インサイダーリスクの管理には「完璧」ではなく「多層的な保護」が必要

ニック・カルバートソン、プロテナス共同創設者兼CEO

IT およびセキュリティの専門家にとって、サイバーセキュリティ インシデントは避けられないという事実は、受け入れるのが最も難しいことの 1 つです。

「完璧なシステムなど存在しない」とプロテナスの共同創業者兼 CEO のニック・カルバートソン氏は語る。「唯一の完璧なシステムは、電源プラグを抜いて施錠し、コンクリートで覆ったシステムだ。それでも、誰かが侵入できるのは確かだ」

これは恐ろしい話のように聞こえるかもしれませんが、攻撃に対する防御を成功させるためにリーダーが受け入れなければならない現実です。また、従業員全員が組織の安全に対する脅威であることを認識することも重要です。

「これまで発生した多くの大規模なデータ侵害で見てきたように、内部関係者は、脆弱なアクセス制御やフィッシング攻撃などを通じてハッカーが侵入するための媒介となるため、リスクをもたらします」と同氏は指摘。「その周囲に何層もの保護層と制御が確実に存在するようにすることが重要です。」

期間中 パネル・ディスカッションカルバートソン氏と共同パネリストのブライアン・ケイヤー氏（南カリフォルニア大学ケック・メディシンの CISO）およびニコール・ブラウン氏（シティ・オブ・ホープのプライバシー マネージャー）は、リスクの特定からアクセス管理、他部門との連携まで、強固なサイバーセキュリティ戦略の重要な要素について話し合いました。

基礎をマスターする

カルバートソン氏によると、それは基礎から始まります。「コンプライアンス、プライバシー、リスクについて考えるとき、最も洗練されたツールを見つけることは重要ではありません。基本をマスターすることが重要です」と彼は言います。見出しを飾る事件は、「こうした基本が整っておらず、基礎に適切な管理がないときに発生します」。

Cayer 氏によると、内部者による脅威には、悪用/エラー、詐欺、知的財産の盗難、IT 妨害の 4 種類がありますが、最も懸念されるのは最初の脅威です。「内部者とは、単にポリシーや手順を理解していない、誤った情報を与えられた従業員である可能性があります。」その結果、正しい情報や認証情報を間違った人に送信してしまい、大騒動を引き起こす可能性があります。

「考慮すべき要素は実に多岐にわたります」とブラウン氏は言う。「捜査をするとき、私は常に意図に注目します。何かを残したり、情報を盗んだりする意図があったのか、それともまったくの偶然だったのか？」

ブライアン・ケイヤー、南カリフォルニア大学ケック・メディカル校 CISO

ケイヤー氏によると、ここでアクセス管理と権限審査の能力が重要になります。「結局のところ、ポリシーと手順は何か、そして個人にどの程度のアクセス権限を与えるかが問題です」と同氏は指摘し、「それはカスタマイズされるべきです。従業員全員に同じレベルのアクセス権限を与えるべきではありません」と付け加えました。

ゼロトラストポリシー

これを確立するには、IT、セキュリティ、コンプライアンス、プライバシー、人事など、部門間の連携が必要です。「チーム間で緊密な協力関係を構築し、『ここで何が起こっているのか? 保護レベルを高めるために何をしているのか?』と問いかけることが重要です。」

ケイヤー氏によると、その保護は従業員が雇用される前から始まっている。同氏は、人事部門が従業員を審査し、従業員が抱えている懸念を伝える上で重要な役割を果たすことができると考えている。「従業員がなぜ前の職を辞めたのか。それが、リスクを負わないようにするための大きな要素です」と同氏は述べた。

身元調査で危険信号が明らかになることもあるが、明らかにならないこともたくさんあるとブラウン氏は指摘する。「それは、面接プロセスの手順をどれだけきちんと定義しているかにかかっています」。シカゴのルーリー小児病院では、同氏は最近シティ オブ ホープに移る前に 3 年間リーダーとして勤務したが、同氏のチームは、発見内容に応じて、どの点を分析し、どのように進めるかについて具体的な指示を受けていた。現在の状況を踏まえ、同氏はゼロ トラスト環境を採用するようアドバイスした。「誰もが危険にさらされていると想定してください」。

そして、従業員の継続的な身元調査の増加を目の当たりにしてきたカルバートソン氏は、そのリスクは採用されたからといってなくなるわけではないと語り、その「継続的な監視」が重要な基盤になっていると指摘した。

運転メッセージ

IT、セキュリティ、コンプライアンス、プライバシーと連携する必要があるもう 1 つの部門はマーケティングです。この部門は、インシデントが発生するずっと前から確立しておく必要があります。「私たちは間違いなくマーケティングと緊密に連携しています」とブラウン氏は言います。「現在、このような侵害が相次いでいる現状を考えると、マーケティングがこれらすべてにおいて自らの役割を理解し、より大きなチームの一員として私たちと連携することが重要です。」

彼女が言うには、IT チームとセキュリティ チームが定期的に実施する机上演習やシナリオの通し練習について、マーケティングとコミュニケーションを彼らに「取り入れ」、彼らがさまざまな役割、責任、手順を理解していることを確認するということです。「『これらの指標が見られます。これが起こっているのがわかります』と言える必要があります」と彼女は言います。「そのメッセージを確実に伝えましょう」

ニコール・ブラウン、シティ・オブ・ホープ、プライバシーマネージャー

会議やイベントを開催したり、マーケティングニュースレターにサイバーセキュリティのスペースを確保したりすることでも実現できるとブラウン氏は付け加えた。「これは、組織内で意見を表明するための優れた方法です。」

カルバートソン氏によると、チーム間のコミュニケーションは、たとえ頻繁に行われなくても、非常に重要だという。「私は、このパートナーシップという考え方を本当に信じています」と同氏は言う。「各役割は独立して働くこともできますが、創造性を発揮し、互いにサポートし合う方がはるかに効果的です。」また、インシデントが発生した場合でも、すでに信頼関係が築かれているため、組織は事業継続計画を迅速に実行できる。

「レイヤーについて考える」

これらはすべて、組織が導入すべき「階層型セキュリティ アプローチ」の一部であると、同氏は付け加えた。「暗号化や MFA を導入しているからといって、すべてがうまくいくと単純に思い込むことはできません。違いを生むのは、階層の包括性です」。プロテナスは外部からの脅威を専門としているわけではないが、同社のコンプライアンス分析プラットフォームは、「従業員の認証情報が侵害され、突然、臨床業務から大きく逸脱して、データのダウンロードやデータの流出といった、ある種の侵害行為へとパターンが変化する、さまざまな種類のフィッシング攻撃」を検出したと、カルバートソン氏は述べた。「これらすべての階層について考えることが本当に重要です」。

Cayer 氏によると、もう 1 つの重要なステップは、セグメンテーションを実行する能力です。これにより、イベントが発生した場合にリーダーが影響を最小限に抑えることができます。彼のアドバイスは? 「リスク領域を全体的に見て、どのような種類の制御を実施しているかに焦点を当て、脅威のモデリングを行い、それらのレベルの制御を構築するために必要な適切な変更を決定します。」

ニアミス

カルバートソン氏は、こうした状況の中で、リーダーが絶対に犯してはならないミスは、最も悪質な行為に全力を注ぎ、その結果、リスクの低い事件を無視することだと指摘した。プロテナスの調査を通じて、「最も悪質な行為をする人は最初から悪質なわけではないことがわかった」と同氏は述べた。「彼らは時間をかけてそうした行為を積み重ねていくのだ」

個人を注意深く監視し、インシデントを捕捉することで、組織は現場で修復を行うことができ、これは非常に有益であることが証明されています。「従業員に連絡して『あなたがこれをしたことに気づきました』と言って、それがポリシー違反であることを思い出させるだけで済むこともあります。99 パーセントの確率で、建設的な結果が得られます。」

一方、事故が認知されなかった人は、再び事故を起こす可能性が 70 パーセントあるとカルバートソン氏は言う。「これは、従業員を教育する絶好の機会です」また、全体的なセキュリティも向上させる。

ブラウン氏もこれに同意し、リーダーたちにニアミスを有効活用するよう促した。「ニアミスはプロセスを見直し、さらなる啓発キャンペーンを実施するチャンスです」とブラウン氏は語った。さらに、ニアミスは起こり得る問題のバロメーターとして機能し、リーダーたちは問題が大きな出来事になる前に対策を講じることができる。

最後に、カルバートソン氏は、すべての出来事が重要であるものの、「事件や調査のきっかけとなるのは 1 つの出来事ではなく、複数の出来事の組み合わせである」ということを忘れてはならないと強調した。「堅牢な階層的アプローチ」と強力な対策を講じることで、チームはより万全な準備を整えることができる。

このウェビナー「内部者リスクの主な要因の特定と軽減」のアーカイブをご覧になるには、 ここをクリック。