サイバーセキュリティリスクの特定：企業のための実践ガイド

この記事は元々IndustryWeekに掲載されました。ゲストブログ投稿者は、Ohio MEPの南西地域パートナーであるTechSolve, Inc.のグラントプログラムマネージャー、トラシ・スペンサー氏です。

この記事は、「製造業者のためのサイバーセキュリティ」に関する5部構成シリーズの第1弾で、ベストプラクティスを概説しています。これらの推奨事項は、米国製造セクターの標準となった国立標準技術研究所（NIST）サイバーセキュリティフレームワークに従っています。

IBM後援のポネモン研究所による2018年調査によると、データ侵害の世界平均コストは386万ドルです。これは盗まれたレコード1件あたり約150ドルに相当します。中小製造業者なら、この統計は自分には関係ないと思うかもしれません。しかし、レポートで対象となった17業界の中で、最も影響を受けたセクターは金融、サービス、そしてなんと製造業でした。

製造業者は情報セキュリティにリソースを割くことが少ないため、サイバー犯罪者の格好の標的になります。そして、製造施設のたった1台のコンピューター/デバイスがハッキングされるだけで、ネットワーク化された機械、サプライヤー、ディストリビューター、さらには顧客までもがハッキングされる可能性があります。

その他のリスクには：

• ビジネス運営に不可欠な情報の喪失
• 顧客信頼への悪影響
• 規制罰金とそれに伴う法的費用
• 生産性の低下または停止

幸い、国立標準技術研究所（NIST）が開発した、あらゆる規模のビジネスで実装可能なサイバーセキュリティの5ステップフレームワークの助けを借りて、オペレーションを守る方法を学ぶことができます。NISTサイバーセキュリティフレームワークはオンラインで入手可能で、MEPナショナルネットワークの地域代表、すなわち米国製造業の前進のためのゴツーエキスパートによってさらに説明を受けられます。また、「製造業者のためのサイバーセキュリティガイド」（リンクは文書の場所が判明次第追加）もご覧いただけます。これは、製造業者がサイバーセキュリティプログラムを開発するために必要な基本的な実践とツールを提供します。

データセキュリティへの第一歩を踏み出す準備はできましたか？プロセスはリスクの特定から始まります。

情報へのアクセス権を持つ人を管理する

コンピューターアクセスを持つ従業員のリストを作成し、すべてのビジネスアカウント、アクセスタイプ（物理またはパスワード）を含め、使用していないときはすべてのノートパソコンとモバイルデバイスを物理的に保護してください。従業員にプライバシースクリーンを使用させるか、通行人が画面上の情報を見られないようコンピューター画面を配置させ、コンピューターを使用していないときに画面ロックが作動するよう設定させてください。

以下のような無権限者によるコンピューターやシステムへの物理的アクセスを許可しないでください：

• 清掃員やメンテナンス要員
• システムやデバイスで作業する無監督のコンピューター/ネットワーク修理要員
• 従業員によって問われることなくオフィスやショップフロアに入ってくる見知らぬ人物

犯罪者がアンロックされたマシンにアクセスするには数秒しかかかりません。彼らが機密情報を盗みやすい環境を作らないでください。

すべての従業員に対して身元調査とセキュリティチェックを実施する

身元調査はサイバーセキュリティリスクを特定するために不可欠です。コンピューターと会社のシステム・機器へのアクセスを持つすべての採用予定者やその他の人々について、全国規模の全面的な検索を実施すべきです。

これらのチェックには以下を含めるべきです：

• 犯罪経歴チェック
• 性犯罪者チェック
• 信用調査（可能な場合、一部の米国州では信用調査の利用を制限）
• 前職の勤務期間を確認するための推薦状確認
• 学歴・学位確認

自分自身に対する身元調査を実施することも検討してください。知らないうちに身元盗難の被害者になっているかどうかを素早く知ることができます。

各従業員に個別のユーザーアカウントを要求する

データ損失や不正データ操作が発生した場合、各ユーザーの個別アカウントがないと調査が困難です。アクセスを必要とする各従業員と契約者に別々のアカウントを設定し、各アカウントで強力でユニークなパスワードを使用することを要求してください。

特に日常業務に必要でない場合、管理者アクセスを持つ従業員の数を制限してください。施設の訪問者や顧客には、インターネットアクセスのみのゲストアカウントを検討してください。

サイバーセキュリティポリシーと手順を作成する

最初のサイバーセキュリティポリシーを作成するのは困難に思えるかもしれませんが、MEPナショナルネットワークには始めるのに役立つわかりやすいヒントがたくさんあります。また、サイバー法に精通した法律専門家に相談し、ポリシーをレビューしてもらい、地域の法律と規制に準拠しているか確認することも検討してください。

新しいサイバーセキュリティポリシーには以下を含めるべきです：

• 会社情報保護に関する従業員への期待
• 保護が必要な重要リソースと、従業員がその情報をどう保護することを期待するか
• ポリシーを読み理解したことを確認する各従業員からの署名入り同意書

署名済み同意書は各従業員の人事ファイルに保管してください。ポリシーを年1回以上見直し、会社のテクノロジーに変更があったときは更新してください。その後、サイバーセキュリティポリシーを使って、新入社員に情報セキュリティ責任を教育し、すべてのビジネスオペレーションの許容慣行を設定できます。

リスクの特定とリソースの評価方法を学びました。次はそれらを保護する方法を考える番です。MEPナショナルネットワークの5部構成「製造業者のためのサイバーセキュリティ」シリーズ第2部では、サイバー脅威から貴重なデータと情報を守る主要ステップを説明します。