国家、ハクティビスト、犯罪組織など、あらゆる方面からサイバー攻撃が仕掛けられる中、ロシアによるウクライナ侵攻を受けて、各組織は自組織を守るために手持ちのあらゆる手段を駆使する必要があります。 その中には、彼らの関係者も含まれます。
組織が数百万ドル相当のツールを保有していても、たった一人の人がリンク をクリックしたり、 パッチが適用されていないデバイスを稼働させたりするだけで、それらすべてが機能しなくなる可能性があります。
そこで、アリゾナ州では大きな転換を図りました。
昔から言われる格言は、今もなお真実です。「予防は治療に勝る」ということです。 私がアリゾナ州のサイバーセキュリティ戦略の策定に携わった際、同州が最初に行った政策変更の一つは、すべての州職員に対し、毎年、サイバーセキュリティに関する基礎的な知識と意識向上のための研修を実施することでした。
彼らは、 の適切なサイバー衛生管理の基本を学びました。。 彼らは、見知らぬリンクをクリックする前に一度考えるよう指導されていました。 彼らは、 のフィッシング攻撃（ ）の次の被害者にならないための方法を学びました。
こうした準備を経て、当方の警備チームの人員を、州職員 36,000 名全員に拡大いたしました。 彼らは全員、サイバーチームの一員でした。 彼らは皆、サイバー攻撃からの防御を担当していました。
「セキュリティ」という概念の拡大
アリゾナ州では、セキュリティが州政府の文化全体に浸透していました。 。 私たちは、セキュリティチームが、閉ざされた扉の向こうで活動するような秘密主義的な集団であり続けることを望まなくなりました。 私たちは、州の職員の方々に、私たちが彼らのパートナーであることを理解していただきたいと考えていました。
「セキュリティは州政府の文化全体に浸透していました。」 私たちは、セキュリティチームがこれほど秘密主義な集団であり続けることを望まなくなりました。”
もし従業員の方々が何か疑問を抱いた場合、私たちが真っ先に連絡先として思い浮かぶ存在でありたいと考えていました。 たとえインシデントの報告をすべきかどうか迷っていたとしても、不審な点があればすべて調査し、従業員がネットワーク全体を危険にさらしていないことを確認していました。
このような取り組みを行っているのはアリゾナ州だけではありません。 他の州でも、職員全員を対象とした包括的なサイバーセキュリティ研修を開始し始めているようです。
[関連記事：州政府および地方自治体にとって、サイバーセキュリティの向上への道は、適切なサイバー衛生管理から始まります]
組織の強さは、その最も弱い部分によって決まります。 アプリケーションの開発、給与計算、あるいは
契約書の作成など、どのような作業を行う場合でも、なぜ自分が
攻撃の標的となる可能性があるのかについて、常に意識しておく必要があります。 悪意のある者が、それらをどのように悪用しようとする可能性があるのか、彼らは知っておく必要があります。
従業員への教育は、組織の安全性を高めます
アリゾナ州では、サイバーセキュリティ研修は、ハラスメント防止研修を受けるのと同じくらい日常的なものとなりました。 また、参加者が研修を修了したかどうかを確認するためにモニタリングを行いました。 もしそうしなかった場合、ネットワークから切断される可能性があります。 それほど重要なことだったのです。
「[この件は] 局長レベルにまで上がりました。」 研修を受講しなかった場合、その人のアクセス権や権限が取り消される可能性があります。”
そして、その影響は取締役レベルにまで及びました。 たとえその人がどんなに忙しく、重要な立場にあったとしても、サイバーセキュリティもまた非常に重要でした。 研修を受講しなかった場合、その方のアクセス権や権限は
で取り消される可能性があります。
単なる年次研修イベントにとどまらず、 同じメッセージを伝えるためのさまざまな方法についても検討しました。 例えば、チームイベントの合間に流せる短い動画クリップをご用意しました。
[関連記事：ハイブリッドワーク環境下でセキュリティ運用を成功させる 4 の簡単な方法]
結局のところ、サイバーセキュリティ研修は、その場限りの対策にとどまってはならないということがわかりました。 その設計は、誰もが常にセキュリティを最優先に考えられるようにしなければなりません。