デジタルマーケティング担当者のための部門横断サイバーセキュリティ研修

イントロ

サイバー犯罪者は数も創造性も進歩している。2023年には、消費者も企業もサイバー犯罪によって1,250万ドル（約12億2,000万円）の損失を被った。

さらに、2023年はサイバー攻撃の史上最高記録であり、その量は2021年（これまでの最多記録保持者）から72％増加したとのデータもあることから、この数は今後も増え続けることが予想される。注目すべきは、このような侵入の原因は通常ありふれたものであり、電子メールによる攻撃は最も一般的なものの1つであるということだ。94％の組織が電子メールマルウェアによる侵害を報告しており、マルウェア攻撃の35％が電子メール経由で配信されているという調査結果もある。

それに比べ、データ漏洩による平均損失額は44億ドルです。別の言い方をすれば、あなたの組織は、たった1通の悪質なメールによって、大金を失うことになるのです。サイバー犯罪者は、残念ながら、テクノロジーの進化とともに、その手口をさらに強化している。

アンスプラッシュ

この数字は恐ろしいものですが、この数字が強調するのは、会社のデータを保護するために会社全体が団結する必要性です。サイバーセキュリティ・ソフトウェアの保守を専門とするチームがあるだけでは十分ではなく、組織全体のチームが日々の業務を通じてサイバーセキュリティのベストプラクティスを知り、実践する必要があるのです。

これは特にマーケティング部門に当てはまる。マーケティング部門は大量の顧客データにアクセスでき、そのデータを日常的に積極的に活用しています。 このため、マーケティング部門はサイバー犯罪者にとって特に貴重なターゲットとなります。経験の浅いインターンや過労のディレクターでさえ、間違った電子メールを開いたり、間違ったリンクをクリックしたり、その他の方法でドアを開けたりすれば、貴社は数百万ドルの損失を被ることになります。顧客はデータを置き忘れた組織にデータを託す可能性は低くなるため、評判が落ちることは言うまでもない。

では、サイバーセキュリティの脅威を回避するために、マーケティング部門をどのように準備すればよいのでしょうか。サイバーセキュリティのプロトコルを全員に徹底させるには何が必要で、プログラムを進める中でチームの進捗をどのように測定すればよいのでしょうか。この記事では、チームを統合戦線に編成し、会社のデータを保護し、サイバーセキュリティの脅威が進化してもそれを回避するのに役立つ実践的なヒントを紹介します。

意識の向上

アンスプラッシュ

チームが認識していない脅威に対処することはできません。マーケティングチーム全体が、サイバー犯罪者が侵入に使用する手口について（基本的なレベルであっても）認識していると考えてはいけません。チームの意識について基本的な監査を行い、一般的なサイバー攻撃に関する知識をテストしましょう：

• マルウェアサイバー犯罪者はどのようにして従業員のコンピュータにマルウェアを侵入させるのでしょうか？この望ましくない侵入を避ける方法はあるのでしょうか？
• フィッシング下部にクリック可能なリンクが記載されたメールを社外から受け取った場合、どうすべきでしょうか？社内からのメールだと主張するものの、同様のクリック可能なリンクがあり、CEOが全従業員にフォームへの入力を求めているような奇妙なメールだった場合、あなたはどうすべきでしょうか？
• ソーシャル・エンジニアリング会社の記録、パスワード、個人情報など、機密情報をウェブを通じて渡すことはある だろうか？もし、社内の人間だと名乗る人物（しかし、あなたには見覚えのない人物）からEメールでこれらの情報を要求された場合、Eメールの正確性を確認するために、どのようなプロトコルに従えばよいでしょうか？

チームの全体的な意識を把握したら、次は自分の役割を果たし、知識の穴を埋める番です。リスクを軽減するためには、意識を高めることが最も重要であり、研修プログラム以外にも、意識を持続させる方法があります。

トレーニング・プログラムも重要ですが（後ほど説明します）、サイバーセキュリティを従業員に毎日意識してもらいたいものです。

• デバイス・ハードニング・プロトコル従業員やその他の社内システム・ユーザーに、パスワードを頻繁に更新するよう義務付けるプロトコルを導入する。古いパスワードを使用しているシステムが1つでもあれば、それはサイバー犯罪者が悪用する可能性のある脆弱性だからだ。しかし、多くの組織では、このステップを「後でやればいいや」という些細なこととして片付けてしまっている。もしあなたの組織がそうであるなら、これは自分自身を守るために最初にできることの一つである。
• エンド・ツー・エンドの暗号化移動中のデータを暗号化できるシステムを導入することは不可欠だが、静止中のデータを暗号化できることも確認する必要がある。従業員は、こうしたシステムの存在とその役割を認識する必要がある。
• パッチ管理オペレーティング・システムが古くなるにつれて、脆弱性が目立つようになり、緊急性が増すことは避けられない。頻繁にパッチを発行し、できるだけ頻繁にデバイスをアップデートするよう従業員に奨励することで、この問題を常に把握しておきましょう。何らかの理由でマーケティング部門の社員がパッチをインストールしない場合、その社員はシステムを攻撃の可能性にさらされていることになります。定期的な更新プロセスを導入し、従業員に責任を持たせることが最も重要である。

従業員の既存の知識を評価し、これらの全社的な慣行を実施したら、次のステップに移る。

徹底したトレーニング・プログラムの実施

アンスプラッシュ

研修プログラムを定着させる鍵は、その場限りのセミナーのように扱わないことだ。サイバー攻撃の危険性について、企業にふさわしいブランディングとピカピカのトランジションを使って、30分間、大学の講義を受けただけでは、誰も、つまり誰も、何も覚えていない。最悪なのは、この極めて重要な講義を人事のチェックリストとみなして、ウィンドウを最小化して仕事に集中することだ。

価値をもたらす研修プログラムを実施する最善の方法は、実践的な洞察に焦点を当てることである。短時間のプレゼンテーションではなく、トレーニングを複数のセミナーを受講するコースのように扱い、その都度、従業員が新たに得た知識を実証することを義務付ける。コースのさまざまな段階を利用して、基本的なベストプラクティスだけでなく、次のようなサイバーセキュリティのトレンドについても教えることができます：

• ブロックチェーン技術ブロックチェーンは、データセキュリティにおける最新の技術革新の一つであり、その内蔵されたセキュリティにより、データ共有や取引の実施に理想的なものとなっている。ブロックチェーンを使用する利点と、ブロックチェーンに関連する独自のセキュリティ問題についての短期コースは、特にあなたの組織がブロックチェーンの使用を検討している場合、優れた入門書となるでしょう。
• ダーク・ファイバー・ネットワーク安定性、セキュリティ、帯域幅の制御を解き放つネットワーク構成の新しい方法として、ダーク・ファイバー・ネットワークも急速に普及している。その理由の一部は、ユーザーがデータ・セキュリティ・プロトコルを簡単に実装できるためであり、一部は予測可能なコストと全体的な遅延の少なさです。ダーク・ファイバー・ネットワークに関するトレーニングでは、従業員に対して、ダーク・ファイバー・ネットワークとどのようにやり取りするか、どのような制御が行われているか、そして、これらのネットワークがどのようにセキュリティのレイヤーを追加するかについて教えます。
• VPNVPNは、同様に、ユーザーがネットサーフィンをする際に、プライバシーを守るための特別なレイヤーを作り、機密データを暗号化されたプライベートなチャンネルを通して送ります。VPNは最近人気を博しており、77％の消費者がオンライン中に個人データを保護するためにVPNを使用しています。企業での使用例も同様に有望であり、機密データを扱う従業員にとっては、適切な設定方法を理解することが鍵となるだろう。
• DNS保護DNSツールは、従業員がウェブ検索中にアクセスできるウェブサイトの種類を制限し、マルウェア感染の危険性が高いウェブサイトを事前に除外します。このようなツールの存在とその理由を知ることで、従業員はシステムにアクセスした際に、アクセスしようとしていたウェブサイトが最適なものであることを知ることができます。
• ゼロ・トラスト・ネットワークゼロ・トラスト・ネットワークは、厳格な本人確認と企業データへのアクセス制限を組み合わせたものである。なぜこのような管理を行うのか（そして場合によってはその設定方法）を理解することで、従業員は機密データと一般に共有可能な情報を区別し、データプライバシーを常に念頭に置くことができます。

もちろん、このようなコースには、フィッシング、ソーシャル・エンジニアリング、ランサムウェア、総当たり攻撃など、サイバー攻撃の最も一般的な形態に関する入門書も含まれていなければならない。さらに一歩踏み込んで、どのようなソリューションがあり、どのように機能し、なぜそれが必要なのかという知識を従業員に与える。この戦略により、従業員はこれらのソリューションを使用し、脆弱性を回避し、多角的にデータを保護することができるようになります。

成功の測定

意識を高め、技術トレーニングプログラムを作成したら、次にチームメンバーの進捗状況をハイレベルで把握できるようにする必要がある。このような取り組みに着手する前にKPIを設定することが最も重要であり、その取り組みがチームを適切に準備しているかどうかを知ることができるからだ。

アンスプラッシュ

テストは利用できる要素の一つである。その他にも、パッチの採用状況の追跡、機密データへのアクセスの監視、適応がうまくいっていないチームメンバーとの定期的なチェックインの実施などがある。また、サイバー攻撃の試み（およびチームメンバーがそれらにどのように対処したか）を報告することも、現在のプロセスの脆弱性を突き止め、それに応じて再評価することができるため、有用である。

忘れてはならないのは、最も弱い部分ほど強いということです。ボールから目を離さず、トレーニングを継続し、最新のサイバーセキュリティの脅威を定期的に調査することで、機密データを秘密かつ安全に保つことができます。