企業のサイバーセキュリティに対する最大の脅威は、インターネットの暗い隅に潜む影のハッカーではないかもしれません。隣のキュービクルに座っている善意の従業員、または自宅から離れた場所にいる従業員である可能性があります。悪意のある内部関係者は確かに存在しますが、最も一般的なサイバーセキュリティ侵害は、単に仕事をしようとしている従業員による微妙で意図しない行動から生じることがよくあります。これらの一見無害な近道や回避策は、セキュリティ防御に大きな穴を開け、機密データを無防備な状態にする可能性があります。 内なる静かな脅威 人間は習慣と利便性の生き物です。複雑または面倒なセキュリティ対策に直面すると、私たちはしばしば最も抵抗の少ない方法を求めます。この創意工夫は仕事の多くの側面で価値がありますが、サイバーセキュリティに関しては、多くの場合、もたらされるリスクに気付かないまま、不利になる可能性があります。これは、一見無害に見えても、最も堅牢なセキュリティ システムさえ危険にさらす可能性のある行動につながる可能性があります。 セキュリティを回避する方法 個人用デバイスの使用 「個人所有デバイスの持ち込み」(BYOD) のトレンドにより、私生活と仕事の境界線があいまいになっています。従業員は、ファイアウォールや監視ツールなどの企業のセキュリティ制御を回避して、スマートフォン、タブレット、ラップトップを仕事に頻繁に使用します。従業員は個人のスマートフォンを使用して機密文書を撮影したり、許可されていない画面録画ソフトウェアを実行したり、セキュリティ保護されていない Wi-Fi ネットワークにアクセスしたりすることができ、重大なデータ漏洩につながる可能性があります。リモート ワークでは、従業員がデバイスや作業環境をより自由に管理できるため、このリスクが増大します。 クラウド ストレージ サービス Google Drive、Dropbox、OneDrive などのクラウド ストレージ サービスは、ファイルを共有するのに便利です。しかし、従業員はこれらのサービスを使用して会社の機密データを個人アカウントにアップロードし、そのデータを保護するために導入されたセキュリティ対策を事実上回避することができます。これは悪意なく行われる場合もありますが、重大なデータ漏洩につながる可能性があります。 パスワードの落とし穴 パスワードはサイバーセキュリティの要ですが、最も弱いリンクであることも少なくありません。物事を簡素化したいのは人間の性であり、パスワードも例外ではありません。従業員は複数のアカウントでパスワードを再利用したり、簡単に推測できるパスワードを選択したり、同僚と共有したりすることがあります。さらに、パスワードを個人のデバイスに安全でない方法で保存したり、弱い認証方法を使用したりしている場合もあります。これらの慣行により、攻撃者は機密性の高いシステムやデータに簡単に不正アクセスできるようになります。 便利さの誘惑 ファイアウォール、ウイルス対策ソフトウェア、データ損失防止 (DLP) ツールなどのセキュリティ対策は不可欠ですが、不便であったり生産性を妨げたりするとみなされることもあります。従業員は、業務を効率化するために、セキュリティ機能を無効にしたり、許可されていないソフトウェアを使用したり、承認されていないチャネルを通じてデータを転送したりすることがあります。これらはすべて効率化の名の下に行われています。 許可されていないソフトウェアの使用 従業員が会社のデバイスに許可されていないソフトウェアやアプリをダウンロードし、セキュリティ チェックを回避してマルウェアを持ち込む可能性があります。このような行為は、生産性や利便性の向上を目的に行われることがよくあります。 フィッシングリンクをクリックする フィッシング攻撃は、人間の好奇心や信頼を食い物にする、依然として蔓延している脅威です。定期的なトレーニングを受けても、巧妙に作成された電子メールの被害者になったり、悪意のあるリンクをクリックしたり、機密情報を漏らしたりする可能性があります。一瞬の判断ミスで悪意のあるリンクをクリックすると、攻撃者がネットワークに足がかりを与える可能性があります。 データ損失防止（DLP）制御の回避 従業員は、個人のメール アカウントやクラウド ストレージ サービスを使用するなど、承認されたチャネル以外でデータを転送する方法を見つける場合があります。これは、従業員がリモートで作業したり、情報を迅速に共有したりする必要がある場合に発生する可能性があります。 ウェアラブルテクノロジー スマートウォッチなどのウェアラブル デバイスは、少量の機密データを保存および転送するために使用できます。これらのデバイスは、セキュリティ ポリシーで見落とされがちです。スマートウォッチ、フィットネス トラッカー、その他のウェアラブル デバイスは、位置情報、会話、さらにはキー入力など、驚くほど多くのデータを収集および転送できます。多くのスマートウォッチは、写真を撮影することもできます。適切に保護されていない場合、これらのデバイスはデータ流出の潜在的な手段となる可能性があります。 承認されていないファイル転送プロトコル (FTP) サーバー 従業員は、大量のデータを転送するために、承認されていない FTP サーバーを設定または使用する場合があります。これらのサーバーは、IT セキュリティによって監視されていない場合、簡単に見落とされる可能性があります。   Wi-Fiテザリング 個人のモバイル デバイスを Wi-Fi ホットスポットとして使用すると、従業員は企業のファイアウォールやその他のセキュリティ対策を回避して、企業のデバイスをセキュリティ保護されていないネットワークに接続できるようになります。 ステガノグラフィーの使用 ステガノグラフィーでは、画像や音声ファイルなどの他のファイル内にデータを隠すことができます。従業員は、一見無害なファイル内に機密情報を埋め込むことができるため、不正なデータ転送を検出することが困難になります。 プリンターとスキャナーの悪用 従業員はオフィスのプリンターやスキャナーを使用して機密文書のデジタルコピーを作成できます。スキャンした文書は、デジタルセキュリティ対策を回避して電子メールで送信したり、個人のデバイスに保存したりできます。 ソーシャルメディアチャンネル ソーシャル メディア プラットフォームは、データ漏洩の別の手段となります。従業員はソーシャル メディア プラットフォームのダイレクト メッセージ機能を使用して機密情報を共有できます。企業のセキュリティではこれらのチャネルを監視していないことが多いため、データの流出に悪用される可能性があります。 リモートデスクトッププロトコル リモート デスクトップ ソフトウェアにアクセスできる従業員は、自宅やその他の遠隔地から職場のコンピューターに接続できます。適切に保護されていない場合、このアクセスを使用して機密データを企業ネットワーク外に転送できます。 スクリーン録画ソフトウェア 従業員は、許可されていない画面録画アプリを使用して機密情報を取得し、機密データを誤って公開する可能性があります。 リモートワークの台頭: データ盗難の新たな領域 リモートワークへの移行は、柔軟性と利便性を提供する一方で、データ盗難の機会も拡大しています。IT 部門の監視や物理的なセキュリティ対策から離れた場所では、従業員が個人のデバイスを使用してセキュリティ プロトコルを回避する機会が増えています。機密情報をすばやく撮影したり、機密会議を録画したり、ファイルをセキュリティ保護されていない個人のクラウド ストレージに転送したりする場合でも、監視と制御が本質的に難しいリモート環境ではリスクが増大します。 根本原因への対処 従業員がセキュリティ対策を回避してしまう理由を理解することは、効果的な解決策を見つける上で非常に重要です。一般的な理由としては次のようなものがあります。 : 複雑なセキュリティ対策は生産性を低下させる可能性があります。従業員はタスクを効率化するための回避策を探す場合があります。 不便 : 従業員は、自分の行動に関連するリスクやセキュリティ プロトコルの重要性を十分に理解していない可能性があります。 認識不足 : 従業員がセキュリティのベストプラクティスに関する適切なトレーニングを受けていない場合は、脅威を特定したり対応したりする方法を把握していない可能性があります。 トレーニングが不十分 : 定期的に更新されていないセキュリティ ポリシーでは、最新の脅威やテクノロジに対応できない可能性があり、従業員が悪用できる抜け穴が残ってしまいます。 古いポリシー リスクの軽減: 多層アプローチ 人的要素はサイバーセキュリティにとって大きな課題ですが、克服できないものではありません。従業員がセキュリティ対策を回避できる微妙な方法を理解することで、リスクに対処するための積極的な対策を講じることができます。 強力なアクセス制御を実装する 職務に基づいて機密情報へのアクセスを制限することは非常に重要です。最小権限の原則を適用することで、従業員は自分の職務に必要なデータにのみアクセスできるようになります。不正アクセスを防ぐために、アクセス制御を定期的に確認して更新してください。 活動の監視と監査 監視ツールを使用してユーザー アクティビティを追跡し、異常を検出すると、潜在的な脅威を特定するのに役立ちます。定期的な監査により、異常なパターンや動作が明らかになります。自動アラートにより、疑わしいアクティビティがセキュリティ チームに通知され、迅速な介入が可能になります。異常なパターンを特定するには、ユーザーおよびエンティティの動作分析 (UEBA) ソリューションの導入を検討してください。 定期的かつ適切な従業員研修 サイバーセキュリティのベストプラクティスとセキュリティ対策の回避に伴うリスクについて従業員を教育するには、定期的なトレーニングセッションが不可欠です。フィッシング攻撃の見分け方、機密データの取り扱い方、疑わしい活動の報告方法を教えましょう。セキュリティ意識の文化を醸成することで、意図しない脅威を大幅に減らすことができます。 データ損失防止 (DLP) ツール 機密データの移動を監視および制御する DLP ツールを実装すると、組織内外での不正な転送を検出して防止するのに役立ちます。 明確で簡潔な更新されたポリシー すべての従業員が簡単にアクセスできる、明確で簡潔、かつ最新のセキュリティ ポリシーを作成します。これらのポリシーが定期的に伝達され、施行されるようにしてください。 モバイルデバイス管理 (MDM)  MDM ソリューションは、仕事用に使用されるモバイル デバイスを保護できます。これらのツールは、セキュリティ ポリシーを適用し、アプリのインストールを制御し、デバイスが紛失または盗難にあった場合にデータをリモートで消去します。また、スクリーンショットの過度の使用や Bluetooth 転送などの異常なアクティビティも監視します。 堅牢なインシデント対応計画を策定する 明確に定義されたインシデント対応計画があれば、セキュリティ侵害が発生した場合でもチームが迅速かつ効率的に行動する準備ができます。この計画を定期的に更新してテストし、新たな脅威や脆弱性に適応してください。 ユーザーフレンドリーなセキュリティ 使いやすく、生産性を妨げないセキュリティ対策を設計します。シングル サインオン、パスワード マネージャー、直感的なセキュリティ ツールを実装して、従業員がベスト プラクティスに簡単に従うことができるようにします。 ポジティブな強化 セキュリティ上の懸念を報告し、ベスト プラクティスに従った従業員に報酬を与えます。セキュリティは全員の責任であり、従業員は何かおかしいことに気付いたときに声を上げることができると感じられる文化を作りましょう。 コンプライアンス フレームワークの活用: サイバーセキュリティの基盤 SOC 2、HIPAA、NIST CSF、   、  などの業界固有のコンプライアンス フレームワークを遵守することで、サイバーセキュリティ プログラムの強固な基盤を確立できます。これらのフレームワークは、意図的か意図的でないかにかかわらず、内部脅威のリスクを軽減できるセキュリティ制御を実装するためのガイドラインを提供します。これらのコンプライアンス フレームワークの複雑さに対処するのは困難な場合がありますが、経験豊富な監査人がプロセスを合理化し、組織が必要な要件を満たしていることを確認できるよう支援します。 Publication 1075 FISMA 専門家の指導の役割 内部脅威に対処するには、専門知識と技術が必要です。Audit  のチームは、   、   、   、およびその他のコンプライアンス フレームワークを専門としています。当社は、内部脅威を特定して軽減し、ビジネスの安全性を確保するためのカスタマイズされたソリューションを提供します。 Peak SOC 2 HIPAA NIST CSF 行動の時 セキュリティ侵害によって組織の脆弱性が明らかになるまで待たないでください。従業員がセキュリティ対策を回避できる微妙な方法を理解することで、リスクに対処するための積極的な措置を講じ、より強力なセキュリティ文化を構築できます。 サイバーセキュリティを次のレベルに引き上げる準備ができたら、今すぐ にお問い合わせください。当社の経験豊富な監査チームが、現在のセキュリティ体制の評価、改善領域の特定、組織を内側から保護するための効果的な制御の実装をお手伝いします。一緒に、従業員がサイバー犯罪との戦いで最大の資産となるように、セキュリティ意識の高い文化を構築しましょう。 Audit Peak 私たちはあなたのコンプライアンスを最高レベルに引き上げます。

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

2022 - HackerNoon Contributor of the Year - Diversity

We Will Take Your Compliance To The Peak

Nominated for 2022 - HackerNoon Contributor of the Year - Diversity

このオーディオは、ストーリーの元の言語で制作されています。

内部犯行：従業員がセキュリティ対策を巧妙に回避する方法

About Author

コメント

ラベル

この記事は

Related Stories

暗号通貨の成長: 効果的なユーザーペルソナの作成

HackerNoon Coded: HackerNoonが最も活発に活動している上位10カ国

Telegram: クリプト島と本土を結ぶ橋

目に見えない層: ユーザーインタビューがかけがえのない資産である理由

暗号通貨の成長: 効果的なユーザーペルソナの作成

HackerNoon Coded: HackerNoonが最も活発に活動している上位10カ国

Telegram: クリプト島と本土を結ぶ橋

目に見えない層: ユーザーインタビューがかけがえのない資産である理由

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps