　システムの利用者に着目したセキュリティ対策としては「サイバー衛生（Cyber Hygiene）」が有力視されています。これは、社会の衛生管理と同様に、組織や社員1人ひとりに対して、IT環境や個人のITデバイス（PC、スマートフォンなど）、ネットワーク接続の環境を健全な状態に保つよう推奨する取り組みを行い、セキュリティ意識を醸成する対策です。

　現在、私たちはコロナ禍における感染症対策として⼿洗い、普段の健康管理、部屋の換気、マスク着用、咳エチケットなどが強く求められています。この取り組みを客観的に眺めると、まず専門家による徹底的な状況把握と分析が⾏われたうえで、有効性が期待できるルールなどが策定されるとともに、国家のトップ層が国民に対して強いメッセージの発信を繰り返していくことで周知徹底と行動変容を図ろうとしています。

　サイバー衛⽣に基づいた企業の取り組みは、このような衛⽣管理と同様のプロセスを踏んで、社員の行動変容を実現させるものです。

サイバー衛生(Cyber Hygiene)に基づいた対策プロセス

リスクベースで設計するセキュリティ教育の留意点

　「リスクベースで設計するセキュリティ教育」は、その前提として、経営層から社員に対する強いメッセージが社員1⼈ひとりに浸透していなければなりません。

　多くの社員は、与えられた業務に専念しており、会社全体を⾒通すことが難しい⽴場にあります。そのため、会社が直面しているサイバー脅威を感覚的に捉えることは難しく、従来のセキュリティ教育では、必要性や有効性を感じないところで、知識と対策事項を単に覚え込む作業と捉えてしまうケースが多く見られました。またその直接的な対策として、教育直後の確認テストが行われるようになりました。

　従来のセキュリティ教育は、情報セキュリティの脅威の高まりが緩やかで企業への波及が限定的であった昔の時代において、「コンプライアンスの仕組みづくりを任された部⾨」が、その役割を果たすという意味では有効性はありました。しかし現在、これは、会社全体をサイバー脅威から守ることとは同義ではなくなりました。

　そのため、いま社員に対するセキュリティ教育において重要となるのは、サイバー衛生を強化することと言えます。従来の考え方やプロセスに基づいた「情報セキュリティの強化」に取り組んでいる有名企業ほど、深刻なサイバー攻撃を受けていることに注意を向けてください。一方、従来型のセキュリティ対策にすら取り組んでいない企業は、サイバー攻撃を受けていることにも気づけず、提携や契約している他の企業に不利益を与え始めています。

　社員がサイバー脅威を認識して行動変容を行うきっかけは、社員自らの情報収集や理解努力ではありません。経営層による強い言葉からにじみ出る会社を守る姿勢であることを認識する必要があります。