サイバーセキュリティ成功の鍵は「人的要素」にあり

相互接続可能なデジタルデバイスの数が増えるにつれ、サイバーセキュリティの複雑性は指数関数的に高まっています。相互依存するコンピューターインフラが今日のほぼすべての組織を支えているため、デジタルデータの保護は不可欠となっています。

調査対象CEOの37％が、重大なリスクは拡張ビジネスと主要エンタープライズパートナーの中にあると回答しています。予防措置だけではもはや十分ではありません。新しい環境は、警戒的な監視と創造的なイノベーションを要求します。すべてのステークホルダーの参加が必要です。

人的要素が鍵を握る

従業員をいかに審査し、訓練し、装備するかが、あなたのサイバーセキュリティシステム、顧客とパートナーからの評判、そしておそらくビジネスそのものを成否を分けます。

C-suiteの89％が従業員は責任を持って情報を守ると信じている一方で、22％は従業員がオフサイトデータポリシーを認識していないと答えています。最もリスクが高いデバイスは、会社携帯電話（50％）、会社ノートPC（45％）、USBストレージデバイス（41％）です。

A.T.カーニーのレポート「2018 Views From the C-Suite」によれば、85％の企業が昨年セキュリティ侵害を経験しました。そのうち、サイバーセキュリティ戦略を策定・実装したのはわずか40％です。

従業員へのフォーカスに加え、サプライチェーン全体を巻き込むことが重要です。企業リーダーが挙げる、実行可能なサイバーセキュリティを確保するための4大戦術は：

• 包括的な情報セキュリティ対策
• 高度なスキルを持つITプロフェッショナルの採用
• サイバーセキュリティ行動分析
• 従業員トレーニングプログラム

新しいパラダイム：関与、説得、教育、転換、報酬

サイバーセキュリティの新しいパラダイムは、関与し、説得し、教育し、転換させ、報酬を与えることです。エンドユーザーはしばしば非協力的、コントロール嫌い、行動変容を拒むと不当にステレオタイプ化されます。同時に、彼らはサイバーセキュリティの最も弱いリンクです。深い技術的専門家でさえ、訓練の行き届いていない一般ユーザーと同様に脆弱になり得ます。

実例：南米の無線通信事業者での取り組み

数年前、南米の無線通信事業者のCISOとして、増え続けるデータ漏洩の削減を任されました。ある上級幹部は、セキュリティポリシーの強権的な施行を推奨しました。エンドユーザーはセキュリティに非コミットで、内部統制改善キャンペーンにも無反応だというのです。

私は逆張りのスタンスを取りました。経験から、実行可能な解決策を作るには、ポリシー、テクノロジー、決定によって影響を受ける「すべてのステークホルダー――個々の個人」を巻き込む必要があり、取締役会に座る人々だけではないと確信していたからです。

エンドユーザーを罰し、統制の施行のみに焦点を当てる代わりに、従業員との一連のミーティングを開き、ベストプラクティスを共有し、ペインポイントを特定し、セキュリティツールの適切な使用方法についてステップバイステップのガイダンスを提供しました。

多くのセキュリティポリシーが、一連の合併により時代遅れになっていることが判明しました。さらに、ユーザーは煩雑な30日パスワード有効期限ポリシーに対処するため、アクセスコードを付箋紙に書いていました。悪意ある人々がそれにより不正アクセスを得ていました。

従業員からのフィードバックに基づき、ポリシーを更新し、手順と基準を書き直して、それらを適切で明確なものにしました。スコアカードで進捗を追跡し、報酬制度を導入しました。データ漏洩は減少し、ユーザーとセキュリティ部門の間にフィードバックループが確立され、プログラムの適切性が維持されるようになりました。エンドユーザーはプロセスに組み込まれ、潜在的問題を発見するための教育ループが設けられました。

この経験は、罰するのではなく、関与、教育、転換、報酬に依拠するステークホルダー中心かつ人間中心の設計プロセスが、最も包括的で持続可能なサイバーセキュリティソリューションを生み出すことを再確認させました。

J.エドゥアルド・カンポス氏は、コンサルティングファームEmbedded-Knowledge Inc.を率いています。