企業システムにおいて最も高いセキュリティリスクは、「セキュリティ意識の低い従業員」であることは間違いありません。企業がコストをかけてセキュリティシステムを構築し、セキュリティ担当者が正しく運用していたとしても、たった一人の従業員が「うっかり」機密情報を漏えいしてしまうことや、ワームウイルスに感染してランサムウェアの被害に遭うというのはよくある事例です。そこで今回は従業員のセキュリティ意識について検討してみましょう。

セキュリティ研修は無駄ではない

従業員に対して、定期的にセキュリティ研修を実施する企業は多くあります。しかし、「時間の無駄」「面倒」というネガティブなイメージを持つ人は少なくありません。一般の従業員向けセキュリティ研修は、ITリテラシーと情報リテラシーの向上を目的としているのですが、「～をしてはいけない」や「～に注意する」といった内容が多く、「まるで道徳の授業を受けているようだ」と感じさせてしまうようです。

セキュリティ研修で重要なことは、正社員、パート、アルバイトなどの雇用関係や役職によって区別することなく「すべての従業員がセキュリティへの当事者意識を持つ」ことです。最新のセキュリティ被害の情報やその原因となった従業員の行動などを紹介し、自分が会社や顧客に損害を与えてしまうリスクがあることを理解してもらうことも大切です。決して無駄な研修ではないことを、きちんと伝えましょう。

ITリテラシーの向上に向けては、「この会社ではこのようなルールでITシステムを運用する」ということを中心に学習します。企業ごとのルールが浸透させることが目的なので、例えば「私物のデバイスを企業内のネットワークに接続する際の注意事項」や「オフィスの外で業務する際の適切な使い方」といったことが伝達できればよいと言えます。

よく問題になるのは、ITの知識が少ない従業員と比較的ITに詳しい従業員との差異です。研修を実施する際に重要なことは、「これくらいは知っているのが当然」という前提を持たないことです。セキュリティの知識は、「知っているつもりになる」ことはとても危険です。そのため、なるべく何も知らないことを前提にした研修を実施し、本当に正しい知識を身に着けてもらうように心がけましょう。

情報リテラシーは、情報を正しく読み取って適切に情報を発信する能力です。例えば、最近のフィッシングメールは巧妙化しており、攻撃対象の業務内容に近い内容の文面や資料に偽装したマルウェアを添付するといった手口が増えています。こうした人の心理を悪用するような攻撃でも、情報リテラシーが高ければ「この送付元のアドレスがおかしい」「この添付ファイルを開くのは危険だ」「このURLはクリックしてはいけない」などの判断ができるようになるのです。

なお、サイバー攻撃は常に高度化し、巧妙化しています。こうした攻撃に対応するためには、セキュリティ研修もアップデートして繰り返し実施することが重要です。

管理側に必要なセキュリティ意識

雇用する側、あるいは情報セキュリティを担当する側にとっても、セキュリティ意識は重要なものです。すべての従業員が安心して働くためには、企業側が安全なシステムへの接続方法を確立し、必要に応じて業務用のデバイスやネットワーク機器を準備する責任があります。最近はテレワークを狙った犯罪も増えています。常に最新のセキュリティ情報をチェックし、適切なセキュリティソリューションを導入することを検討してください。

システムへの侵入を防止するだけではなく、常にシステムの監視・監査も徹底する必要があります。従業員がうっかりミスをしてマルウェアに感染する、あるいは悪意をもった従業員が情報を漏えいしてしまうかもしれません。こうした被害を完全に0にすることは難しいかもしれませんが、セキュリティ被害が発生した際に即座に検知して対策し、その原因を明確にできる仕組みを用意しておきましょう。

IT資産や情報資産の管理は、セキュリティ面でも非常に重要です。物理的なサーバやPCなどの資産はもちろんですが、従業員のアカウント管理も徹底しましょう。いつまでも退職した人のアカウントが残っている、部署が移動したのに前の部署の権限が残っている、ライセンスの管理ができていないといったことがセキュリティリスクになることもあります。また、権限によってデータへのアクセスをコントロールしている企業も多いかと思いますが、データは定期的に棚卸をして正しい権限を持った人にのみアクセスできるようにしましょう。「守らなければならないデータは何か」がわかっていなければ、正しく情報資産を守ることはできません。

ヒューマンエラーが起きることを前提にする

人は誰しも、ミスをするものです。うっかり添付ファイルを開いたり、怪しいURLをクリックしてしまったりすることがあるかもしれません。しかし、こうしたミスの責任を必要以上に従業員に押し付けることは、極力避けるべきです。セキュリティ侵害に関連した罰則があまりに重いと、ミスを隠すために状況をさらに悪化させてしまうことがあります。誰でもサイバー攻撃の被害に遭う可能性があることを、忘れないようにしてください。

セキュリティインシデントが発生した際、同じようなことが起こらないように注意喚起を徹底することや、問題が発生しないような仕組みを検討することにつなげるようにしましょう。何があったときにすぐに相談できるオープンな体制整備は、結果的にセキュリティ被害を最小限に止めることにつながります。

まとめ

・セキュリティ研修はすべての従業員を対象に実施しよう
・セキュリティ研修を最新の情報でアップデートしよう
・雇用する側やシステムを管理する側には責任のあるセキュリティ意識が重要