セキュリティの
学び場

性弱説に基づいたセキュリティ対策の仕組化について

従業員のセキュリティに対するリテラシを高めることは重要ですが、組織として性弱説に基づいたセキュリティ対策の仕組化も併せて検討するべきであると考えます。

NPO日本ネットワークセキュリティ協会が発表した「2018年情報セキュリティインシデントに関する調査結果」で、紛失や誤操作などのヒューマンエラーによる漏洩件数は全体の半数以上であることから、従業員の意識を向上させることで情報漏洩の半数以上は防ぐことができると考えられます。Pマークの規格であるJIS Q 15001:2017では、個人情報保護について従業員が理解できるように、教育を実施することが求められています。具体的な方法としては、eラーニングや集合研修などが挙げられ、内容を理解したことを確認するためのテストも必要とされています。

しかし、人は弱い生き物であるという「性弱説」に基づいた考え方もセキュリティ対策には必要です。属人的なセキュリティ対策の場合、セキュリティ対策自体が形骸化してしまったり、個人による判断でブレが生じてしまったりする可能性があります。セキュリティ対策が形骸化していないか確認する方法として、擬似マルウェアが添付されたメールを従業員に送付する標的型攻撃のメール訓練が挙げられます。メールを経由したインシデントが多い中で、怪しい添付ファイルは開かないというセキュリティのルールが形骸化していないか確認することが可能です。

その他にも様々な取り組みを仕組化して属人性を排除することで、安定したセキュリティ対策を実施しましょう。