組織全体に強固なセキュリティ文化を構築する

理想的には、トレーニングは継続的な取り組みであるべきです。日常業務にサイバーセキュリティトレーニングを組み込むアイデア：

• サイバーセキュリティを会社の重要目標として定期的に強調する。
• 毎回の会議にサイバーセキュリティのヒント、コツ、リマインダーを1つ組み込む。
• 職場に適切なセキュリティ実践についてのリマインダーを掲示する。
• 従業員がより良いセキュリティ判断を下しやすくするプロセス改善について議論する定例会を開催する。

良い従業員サイバーセキュリティトレーニングのあり方について多くの研究があります。一般的に、頭字語「RAINSTORMS」で要約できます。はい、今考案しました。

• Real（現実的）： 実例ケーススタディや現実的シナリオで教訓を身近に。
• Actionable（即実行可能）： 従業員が即座にできることを含める。パスワード変更、IT資産棚卸し、インシデント報告先の連絡先をスマホに登録など。長期宿題も適切な場合があるが、即時目標があると常に有益。
• Interactive（双方向）： ロールプレイ、少人数ディスカッション、ハンズオン演習でインタラクティブに。理想的には、全管理レベルを含む双方向会話で、全員が同じ責任を持ち、同じページにいることを確認。
• New（新鮮）： 特にポリシーでは多少の反復は適切だが、マンネリ化させない。異なる形式（講義、ロールプレイ、動画等）で新鮮さを保つ。
• Small（小さく）： 一口サイズの情報は、コンピュータサイエンス学位並みの情報を強制するより消化しやすい。一度に一つのトピックが一般的。
• Testable（検証可能）： サイバーセキュリティトレーニングに測定可能・検証可能な目標を設定。一般意識向上ならクイズ開発。フィッシング対策が目標なら、イベント前後数週間で偽フィッシングメール送信し、効果測定。
• Owned（主体的）： トレーニング後、従業員がオーナーシップと「サイバーセキュリティは自分の責任」を感じ、良い判断を下せるようエンパワーされるべき。
• Relevant（適切）： 多くの企業に多様なユーザータイプが存在。ユーザータイプごとにトレーニングを調整すればより現実的。ショップフロア従業員とオフィス従業員で別トレーニング等。
• Memorable（記憶に残る）： 頭字語、語呂合わせ、または私の個人的お気に入り、ユーモアを活用。人間は面白いこと——ダジャレ、酷いミュージックビデオ、猫のバカバカしいミーム——を退屈な講義より覚えます。型破りで楽しいことを恐れないで。
• Simple（シンプル）： 何より、トレーニングはシンプルであるべき。専門用語満載の過度に技術的なレッスンは、人を眠らせるだけ。

National Initiative for Cybersecurity Education（NICE）には、従業員トレーニング支援の無料・低コストリソース小リストがあります。オンラインにも多数の追加リソースがあります。検索すれば大量のオプションが見つかります。上記RAINSTORMSテンプレートでそれらを評価してください。

10月を通じて、NIST MEPはNational Cybersecurity Alliance（NCSA）が提供するテーマとアウトラインに沿ったブログシリーズを投稿します。今年のテーマは「Do Your Part. #BeCyberSmart.」 個人的に自画自賛のハッシュタグは好きではありませんが、今月ツイートやブログでサイバーセキュリティについて発信するなら、#BeCyberSmartハッシュタグを検討してください——どこまで広がるか見守りましょう。

NCSAのアウトライン：

• 10月5日週（第1週）：繋ぐなら、守れ
• 10月12日週（第2週）：自宅と職場でのデバイス保護
• 10月19日週（第3週）：医療分野のインターネット接続デバイス保護
• 10月26日週（第4週）：接続デバイスの未来

どこから始めればよいか不明な場合、効果的なサイバーセキュリティトレーニングプログラム実装方法について、地域のMEPセンターにご相談ください。NIST MEPウェブサイトで製造業向けサイバーセキュリティリソースもご利用いただけます。

このブログは、国家サイバーセキュリティ意識向上月間（NCSAM）向けシリーズの一環です。シリーズ他記事：Zane Patalive「繋ぐなら、守れ」、Pat Toth「疑わしい心：ビジネスがハッキングされた非技術的兆候」、Jennifer Kurtz「インターネット接続医療機器のセキュリティ」、Erik FoglemanとJeff Orszak「接続デバイスの未来」。