CIS Control 14：セキュリティ意識とスキルのトレーニング

CIS Control 14 は、従業員のサイバーセキュリティに関する意識とスキルを向上させるプログラムを実装し、運用することに関する内容です。（CIS Critical Security Controls Version 8 以前は、この領域は CIS Control 17 で扱われていました。）
この統制が重要なのは、ネットワーク内の人々のセキュリティ意識の欠如が、すぐに壊滅的な data breach、ダウンタイム、なりすまし（アイデンティティ盗用）およびその他のセキュリティ問題につながり得るからです。たとえば、攻撃者は従業員に悪意のあるコンテンツを開かせるよう操作したり騙したりして保護された情報を手放させ、その後、パスワード共有のような不十分な企業慣行を悪用してさらなる被害を与えることがよくあります。

サイバーセキュリティ研修が不可欠な理由

研究により、次のことが明らかになっています。データ侵害の原因：

• インシデントの約30%は、人為的ミスによるものです。たとえば、機密情報を誤った相手に送信したり、システムやデータへの不正アクセスが可能な場所でPCのロックを解除したままにしていたりします。
• さらに28%のデータ侵害は、フィッシング攻撃によるものです。この攻撃では、従業員がウイルスやキーロガーを含むメールを開いてしまいます。
• 不十分な パスワードポリシー は、すべてのデータ侵害の約26%の原因になっています。たとえば、共用パスワードの使用や、簡単なパスワードの許可はいずれも、データ侵害のリスクを大幅に高めます。

残念ながら、25% 未満の組織しか 脆弱性評価 を定期的に実施していません。43% は、従業員が機密データやその他のリソースをどのように扱っているか分からないと認めており、インシデント対応計画を持っているのは 17% のみです。組織を守るためには、次のことができる必要があります：

• 定期的に IT セキュリティテストを実施する
• データ侵害を初期段階で検知する
• セキュリティインシデントに迅速に対応する
• 侵害（データ漏えい）の範囲と影響を把握する
• 影響を受けたデータ、サービス、システムを復旧するための計画を用意する

CIS Control 14 が役立つ方法

CIS Control 14 は、組織におけるサイバーセキュリティとデータ保護を強化し、コンプライアンス監査を通過するのにも役立ちます。これは、次の手順に基づいています：

14.1 セキュリティ意識向上プログラムを構築し、維持する

セキュリティ意識向上プログラムでは、組織のセキュリティ維持に役立つ適切な行動を、従業員全員が理解し、実践できるようにする必要があります。セキュリティ意識向上プログラムは参加しやすい内容であるべきで、常に「つい最近学んだこと」として従業員の記憶に新鮮に残るよう、定期的に繰り返し実施する必要があります。場合によっては年1回の研修で十分なこともありますが、従業員がセキュリティ手順に不慣れな場合は、より頻繁なリフレッシャーが必要になることがあります。

14.2 従業員に社会工学攻撃を見分けるための教育を行う

次に推奨されるベストプラクティスは、従業員全員に対して、社会工学攻撃を認識し、特定できるように教育することです。電話詐欺、なりすましの電話、フィッシング詐欺など、さまざまな攻撃タイプを必ず取り上げてください。

14.3 従業員に認証（Authentication）のベストプラクティスを教育する

安全な認証は、システムとデータへの攻撃を阻止します。従業員は、安全な認証が重要である理由と、企業のプロセスを回避しようとした際に伴うリスクを理解する必要があります。一般的な認証の種類には、次のようなものがあります：

• パスワードベース認証
• 多要素認証
• 証明書ベース認証

14.4 データ取扱いに関するベストプラクティスを従業員に教育する

従業員には、機密データを適切に管理するためのトレーニングも必要です。具体的には、機密情報の識別、保存、アーカイブ、転送、破棄の方法を含みます。たとえば基本的なトレーニングでは、コンピューターから離席する際に画面をロックする方法や、会議と会議の間にバーチャルホワイトボードから機密データを消去する方法などが取り上げられる場合があります。

14.5 過失によるデータ漏えいの原因について従業員をトレーニングする

過失によるデータ漏えいの原因には、モバイル端末の紛失、誤った相手へのメール送信、認可されたユーザーが閲覧できる場所にデータを保存することなどが含まれます。従業員が自分の「公開（共有）オプション」を理解し、電子メールやモバイル端末を使用する際に注意を払うことの重要性を認識しているようにしてください。

14.6 セキュリティインシデントの認識と報告について従業員をトレーニングする

従業員は、インシデントの一般的な兆候を特定できる必要があり、またそれをどのように報告するかを理解していなければなりません。フィッシングメールを受け取ったかもしれない、または会社の携帯電話をなくしてしまったと疑った場合に、誰に連絡すればよいのでしょうか？ 手続きを簡単にするため、すべてのインシデントについて最初に連絡する窓口を1人にすることも検討してください。

14.7 ユーザーに対して、企業資産にセキュリティ更新プログラムが欠落しているかどうかを特定して報告する方法を教育します

従業員は 自分のシステムをテストし、ソフトウェアのパッチ が古くなっている場合や、 自動化ツールおよびプロセスに問題がある場合も報告できる必要があります。また、更新を受け入れるか拒否する前に、更新が必要かどうか、そしてその更新がシステム上の現在のソフトウェアで正常に動作するかどうかを確認するために、いつ IT 担当者に連絡すべきかも理解しておくべきです。

14.8 従業員に対して、不正／不安全なネットワークに接続して企業データを送受信することの危険性を教育します

誰もが、不正／不安全なネットワークに接続することの危険性を認識している必要があります。リモートワーカーには、家庭内ネットワークが安全に設定されていることを確認するための追加トレーニングが必要です。

14.9 役割（職務）に応じたセキュリティ意識とスキルのトレーニングを実施します

ユーザーの役割に応じて セキュリティ意識 とスキルのトレーニングを調整することで、より効果的で魅力的になります。たとえば、スピアフィッシング（spear phishing）やホエールハンティング（whaling）攻撃の標的になりやすい高優先度の役職に対して、より高度なソーシャルエンジニアリングの意識向上トレーニングを導入することを検討してください。

概要

CIS Control 14 で詳しく示されているとおりに、セキュリティ意識とスキルのトレーニングを体制化することで、組織のサイバーセキュリティを強化することに役立ちます。実際、効果的で定期的なトレーニングを提供することで、壊滅的なデータ侵害、知的財産の窃盗、データ損失、物理的な損害、システムの混乱、ならびにコンプライアンス違反に伴う罰金の防止につながります。