あなた自身と従業員に力を与える

学習の目的

この単元を完了すると、次のことができるようになります。

• システムとデバイスを監視して、多くのサイバー脅威を検出して排除する。
  
• 重要なパートナーやベンダーとのサイバー関係を管理する。
  
• 外部組織に対するサイバー攻撃の影響を認識する。
  
• 従業員がサイバーハイジーンとセキュリティに関する責任を果たせるようにする。
  

敵対者について把握する

このサイバーセキュリティゲームの主要人物は誰ですか? あなたのビジネスとサイバーセキュリティを妨害しようとしているのは誰ですか? 状況を監視し、あなたを守ろうとしているのは誰ですか? 最後に、あなたの役割は何ですか? あなたは何をする必要があるかを理解し、それを容易にするリソースも手に入れました。次は主要人物を見てみましょう。

新しい攻撃が次から次に出現し、サイバー脅威の状況を絶えず変化させています。あなたのシステムに侵入する方法がないか誰かが常にうかがっているように感じるならば、それはおそらく間違いではありません。前述したように、サイバー犯罪は増加の一途をたどっています。Radware の 2019 年レポートは、サイバー攻撃の平均費用を 100 万ドルと推定しています。ほとんどの企業、特に中小企業は、このような費用を乗り越えることはできません。 

あなたを狙っているかもしれない人を、常に警戒することが重要です。また、あなた自身ができない場合は、誰かがその役割を担当するようにしてください。  サイバーレジリエンスの構築にはチームワークが必要です。従業員、サードパーティサプライヤー、アライアンスパートナー、法執行機関、さらには競合他社にも、それぞれの役割があります。ただし、組織での防御の最前線はサイバーセキュリティチームです。調査によれば、セキュリティチームは平均して侵害の 54 〜 83% を発見しています。   

チームを配置する

ここではっきり言っておくと、サイバーハイジーンは全員の責任です。メールも含めてシステムにアクセスできる、またはあなたのデバイスの 1 つを使ってビジネスを行っている人すべてが、サイバーセキュリティに対して責任を負っています。 

従業員をトレーニングしてください。次を実践することで従業員が各自責任を理解していることを確認し、従業員のセキュリティに対する考え方を養います。

• 強力なパスワードを作成して維持し、誰とも共有しない。
  
• 管理している重要なデータすべての必要なバックアップを実行する。
  
• 不審なメールがないか警戒する。
  
• Web サイトにアクセスするときには注意を払い、サイトが安全であることを確認する。
  
• システムを監視し、不審なものを見つけたら、適切な人に知らせる。
  

サイバー攻撃から自分自身と会社を守る方法について、すべての従業員の意識を高めることに加え、もう 1 つのベストプラクティスは、組織のサイバーハイジーンの監視と管理を担当する人を任命することです。そうすれば、組織内のサイバーおよびデジタル関連のあらゆる出来事の概要を、この担当者から入手することができます。全体像を把握することで、問題の防止と検出が容易になります。 

ビジネスパートナーと緊密に連携する

ベンダーやサプライヤーといった主要なビジネスパートナーについて考えてみましょう。クライアントや顧客もこれに含まれます。彼らのサイバーハイジーン習慣はどのようなものでしょうか? より高度なサイバーセキュリティ習慣を実践している組織もあれば、保護対策を講じていない組織もあります。話し合いをするときが来ました。Marsh & McLellan 2020 年サイバーハンドブック (英語) によると、多くの企業は複雑なサプライチェーンの中でビジネスを行っているため、サイバーリスク管理に同等に力を入れて取り組んでいない企業があれば、その脆弱性の影響を受けることになります。ハッカーはチェーンの中で最も脆弱な部分を探します。

気まずいもしれませんが、サイバーハイジーンについてパートナーやベンダーと話し合うことが重要です。彼らはあなたとの関係を大切にしています。彼らが最も避けたいのは、自分たちが最良のサイバーセキュリティ対策を講じていないために、あなた (と自分たち) のシステムに損害を与えることです。自社システムから広がったウイルスのせいで相手のシステムに問題が発生した場合、非常に申し訳なく思うはずです。あなたのビジネスパートナーも同じです。 

自分のシステムを包囲する壁 (ファイアウォール) を保護することを意味する「境界セキュリティ」だけでは不十分です。厳しいようですが、ゼロトラストのアプローチでは、企業が自社の「セキュアな」ネットワーク範囲内の安全を確保できるとは考えないからこそ、あなたとあなたのパートナーを守ることができます。個人攻撃をしているわけではありません。ゼロトラストのアプローチでは、システムとデバイス自体を制御し、チェーン全体の可視性を高め、各システムが他のシステムに与え得る影響を考慮します。会社のファイアウォールの内側と外側の両方でチェーンを調べます。セキュリティチェーンには、最も脆弱な部分と同じだけの安全性しかありません。

優勢に立つ: 3 方面からのアプローチを使用する

優れた戦略は、システムを保護する、攻撃を阻止する、攻撃が発生した場合は迅速に復旧する、というサイバーハイジーンの目的を達成するのに役立ちます。規模が小さい組織でも、脅威を監視、対処しながら、リスクを測定するのに役立つ基本的な 3 方面からのアプローチを導入できます。

阻止: サイバー攻撃を阻止するために、あらゆる対策を講じます。すべてに有効なわけではありませんが、前述したリソースを利用すれば、多くの種類の攻撃を阻止することができます。

• 誰を警戒すべきか? 不審なアクティビティがないか監視する。
  
• 何を制御できるか? パスワード、セキュリティ対策、ウイルス対策ソフトウェア。
  

検出: リソースを使用して、影響を受ける前に脅威を見つけます。

• 脅威を識別して問題が発生する前に阻止するためのステップを導入する。
  
• タイムリーに対応する。脅威の早期検出によって状況が大きく変わることがある。
  

対応: 脅威または攻撃を検出したら、それに対応できることが必要です。どのように対応するか計画を立てます。

• 脅威/攻撃について知らせる。
  
• 脅威を排除した後、必要な更新を実行する。
  

警戒を怠らない

たくさんあるように思うかもしれませんが、先ほど説明したリソースが非常に役に立ちます。今しっかりと取り組んでおけば、後で大きな効果を発揮します。その場合でも、警戒を緩めることはできません。システム、アプリケーション、デバイスのメーカーから更新とアラートがリリースされていないか常に確認します。必ず誰かが内部と外部の両方のサイバー脅威を監視しているようにします。脅威は、システムやアプリケーションだけでなく、さまざまな場所から発生する可能性があります。警戒の対象は、あなたが制御できるものだけにとどまりません。

ソーシャルメディアも忘れないでください。これはハッカーがデータにアクセスするもう 1 つの手口です。ソーシャルネットワークが提供するすべてのセキュリティ対策を必ず使用してください。従業員が仕事用のデバイスでソーシャルネットワークを使用する場合は特に、責任あるソーシャルネットワーキングの重要性を強調します。また、ソーシャルチャネルは最新のサイバー脅威について学ぶためのリソースとしても利用できます。教育が最良の防御です。

サイバーハイジーンは重要課題

競争上の優位性を求めない企業はありません。サイバーハイジーンとサイバーセキュリティを実装し、顧客、従業員、パートナーがあなたのビジネス、サイト、システムが保護されていると認識できるようにします。サイバーハイジーンを使用して、ビジネスとレピュテーションを強化します。

ビジネスオーナー、そしてリーダーとして、あなたには多くの責任があります。リスクとコストがあまりに大きいため、サイバーセキュリティを最優先事項として扱わざるを得ません。サイバー脅威を無視したところで何の解決にもなりません。今対策を講じておけば、後で影響の収拾を図るよりも楽です。 

強固なサイバーハイジーンを導入するためのリソースとツールをいくつか紹介しましたが、まだ他にもいろいろと提供されています。ためらわずにエキスパートにアドバイスを求めてください。 

まとめ

サイバー脅威や攻撃は生活とビジネスの一部です。あなたのビジネスを守るのは、あなたの仕事です。システムとメールの保護を設定し、従業員にその重要性を強調します。攻撃される前に従業員がサイバー脅威に気付けるようにトレーニングと教育を奨励し、演習を行います。何か悪いことが起こったときにすべきことを全員が理解しているように計画を実行します。従業員があなたのビジネスを守れるように最良の体制を整えてください。戦略を立て、責任者を決めます。警戒を怠らず、サイバーハイジーンで競争優位性を確保してください。あなたのビジネスはそれに懸かっています。サイバーセキュリティ関連情報の詳細に関心がある方は、Trailhead のサイバーセキュリティの学習ハブを参照してください。