インターネットセキュリティ意識向上トレーニング

インターネットセキュリティ意識向上トレーニング(ISAT) は、組織のさまざまな情報資産の保護に関して組織のメンバーに提供されるトレーニングです。ISAT は、一般的なセキュリティ意識向上トレーニング (SAT) のサブセットです。

中小企業でも一般的にはこのような研修を行うことが推奨されていますが、政府の規制（グラム・リーチ・ブライリー法、ペイメントカード業界データセキュリティ基準、医療保険の携行性と説明責任に関する法律、Sarboxなど）に準拠する必要がある組織では、通常、すべての従業員に対して毎年正式なISATを実施する必要があります。^[1]このような研修は、オンラインコースの形で提供されることがよくあります。

ISATはセキュリティ教育、トレーニング、意識向上（SETA）とも呼ばれ、組織は自社の環境内で情報セキュリティ管理のトレーニングと意識向上を行います。 ^[2]従業員が十分なトレーニングを受け、自分自身と組織のデータを保護するための重要な行動を取る権限を与えられていると感じることは、組織にとって有益です。^[2] SETAプログラムのターゲットは、組織内のユーザーの役割に基づいている必要があり、組織をより高いリスクレベルにさらす役職には、専門コースが必要です。^[2]

カバレッジ

トレーニングでは一般的なトピックをカバーしますが、各組織はニーズに基づいたカバレッジ戦略を立てる必要があります。これにより、トレーニングが実践的になり、組織に関連する重要なトピックをカバーできるようになります。脅威の状況は頻繁に変化するため、組織はトレーニングプログラムを継続的に見直し、現在の傾向との関連性を確保する必要があります。^[3]

ISAT ^[4]で扱われるトピックには以下のものが含まれる。

パスワードポリシーを含む、パーソナルコンピュータシステム上の機密情報を保護するための適切な方法
スパム、マルウェア、フィッシング、ソーシャルエンジニアリングなど、さまざまなコンピューターセキュリティ上の懸念事項。
情報を適切に保護できなかった場合の結果には、潜在的な失業、企業への経済的影響、個人情報が漏洩した個人への損害、民事法および刑事法上の罰則の可能性などが含まれます。

インターネットセキュリティを意識するということは、組織のコンピューターに保存されているデータを盗もうとする人々が積極的にいることを理解していることを意味します。(多くの場合、ユーザー名とパスワードに焦点が当てられ、犯罪者は最終的に銀行口座やその他の高価値 IT 資産にアクセスできるようになります。) そのため、組織の資産を保護し、そのようなことが起こらないようにすることが重要です。^[5]

一般的な範囲には、パスワードセキュリティ、メールフィッシング、ソーシャルエンジニアリング、モバイルデバイスのセキュリティ、機密データのセキュリティ、ビジネスコミュニケーションなどのトピックを含める必要があります。対照的に、専門知識を必要とする人は、通常、技術的で詳細なトレーニングコースを受講する必要があります。^[2]組織が、市場で入手可能なトレーニングツールの1つを使用することが最適であると判断した場合、トレーニングによって従業員がリスクとその管理に必要な行動を理解するための知識、セキュリティインシデントを防止または検出するためのアクション、受講者が理解しやすい言語の使用、価格設定が妥当であることを確認するなど、トレーニングが達成できる目標を設定する必要があります。^[6]

組織は従業員の役割と文化に基づいてISAT研修の内容を策定することが推奨されており、その方針はすべての従業員に対する研修の指針となるべきである^[7]。また、参考資料の出典として以下を挙げている。^[8]

米国国立標準技術研究所(NIST) 特別刊行物 800-50、情報技術セキュリティ意識向上およびトレーニングプログラムの構築
国際標準化機構(ISO) 27002:2013、情報技術 - セキュリティ技術 - 情報セキュリティ管理の実践規範
国際標準化機構 (ISO) 27001:2013、情報技術 - セキュリティ技術 - 情報セキュリティ管理システム
COBIT 5 付録 F.2、詳細なガイダンス: サービス、インフラストラクチャ、アプリケーションのイネーブラー、セキュリティ認識

トレーニングでは、組織に特有の現在の脅威と、それがユーザーの行動の結果として実現した場合の影響に焦点を当てる必要があります。実用的な例とシナリオへの対処方法を含めることで、ユーザーは適切な対策を知ることができます。特定の組織の顧客に対して、悪意のある人々から直面する脅威について定期的にトレーニングを行うことをお勧めします。^[9]

SAT のカバレッジ戦略は、組織のポリシーに基づいて決定する必要があります。ポリシーは、トレーニングの深さのレベルと、グローバルレベル、ビジネスユニットレベル、またはその両方の組み合わせでトレーニングを実施する場所を決定するのに役立ちます。ポリシーによって、組織内の責任者がトレーニングを運営する権限も与えられます。^[2]

重要性

組織が侵害を受けるかどうかは従業員の力が鍵となるため、新たな脅威や機密情報を保護する行動、企業環境内で観察された異常な活動を報告する行動について従業員に認識を高め、トレーニングを行うポリシーが必要です。^[10]

研究によると、SATは組織内のサイバー攻撃、特にフィッシング攻撃の削減に役立っていることが分かっています。受講者はこれらの攻撃モードを識別する方法を学び、適切な行動を取る自信を身に付けたからです。^[11]

フィッシング攻撃が増加しており、人々がこれらの攻撃の仕組みを理解し、これらを防ぐために必要な措置を講じることがますます重要になってきています。また、SATは組織に対するフィッシング攻撃の成功数に大きな影響を与えていることが示されています。^[12]

コンプライアンス要件

金融サービスに対するグラム・リーチ・ブライリー法（GLBA）、連邦政府機関に対する2014年連邦情報セキュリティ近代化法、欧州連合の一般データ保護規則（GDPR）など、さまざまな規制や法律により、特定の業界の組織に対してSATが義務付けられています。^[13]

連邦情報セキュリティ近代化法

連邦政府機関の従業員と請負業者は毎年セキュリティ意識向上トレーニングを受けることが義務付けられており、このプログラムでは、セキュリティリスクを軽減するための知識を提供することに関連する、職務に関連した情報セキュリティリスクに対処する必要があります。^[14]

医療保険の携行性と責任に関する法律

医療保険の携行性と責任に関する法律には、セキュリティ規則^[15]とプライバシー規則^[15]があり、セキュリティ意識向上トレーニングプログラムの作成と、従業員がそれに応じてトレーニングを受けることを義務付けています。

ペイメントカード業界データセキュリティ標準

ペイメントカード業界セキュリティ基準協議会は、決済業界の利害関係者のための統治評議会であり、アメリカン・エキスプレス、ディスカバー、JCBインターナショナル、マスターカード、ビザによって構成され、決済業界の要件としてDSSを開発しました。^[8]要件12.6では、メンバー組織に正式なセキュリティ認識プログラムを導入することを要求しています。プログラムを設定する際に組織が遵守すべき公開ガイドがあります。^[8]

米国各州の研修規制

一部の州ではセキュリティ意識向上トレーニングを義務付けていますが、他の州では義務付けておらず、単に自主的なトレーニングを推奨しています。従業員にトレーニングを義務付けている州には、次の州が含まれます。

コロラド州（コロラド州情報セキュリティ法、コロラド州改正法典24-37.5-401以降）^[16]
コネチカット州（13 FAM 301.1-1 サイバーセキュリティ意識向上トレーニング（PS800））^[17]
フロリダ州（フロリダ州法第282章）^[18]
ジョージア州（大統領令GA EO182により、発令後90日以内に訓練を行うことが義務付けられている）^[19]
イリノイ州（クック郡）^[20]
インディアナ州（IN H 1240）^[21]
ルイジアナ州（ルイジアナ州行政局技術サービス局p.52：LA H 633）^[22]
メリーランド州（20-07 ITセキュリティポリシー）^[23]
モンタナ州（行政機関の職員に対するサイバートレーニングの義務化）^[24]
ネブラスカ州^[25]
ネバダ州（各機関の州職員要件 - 州セキュリティ基準123 - ITセキュリティ）^[26]
ニューハンプシャー
ニュージャージー州（NJ A 1654）^[27]
ノースカロライナ州
オハイオ州（IT-15 - セキュリティ意識とトレーニング）^[28]
ペンシルバニア州^[29]
テキサス^[30]
ユタ州^[31]
バーモント州
バージニア州^[32]
ウェストバージニア州（WV法第5A-6-4a条）

トレーニングテクニック

以下は一般的なトレーニング手法ですが、運用環境に応じて組み合わせることもできます。^[3]

インタラクティブビデオトレーニング - この手法により、ユーザーは双方向のインタラクティブなオーディオとビデオの指導を使用してトレーニングを受けることができます。
Web ベースのトレーニング– この方法では、従業員またはユーザーが独自にトレーニングを受けることができ、通常、学習が行われたかどうかを判断するためのテスト要素があります。学習が行われていない場合、ユーザーはコースを再度受講してテストを受け、教材を完全に理解しているかどうかを確認できます。
非 Web のコンピュータベースのトレーニング- 組織によっては、インターネットの使用を好まない、またはインターネット接続のない場所を所有している場合があります。そのため、この手法は、ユーザーのコンピュータにトレーニングプログラムをロードする効果的な方法を提供します。
オンサイトのインストラクター主導のトレーニング– これは、セキュリティ意識向上トレーニングで非常によく使われる手法ですが、大規模な組織には効率的ではありません。ほとんどの組織ではオンボーディングのために従業員がオンサイトでトレーニングを受ける必要があるため、一部の組織では従業員との最初のオンボーディングトレーニングにこの方法を使用しています。

研修は、入社時に実施するとともに、少なくとも年に1回は従業員や組織の情報システムにアクセスできる第三者を対象に実施する必要があります。研修の媒体は対面またはオンラインのいずれかで、通常は攻撃の兆候を認識し、パスワード、暗号化、安全なセッションなどの複数のセキュリティメカニズムを使用して機密データを保護することに重点が置かれます。^[33]

ISATでは、参加者に現在のさまざまな脅威、新たなセキュリティの脅威、攻撃ベクトル、情報セキュリティに関連する組織のポリシー、インターネット上のセキュリティを維持するための基本原則や規範などについて教え、記憶をリフレッシュします。^[33]

組織は、ユーザーにセキュリティ意識向上トレーニングを提供するためのトレーニングメディアに関してはいくつかの選択肢を検討しますが、学習理論、メディアリッチネス理論、認知負荷理論を使用した研究では、組織はリッチメディアに多額の投資をする必要はなく、ユーザーの行動の改善にはつながらないことが示されています。トレーニングコンテンツが最も重要です。^[34]

SAT サービスは、多くの場合、次のような企業の従業員に関連する追加のツールやサービスと連携しています。

ダークウェブモニタリングサービス – データ侵害に関与した企業のメールアドレスまたはドメインを検出し、従業員のメールアドレスに関連付けられた漏洩したデータを管理者に通知します。
ポリシーのコンプライアンス – サイバーセキュリティガバナンスポリシーを通じてユーザーをガイドします。ポリシーをユーザーに送信して、コンプライアンスの承認、追跡、レポートを行います。
リスク評価– 自社または顧客の脅威と脆弱性を評価し、特定します。^[35]

参照

参考文献

^ 「Information Security Awareness Training (ISAT)」バージニア大学。2019年11月4日時点のオリジナルよりアーカイブ。2019年11月4日閲覧。
^ abcde Caballero, Albert (2017-01-01). 「セキュリティ教育、トレーニング、および意識向上」。コンピュータおよび情報セキュリティハンドブック: 497–505。doi :10.1016/ B978-0-12-803843-7.00033-8。ISBN 9780128038437。
^ ab Wilson, M; Hash, J (2003). 「情報技術セキュリティ意識向上およびトレーニングプログラムの構築」メリーランド州ゲイサーズバーグ: 34. doi :10.6028/nist.sp.800-50. {{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です
^ 「コンテンツ | ISAT | 留学生入学試験 | ACER」isat.acer.org . 2021年3月13日閲覧。
^ Sharf, Elad (2016年7月)。「情報交換：Brexit後のサイバーセキュリティ業界に対する規制変更：セキュリティ意識向上トレーニングの実施」。Computer Fraud & Security誌7 : 9～12ページ。doi :10.1016/S1361-3723(16)30052-5。
^ Cooper, Michael H. (2009). 「情報セキュリティトレーニング」。第37回ACM SIGUCCS秋季会議議事録: コミュニケーションとコラボレーション。ニューヨーク、ニューヨーク、米国: ACM Press。p. 217。doi : 10.1145 / 1629501.1629541。ISBN 978-1-60558-477-5. S2CID 7117477。
^ 「初心者向けサイバーセキュリティ意識向上トレーニング」. awarego.com . 2022年11月8日. 2023年6月5日閲覧。
^ abc 「公式 PCI セキュリティ標準協議会サイト - PCI コンプライアンスの確認、データセキュリティおよびクレジットカードセキュリティ標準のダウンロード」www.pcisecuritystandards.org 。 2021 年 7 月 5 日閲覧。
^ Liska, Allan (2015)、「ネットワークセキュリティインテリジェンスモデルの構築」、Building an Intelligence-Led Security Program、Elsevier、pp. 124–125、doi :10.1016/b978-0-12-802145-3.00003-x、ISBN 978-0-12-802145-3
^ ペイメントカード業界。セキュリティ標準協議会。(2014)。セキュリティ意識向上プログラムを実施するためのベストプラクティス。[1]
^ Tschakert, Kai Florian; Ngamsuriyaroj, Sudsanguan (2019). 「セキュリティ意識向上トレーニング方法の有効性とユーザーの好み」Heliyon . 5 (6): e02010. Bibcode :2019Heliy...502010T. doi : 10.1016/j.heliyon.2019.e02010 . ISSN 2405-8440. PMC 6606995 . PMID 31338464.
^ Carella, Anthony; Kotsoev, Murat; Truta, Traian Marius (2017). 「セキュリティ意識向上トレーニングがフィッシングのクリックスルー率に与える影響」 2017 IEEE 国際ビッグデータ会議 (ビッグデータ) IEEE. pp. 4458–4466. doi :10.1109/bigdata.2017.8258485. ISBN 978-1-5386-2715-0. S2CID 35766007。
^ Haney, Julie; Lutters, Wayne (2020). 「従業員向けのセキュリティ意識向上トレーニング: 「チェックボックス」コンプライアンスを超えて」. Computer . 53 (10): 91–95. doi :10.1109/MC.2020.3001959. ISSN 0018-9162. PMC 8201414. PMID 34131349 .
^ 「連邦情報セキュリティ近代化法 | CISA」www.cisa.gov . 2021年7月27日閲覧。
^ ab 「セキュリティルール」。hhs.gov。米国公民権局。2009年9月10日。 2021年7月5日閲覧。
^ 「州職員向け - コロラド州知事情報技術局」www.oit.state.co.us . 2021年7月27日閲覧。
^ 「13 FAM 301.1 全部門従業員に対する必須のセキュリティトレーニング」fam.state.gov 。 2021年7月27日閲覧。
^ 「法令と憲法：法令の表示：オンラインサンシャイン」www.leg.state.fl.us . 2021年7月27日閲覧。
^ 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。
^ 「イリノイ州クック郡の従業員向けサイバーセキュリティ研修」GovTech 2013年11月7日2021年7月27日閲覧。
^ 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。
^ 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。
^ 「20-07 ITセキュリティポリシー」。doit.maryland.gov 。 2021年7月27日閲覧。
^ 「セキュリティトレーニングリソース」sitsd.mt.gov . 2021年7月27日閲覧。
^ “NVeLearn”. nvelearn.nv.gov . 2021年7月27日閲覧。
^ 「州のセキュリティポリシーの基準と手順」。it.nv.gov 。 2021年7月27日閲覧。
^ 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。
^ 「オハイオ州の情報セキュリティとプライバシー > 政府 > 州政府 > セキュリティ > トレーニングと意識向上」。infosec.ohio.gov 。2021年7月27日閲覧。
^ 「連邦機関と職員のためのサイバーセキュリティ」。行政局。 2021年7月27日閲覧。
^ 「認定サイバーセキュリティトレーニングプログラム、154」。dir.texas.gov 。 2021年7月27日閲覧。
^ 「2021 セキュリティ意識向上トレーニング | 技術サービス部門」dts.utah.gov . 2021年7月27日閲覧。
^ 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。
^ ab Lincke, Susan (2016). セキュリティ計画：応用アプローチ。Springer International。pp. 176–177。ISBN 978-3-319-36560-2. OCLC 1005117710.
^ Jenkins, Jeffrey L.; Durcikova, Alexandra; Burns, Mary B. (2012)。「無駄なことは忘れて: メディアの豊かさが情報セキュリティトレーニングの安全な行動に与える影響の検証」。2012第 45 回ハワイ国際システム科学会議。マウイ島、ハワイ州、米国: IEEE。pp. 3288–3296。doi : 10.1109 / HICSS.2012.285。ISBN 978-1-4577-1925-7. S2CID 206705398。
^ Mezquita, Ty (2022-01-18). 「MSP 向け意識向上トレーニングの隠れたメリット」CyberHoot . 2022-01-27閲覧。

[1] 「Information Security Awareness Training (ISAT)」バージニア大学。2019年11月4日時点のオリジナルよりアーカイブ。2019年11月4日閲覧。

[:13-2] Caballero, Albert (2017-01-01). 「セキュリティ教育、トレーニング、および意識向上」。コンピュータおよび情報セキュリティハンドブック: 497–505。doi :10.1016/ B978-0-12-803843-7.00033-8。ISBN 9780128038437。

[:32-3] Wilson, M; Hash, J (2003). 「情報技術セキュリティ意識向上およびトレーニングプログラムの構築」メリーランド州ゲイサーズバーグ: 34. doi :10.6028/nist.sp.800-50. {{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です

[4] 「コンテンツ | ISAT | 留学生入学試験 | ACER」isat.acer.org . 2021年3月13日閲覧。

[5] ^ Sharf, Elad (2016年7月)。「情報交換：Brexit後のサイバーセキュリティ業界に対する規制変更：セキュリティ意識向上トレーニングの実施」。Computer Fraud & Security誌7 : 9～12ページ。doi :10.1016/S1361-3723(16)30052-5。

[6] Cooper, Michael H. (2009). 「情報セキュリティトレーニング」。第37回ACM SIGUCCS秋季会議議事録: コミュニケーションとコラボレーション。ニューヨーク、ニューヨーク、米国: ACM Press。p. 217。doi : 10.1145 / 1629501.1629541。ISBN 978-1-60558-477-5. S2CID 7117477。

[7] 「初心者向けサイバーセキュリティ意識向上トレーニング」. awarego.com . 2022年11月8日. 2023年6月5日閲覧。

[:22-8] 「公式 PCI セキュリティ標準協議会サイト - PCI コンプライアンスの確認、データセキュリティおよびクレジットカードセキュリティ標準のダウンロード」www.pcisecuritystandards.org 。 2021 年 7 月 5 日閲覧。

[9] Liska, Allan (2015)、「ネットワークセキュリティインテリジェンスモデルの構築」、Building an Intelligence-Led Security Program、Elsevier、pp. 124–125、doi :10.1016/b978-0-12-802145-3.00003-x、ISBN 978-0-12-802145-3

[10] ペイメントカード業界。セキュリティ標準協議会。(2014)。セキュリティ意識向上プログラムを実施するためのベストプラクティス。[1]

[11] Tschakert, Kai Florian; Ngamsuriyaroj, Sudsanguan (2019). 「セキュリティ意識向上トレーニング方法の有効性とユーザーの好み」Heliyon . 5 (6): e02010. Bibcode :2019Heliy...502010T. doi : 10.1016/j.heliyon.2019.e02010 . ISSN 2405-8440. PMC 6606995 . PMID 31338464.

[12] Carella, Anthony; Kotsoev, Murat; Truta, Traian Marius (2017). 「セキュリティ意識向上トレーニングがフィッシングのクリックスルー率に与える影響」 2017 IEEE 国際ビッグデータ会議 (ビッグデータ) IEEE. pp. 4458–4466. doi :10.1109/bigdata.2017.8258485. ISBN 978-1-5386-2715-0. S2CID 35766007。

[13] Haney, Julie; Lutters, Wayne (2020). 「従業員向けのセキュリティ意識向上トレーニング: 「チェックボックス」コンプライアンスを超えて」. Computer . 53 (10): 91–95. doi :10.1109/MC.2020.3001959. ISSN 0018-9162. PMC 8201414. PMID 34131349 .

[14] 「連邦情報セキュリティ近代化法 | CISA」www.cisa.gov . 2021年7月27日閲覧。

[ocr-15] 「セキュリティルール」。hhs.gov。米国公民権局。2009年9月10日。 2021年7月5日閲覧。

[16] 「州職員向け - コロラド州知事情報技術局」www.oit.state.co.us . 2021年7月27日閲覧。

[17] 「13 FAM 301.1 全部門従業員に対する必須のセキュリティトレーニング」fam.state.gov 。 2021年7月27日閲覧。

[18] 「法令と憲法：法令の表示：オンラインサンシャイン」www.leg.state.fl.us . 2021年7月27日閲覧。

[19] 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。

[20] 「イリノイ州クック郡の従業員向けサイバーセキュリティ研修」GovTech 2013年11月7日2021年7月27日閲覧。

[21] 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。

[22] 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。

[23] 「20-07 ITセキュリティポリシー」。doit.maryland.gov 。 2021年7月27日閲覧。

[24] 「セキュリティトレーニングリソース」sitsd.mt.gov . 2021年7月27日閲覧。

[25] “NVeLearn”. nvelearn.nv.gov . 2021年7月27日閲覧。

[26] 「州のセキュリティポリシーの基準と手順」。it.nv.gov 。 2021年7月27日閲覧。

[27] 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。

[28] 「オハイオ州の情報セキュリティとプライバシー > 政府 > 州政府 > セキュリティ > トレーニングと意識向上」。infosec.ohio.gov 。2021年7月27日閲覧。

[29] 「連邦機関と職員のためのサイバーセキュリティ」。行政局。 2021年7月27日閲覧。

[30] 「認定サイバーセキュリティトレーニングプログラム、154」。dir.texas.gov 。 2021年7月27日閲覧。

[31] 「2021 セキュリティ意識向上トレーニング | 技術サービス部門」dts.utah.gov . 2021年7月27日閲覧。

[32] 「Bill Resource」. custom.statenet.com . 2021年7月27日閲覧。

[:0-33] Lincke, Susan (2016). セキュリティ計画：応用アプローチ。Springer International。pp. 176–177。ISBN 978-3-319-36560-2. OCLC 1005117710.

[34] Jenkins, Jeffrey L.; Durcikova, Alexandra; Burns, Mary B. (2012)。「無駄なことは忘れて: メディアの豊かさが情報セキュリティトレーニングの安全な行動に与える影響の検証」。2012第 45 回ハワイ国際システム科学会議。マウイ島、ハワイ州、米国: IEEE。pp. 3288–3296。doi : 10.1109 / HICSS.2012.285。ISBN 978-1-4577-1925-7. S2CID 206705398。

[35] Mezquita, Ty (2022-01-18). 「MSP 向け意識向上トレーニングの隠れたメリット」CyberHoot . 2022-01-27閲覧。