医療機器の設計開発事業などを営むInteger Holdingsのリチャード・バルデュッチ氏（最高情報セキュリティ責任者）は、2024年2月にフロリダ州オーランドで開催された「Zero Trust World」の聴衆に対して、「サイバーセキュリティの文化の醸成とは、単に手順やプロセスに従うことではなく、セキュリティが組織全体のビジネスオペレーションの一部として根付いていることを意味する」と語った。

　「サイバーセキュリティの実践方法や適用方法を知らないと、ただ単に詳しそうだと思われる人物の言うことに従ってしまうだろう。人々は規範のように見えるものに従う傾向があるからだ。だが仮に先導者自身が迷走していたらどうなってしまうだろうか」（バルデュッチ氏）

　中堅・中小企業はリソースが限られているため、サイバー攻撃に対して特に脆弱（ぜいじゃく）な可能性がある。現在の労働環境や脅威環境において、なぜセキュリティをビジネスオペレーションに組み込む必要があるかを真に理解している人材を獲得できていないことも理由の一つだ。

　適切なシステムやツールを導入することも重要だが、結局は人にかかっている。

　サイバーセキュリティ事業を営むMightyIDのクリス・スタインク氏（最高執行責任者）は次のように述べた。

　「私の経験では、セキュリティインフラが厳重に整備された大規模な組織であっても、適切な保護措置がなければ、人間に関連する要素を悪用される可能性が常にある」

　このため、サイバーセキュリティに対する意識の醸成が不可欠だ。サイバーセキュリティを組織の倫理観に組み込むことで、企業はサイバー攻撃に対する防御を強化できる。

　「サイバーセキュリティの文化は従業員一人一人がセキュリティの管理者として行動する力を与え、潜在的な脅威に対する説明責任と意識を醸成する」（スタインク氏）

サイバーセキュリティにどう取り組むかが重要

　どのような種類の文化であれ、文化を創造するには参加者による新しい態度や行動に対する投資が必要だ。この場合の参加者とはもちろん中小企業のオーナーや従業員を指す。そして、新しい態度や行動とは、ビジネスに対する潜在的な脅威やその影響、そして、それらの脅威をどのように防止できるかについての認識を高めることだ。

　サイバーセキュリティ事業を営むCheck Point Softwareのミッキー・ボーランド氏（サイバーセキュリティ・アーキテクト兼エバンジェリスト）によると、中小企業のリーダーシップは、従業員に関心を持ってもらうための手掛かりを提供すべきであり、従業員の行動が企業のサイバーセキュリティの地位向上にどのように役立つかを示す必要があるという。

　ゲーミフィケーションは、そのような手掛かりを提供する際に有用だ。リーダー層は脅威の巧妙化を強調するシナリオを作成し、セキュリティのベストプラクティスを導入する解決策をチームや個人に提案させ、社内コンペティションに参加させることができる。

　あるいは、異なる習慣に対して報酬を設定することもできる。リンクをクリックしないことや不審な電子メールを報告することなどの行動が日常的に身に付くまで報酬を設定する方法などがある。

最小限のコストで実施できる小さなベストプラクティス

　攻撃者は取引先企業になりすましたり、ユーザーをだましてミスを誘発したりするために、あらゆる手口を使う。セキュリティ文化の構築は、セキュリティのベストプラクティスを強化するために従業員の努力を促すだけでなく、組織のシステムの中で攻撃者が利用できる要素を従業員自ら予測できるようになることにもつながる。

　「強力なパスワードポリシーの徹底やMFAの有効化といった簡単なステップで、さまざまな攻撃を阻止できる」（スタインク氏）

　勤務用デバイスだけでなく、企業のデータやインフラにアクセスできる可能性のある全てのデバイスにパッチやアップグレードを適用するよう、従業員を促すことも同様に有効だ。特に、IoTデバイスに接続されたホームルーターを使用しているテレワーカーにとって、これは重要だ。

　また、ドメイン名や電子メールアドレスを詳しく調べ、フィッシングに耐えられるようにしておくことも必要だ。

　攻撃者が使用する巧妙な攻撃の一つに文字の見かけを利用するという手法がある。小文字の「l」を大文字の「I」に置き換えたり、数字の「1」に置き換えたりして、偽のWebサイトを作り上げてしまう。この他にもUnicodeに登録されている外形の似た文字を使ったさまざまなごまかしが可能だ。

　Webサイトや電子メールアドレスにこのようなトリックが仕掛けられていた場合、文字を見分けることはかなり難しい。攻撃者はこれらの置き換えを利用して一見すると正当に思えるリンクや電子メールアドレスを作成し、受信者を悪意のあるサイトに誘導し、機密情報を漏えいさせる。

　素早く実施でき、コストがかからない対策は存在する。もしも多数のユーザーが参照するWebサイトを運営しているのであれば、簡単に模倣できる文字を使用した自社と間違えやすいドメイン名をあらかじめ登録しておくことだ。Webサイトにアクセスするユーザーであれば、リンクをクリックするのではなく、ブックマークからアクセスするとよい。