セキュリティ意識向上スペシャリストのスキルについて学ぶ

学習の目的

この単元を完了すると、次のことができるようになります。

• セキュリティ意識向上スペシャリストの責務について説明する。
  
• セキュリティ意識向上スペシャリストの主なスキルを挙げる。
  

セキュリティ意識向上スペシャリストの責務

企業の従業員や請負業者は、セキュリティ脅威とその防御方法を認識すると、機密データを保護し、組織のセキュリティを強化できます。サイバー脅威に対するユーザーの意識向上の徹底、データ保護ポリシーに関するユーザーのトレーニング、強力なサイバーセキュリティ文化の育成は、そのどれもが強力なサイバーセキュリティプログラムを実装するために欠かせないものです。セキュリティ意識向上スペシャリストは、組織を対象としてこの教育や意識向上をリードします。 

セキュリティ意識向上スペシャリストの主要な責務の 1 つとして、複雑な技術的問題をわかりやすい言葉で伝えることが挙げられます。情報テクノロジーを扱わない職務の従業員であっても、社内の全員がサイバー脅威を意識するよう徹底する必要があります。たとえば、営業担当にフィッシングメールの認識方法と報告方法をトレーニングする必要があるかもしれません。また、ソーシャルエンジニアリングを使用したスピアフィッシング攻撃を防御するために、役員に対してソーシャルメディアでのプレゼンスを管理するための特別研修を行う場合もあり得ます。こうしたことにはすべて、技術的な影響を理解すること、その上で各自の専門分野や日々の責務に対応した方法でユーザーを教育することが伴います。 

セキュリティ意識向上スペシャリストは、さまざまなチーム、特にインシデント対応チームと組織全体で連携する責任があります。人間に関連するセキュリティリスクを理解して、そのリスクから保護するために尽力するだけでなく、インシデントからのフィードバックを最新のトレーニングや意識向上キャンペーンに反映させ、セキュリティ行動の変革を促します。たとえば、最近発生した侵害の原因がファイアウォールの設定ミスであった場合、スペシャリストは、ファイアウォールの管理は誰の責任であり、ファイアウォールの設定にはどのポリシーが適用されるのかについて、業務固有のトレーニングや意識向上キャンペーンを作成する必要があるかもしれません。また、場合によっては、設定に誤りのあるファイアウォールが組織にもたらすリスクや、将来このリスクに対処するために必要な変更 (たとえば、新しいテクノロジーへのアップグレードやスタッフの追加雇用など) について、サイバーセキュリティチーム内外の役員を教育できるようにする必要もあります。 

最後に、セキュリティ意識向上スペシャリストのもう 1 つの責任として、従業員が各自の業務の実施方法にセキュリティバイデザインを組み込むことができるようにすることが挙げられます。つまり、従業員がポリシーと手順を把握し、それを実行するために必要な業務固有のスキルを身に付け、問題が発生したときにどうしたらよいかを理解できるようにするということです。これを成功させるには、スペシャリストは組織全体のテクノロジー、監査、法務、ビジネスユニットと緊密に連携してセキュリティ上の課題を理解し、特定のビジネス要件やコンプライアンス要件を満たすようにトレーニングを調整する必要があります。

セキュリティ意識向上スペシャリストのスキル

セキュリティ意識向上スペシャリストはどのような種類のスキルを有しているのでしょうか? 通常、候補者は大卒であり、情報セキュリティ、コミュニケーション、マーケティング、教育などの知識と経験を持っています。候補者の学歴にかかわらず、テクノロジー、情報セキュリティ、サイバー脅威における関連する最新の問題に精通していると役立ちます。 

さらに、国際標準化機構 (ISO) の情報セキュリティ管理基準、Control Objectives for Information and Related Technology (情報および関連技術のための統制目標) (COBIT)、米国標準技術局 (NIST) のサイバーセキュリティ標準など、関連するサイバーセキュリティポリシーフレームワークに関する実務的な知識があると有益です。また、銀行を志望している場合は金融の概念について活発に対話できることや、エネルギーセクターの職を探している場合は重要なインフラストラクチャに関連する規制を理解していることなど、セクター固有の経験や知識も役立ちます。 

セキュリティ意識向上スペシャリストには、技術的な認識に加えて、強力なコミュニケーション、関係構築、問題解決、コラボレーションの能力が必要です。ソーシャルメディアとコミュニティの管理、関係者管理、プロジェクト管理における経験やトレーニングも、この専門職に役立つ可能性があります。専門資格は必須ではありませんが、有用である場合があります。この資格には、ISO 27001、公認情報セキュリティマネージャー (CISM)、認定情報システムセキュリティプロフェッショナル資格 (CISSP)、認定情報システム監査人 (CISA) などがあります。

まとめ

このモジュールでは、セキュリティ意識向上プログラムの目標を確認し、セキュリティ意識の重要性を詳しく学び、セキュリティ意識向上スペシャリストの責務とスキルについて学習しました。次のモジュール「セキュリティ意識向上スペシャリストの責務」では、セキュリティ意識向上スペシャリストがリスクを特定して組織を保護する方法について詳しく学びます。また、複数のチームと協力してリスクを検知し、インシデントが発生した場合に対応して復旧する方法についても学習します。

サイバーセキュリティの各ロールを確認し、セキュリティの専門職の話を聞いてみたい方は、Trailhead の「サイバーセキュリティのキャリアパス」を参照してください。

リソース

• 外部サイト: SANS Security Awareness Reports and Resources (SANS のセキュリティ意識向上レポートとリソース)
  
• 外部サイト: NICCS: Training, Education, and Awareness (トレーニング、教育、意識向上)