2023

注目点 - 経営陣のセキュリティ

Ivanti の新しい調査が示す、経営幹部が直面する真のリスクIvanti のサイバーセキュリティステータスレポートシリーズの一部

経営陣のサイバーセキュリテ
ィ脅威を遮断する

通常、組織は経営陣のサポートが優れたサイバーセキュリティを妨げると
は考えていません。当社が初めて発表する「Press Reset」
レポートでは、経営陣によるコンセンサスがセキュリティの障壁になっていると考えている幹部およびセキュリティ担当者は、全体のわずか21%にとどまりました。
これは、もっとも大きな阻害要因である技術スタックの複雑さ (37%)

より16ポイントも低い数字です。

しかし、経営陣は、セキュリティチームが以前に認識していたよりも、安全とはいえない
セキュリティ行動を実践する
可能性が高くなっています。

経営陣が、顧客や企業の機密情報への不正アクセスを意図的に取得したことがあると回答する確率は、実に5倍にものぼります。

経営陣のる3人に1人以上が、フィッシン

また、経営陣が会社のパスワードをは他の一般従業員ーの4倍です。

倍にのぼります。

グリンクをクリックした経験があり、これ社外の人物と共有している確率は4

最も標的にされやすい従業員グループである経営幹部が、組織の義務に賛同すると言いながら、セキュリティプロトコルを頻繁に無視する場合、彼らをいったいどのように保護すればよいのでしょうか。

注目点 - 経営陣のセキュリティ

2

このレポートは次の点を浮き彫りにします。

セキュリティのリーダーは、高い能力を持ち、高いアクセス権を持つ人物
が、固有のセキュリティ上の脅威となることをすでに知っています。むしろ、Ivanti の最新の調査は、問題の規模を強調し、経営陣のセキュリティの例外が組織的なリスクの大きさにつながることを示唆しています。

経営陣が表明している優先事項 (例: セキュリティ方針を支持すること) と経営陣の業
務上の行動との間 にかなりのギャップがあること。

いかにエグゼクティブのセキュリティ習慣が、一般従業員よりも、
サイバー攻撃や侵害に対してきわめて高いリスク をもたらしているか。

経営陣と、経営陣のセキュリティを確保するチームとの間にある不信感 により、経営陣

は社内のサポートに依頼するのではなく、社外の IT サポートを頼る可能性があること。

組織のセキュリティを確保するための実践的な方法 を、舞台裏でひっそりと実行しま

す。
その間に、
チームと一緒に、セキュリティプログラムに対する経営陣の真の賛同を得るために必要な相互信頼を回復することができます。

経営幹部の人数は限られているため、彼らがもたらす潜在的な脅威を過小評価し、幹部に対しては厳格なサイバーセキュリティ対策を免除したくなるかもしれません。

しかしながら、最近の研究では、
そのような考えがまったくの間違いであることが明らかになっています。経営幹部の職場での行動は他とははっきりと違っており、彼らは他とは比べよう
もないアクセス権と影響力を享受しています。

「この研究は、彼らの習慣および行動に注目し、これらを修正する必要があることを明確に示しています」ジュリアーノ・リグオーリ
Kenovy社CEO

注目点 - 経営陣のセキュリティ

3

目次
01

02

経営陣の行動のギャップ:
言動の違い
組織にとってきわめて大きい
経営陣のリスク03

セキュリティの摩擦:
経営陣とセキュリティ部門との関係

04

解決するための行動:
行動のギャップを解消する

調査方法

Ivanti は、2022 年第 4 四半期に 6,500 人以上の役員、サイバーセキュリティ専門家、一般従業員を対象に、今日の脅威を理解し、未知の将来の脅威に対して組織がどのように備えているかを明らか

本レポートでは、経営幹部に焦点を当て、経営幹部がセキュリティ上の危険要因なる態度と行動について考察します。

にするために調査を実施しました。

英国

10%

米国

21%

オランダ

10%

ドイツ

10%

フランス

10%

中国

9%

日本

10%

インド

10%

オーストラリア10%

この文書は厳密に指針としてのみ提供されています。いかなる保証をも提供するものではありません。
この文書には、Ivanti Inc.およびその関連会社（総称して「Ivanti」）の機密情報および専有財産が含まれており、Ivanti が事前に書面で同意していないかぎり、開示または複製が禁止されています。

Ivantiはこの文書または関連する製品の仕様ならびに説明について、
いつでも予告なく変更を行う権利を有します。Ivantiは、この文書の使用に関する一切の保証を行ないません。
また、この文書に瑕疵があったとしても一切の責任を負わず、この文書の情報を更新することも約束しないものとします。最新の製品情報については、ivanti.com をご覧ください。

一般従業員

5,202人セキュリティ担当者

902人

経営幹部

454人
注目点 - 経営陣のセキュリティ

4

01

経営陣の行動のギャップ:

経営陣がセキュリティについての見解と、経営陣の行動の傾向との違い

現在の問題経営陣の言動には大きなギャップがあります。

経営幹部はサイバーセキュリティに対して強気であり、ほぼ全員が組織のセキュリティ指令を支持していると述べています。

しかし、Ivanti の調査によると、リーダーの言動の間には大きな矛盾があります。
これを行動のギャップと呼んでいます。

行動のギャップ：経営幹部の信念と行動の相反状態
経営陣たちの発言：
セキュリティ
カルチャー

トレーニングフィッシング経営陣の96%は、経営幹部は組織のサイバーセキュリティの義務に対し少な

くとも一定のレベルで協力的であるか、
または投資を行ってきていると回答しています。

78%が、自分の組織がサイバーセキュリティのトレーニングを必須業務として提供していると答えています。

経営幹部の88%は、
マルウェアやフィッシングといった脅威を認識し報告する用意ができていると回答しています。

経営陣たちの行動：
CxOの49%は、過去1年間に1つ以上のセキュリティ対策を無視するよう要求したことがあります。

77%が、誕生日やペットの名前といった覚えやすい文字列をパスワードとして使っています。
覚えやすい文字列をパスワードとして使っています。

また、経営幹部は、友人、家族や外部のフリーランサーなど、権限を持たないユーザーと仕事用デバイスを共有する確率が3倍も高くなっています。

フィッシングの標的となった者の35%はリンクをクリックしたことを認めています — なかには金銭を送ってしまったケースもあります。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

6

適切な手続きを踏む時間がないのか、例外意識（「ルールが私に適用されるはずがない」）があるのか、あるいは他の要因によるものなのか、経営陣は単純に、他の従業員とは異なる行動（読んで字のごとく、
よりリスクの高い行動）をとる傾向があります。

24%

業務用アプリケーションで、オンボーディング中に発行された元のパスワードを変更していないと回答している経営幹部

14%

元のパスワードを変更していない現場の一般従業員

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

7

Q:

重要な理由

無害な回避策どころか、経営陣の行動は深刻な脅威

経験豊富なセキュリティ専門家の多くは、経営陣のリスクの高い行

動が存在することを知っていますが、他の戦略的優先事項を優先し

質問：これらのうち、
あなたの組織に高いセキュリティリスクをもたらすものはどれですか？
注：回答者がセキュリテの専門家 to 担当者であった場合は、複数のオプションを選択した可能性があります。

52%

データへの不正なアクセス

47%

セキュリティが保護されていないデバイスて経営陣のサイバー衛生への対応を後回しにしがちです。

セキュリテ担当者は、限られた時間とリソースを、最も可能性の高い

危険なリスクから組織を守るために使う必要があります。では、なぜ

セキュリティチームは、プログラムに賛同し、そのための予算まで確保したと言うリーダーを守るために、
さらに時間を費やさなければならないのか、という論理になります。

Ivanti の調査によると、経営陣のセキュリティは問題であるだけでな

く、ほとんどの組織を悩ませるシステム的な問題でもあります。

実際、セキュリティの専門家が自社の組織に高いセキュリティリスクをもたらす要因として挙げたものとまったく同じ項目が、経営陣が自権限のないユーザーとのデバイスの共有

44%

無許可のツール / アプリ43%

無許可のデバイス

42%
7%

上記のいずれでもない
0%

10%

20%

30%

40%

50%

60%

認する習慣と直接対応しています。

経営幹部の3人に1人が、許可されていないファイルやデー
タにアクセスしたことがあると認めています。

経営幹部は他の一般従業員に比べ3倍の確率で仕事用デバイスを家族や友人と共有しています。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

8経営陣のセキュリティ行動には権限が関与

残念なことに、セキュリティチームと経営幹部の間の不平等なが問題を悪化させています。

限られた作業処理能力、疲労、燃え尽き症候群のため、セキュリティ

セキュリティ担当者は、ベストプラクティスのセキュリティポリシーを導入しようとしても、その保護しようとしている対象の最前線のユーザーから公然と苦情を受けたり、
シャドー IT という回避策を取られたりした経験が何度あるでしょうか。

セキュリティチームが経営幹部の行動に影響を与えるのが困難な理由
燃え尽き症候群CISOは過剰な負担を負っており、燃え尽き症候群にかかっています。CISOの60%が、過去12か月間で燃え尽き症候群を経験したと回答しており、61%はCISO/CSOに過剰
1
な期待が寄せられていると述べています。

カルチャー

上司 (または上司の上司) がプロトコルに反するお願いやワークアラウンドを求めた
場合、セキュリティ担当者が彼らの要求を退けることに抵抗があるのは当然です。

強力な「セキュリティファースト」のカルチャーがなければ、従業員やセキュリティの専
門家は、権限を持つ層の安全とはいえない要求に単に従うようになる可能性があります。
不透明な雇用市場の中で、セキュリティチームが、予算や雇用を承認する権利を握った経営陣に、より良いサイバー衛生とセキュリティの実践を強制することをどのように期待できるでしょうか。

「今回だけ」
イズム「今回だけ」
または「あなたのためにだけ」という言い訳には、大きな魅力があります。
このときセキュリティの専門家は、CEOに対しルールを強制することを気まずく感じて専門家はしばしば経営陣からの圧力に屈してしまいます。

いる可能性があるかもしれません。
特に、過去に例外が認められている場合はその可能性が高いでしょう。

「今回だけ」ということはほとんどなく、経営陣が回避策を講じたり、後戻りしにくい前例を作ったりするリスクが高まります。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動9

02

組織にとってきわめて大きい
経営陣のリスク:

経営陣のセキュリティにおける悪習慣がサ
イバーセキュリティに与える影響

現在の問題リスクの高い経営陣の行動が重大な結果をもたらす

人数は少ないものの、経営陣は非常に高度な自動アクセス機能を持ち、セキュリティ行動にも懸案が見られます。
このような経営陣は、
一般従業員よりもはるかに大きなセキュリティリスクを組織にもたらします。

保護されていない、第一級幹部のコネクション

経営陣の45%が、少なくとも月に1度は家族や友人に仕事用デバイスを使用させています。

! これは、他のすべての一般従業員の3倍にものぼ

経営陣のほぼ5人に1人が、自分の仕事用パスワードを社外の人物と共有したことがあります。

る数字です！

このような経営幹部は、セキュリティの訓練を受けておらず、組織の安全を守ることにも投資していません。
ファイル
やネットワークに深くアクセスできる組織のデバイスを使っているにもかかわらずです。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

11経営陣の不正アクセス

経営陣の 3 人に 1 人 (34%) が業務で許可されていない情報にアクセスしたことがあると認めています。また、3 人に 2 人近くが、それらのファイルやデータにアクセスしたときに編集できたと答えています。

質問： どんなファイルにアクセスしましたか？

質問： 許可されていない情報にアクセスしたのは何故ですか？

15%

戦略的ファイル

40%
39%

顧客データ
18%

財務情報

36%
24%

従業員の記録月給または給与管理記録

33%

23%

0%

20%

一般従業員 (母集団 = 648人)

30%

27%

7%

32%
22%

34%
29%

39%

うっかりファイルを開いてしまったため

25%

10%

5%

ファイルまたはデータが間違って自分に共有されてしまったため

26%

9%

見込み顧客リスト

26%

好奇心

29%

18%

会社の機密情報詐欺または非倫理的な行為を記録するため4%

セキュリティ上の欠陥を証明するため34%

20%

私的コミュニケーション

44%

辞職前または解雇される前にファイルをコピーするため

40%

50%

経営陣・リーダー (母集団 = 154人)

44%

0%

10%

20%

一般従業員 (母集団 = 648人)

30%

40%

51%

50%

経営陣・リーダー (母集団 = 154人)

注：各グラフでは、すべての回答者は自分のロールに必要がないファイルにアクセスしたことがあることを事前に確認しています。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

12

重要な理由経営陣のセキュリティの例外を認めると、リスクが高まる
多くの経営陣は、時間や手間を省くために、重要な手順を省略します。しかし、Ivanti の調査によれば、そのリスクはこれまで理解されていた以上に浸透的だということがわかりました。

経営陣は、自分たちの時間が貴重であり、限られていると、合理的に考えています。たとえば、家族や同僚、第三者の技術サポートと、
パスワードやデバイスを共有することは、リ

スクの少ない時間の節約になると考えられている可能性があります。

27%

質問： 自分のパスワードを誰と共有したことがありますか？
配偶者またはパートナー

37%

仕事を手伝ってくれる
フリーランサー少なくとも月に1度は友人や家族に自分の仕事用デバイスを使わせると答えた経営幹部 — その他の一般従業員では、同様の回答をした
者は全体のわずか6%です。

24%

8%

子供

24%

12%
6%

上記以外の人物
0%

43%

18%
10%

20%

30%

40%

50%

経営陣・リーダー (母集団 = 93人)
一般従業員 (母集団 = 308人)

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

13

脅威アクターは、金銭的な動機に基づくランサムウ

ェアの犯罪集団であっても、高度持続的脅威 (APT)であっても、貴重なデータソースやネットワーク資経営幹部は一般従業員よりも高いフィッシングのリスクにさらされています
経営幹部

リスク

産に高いアクセス権で接続している一方で、サイバ

ー衛生の習慣に対する警戒心が低いため、上級経営幹部を明確に標的にしています。

一般従業員

結局のところ、1 人のホエールがより価値のある資産への特別なアクセスを許可しているのに、なぜ平均的な従業員のアクセス許可のために広い網を張

47%

35%

過去12か月間に既知のフィッシングの標的になったことがある

フィッシングのリンクをクリック
したか、
または送
金した

るのでしょうか。

33%「組織が昨年フィッシングにあった可能性は 100% あります。これは、脅威アクターがネットワー
クへの最初の足がかりを得るための第一の方法です。

8%

このような高い割合は、
ホエールのためにカスタマイズされたスピアフィッシング攻撃の増加によるものかもしれません。攻撃者
がクジラを標的にするのは、そのアクセス権と特権のため、時間と労力を多く費しても価値があるからです。

私たちは、人々が『よく分かっている』と思い込んだり、フィッシン
グが過度に明白であると思い込
んだりしないようにする必要があります」
ダニエル・スパイサー（Daniel Spicer）
Ivantiセキュリティ最高責任者

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動14

実世界への影響

経営陣の交代は理想的なフィッシングの条件を提供する

2015 年、マテルは世間を騒がせたスピアフィッシングの被害に遭い、中国に拠点を置くサイバー犯罪者に 300 万ドルを奪われました。

Infosec2 がその後に行った事例研究よると、マテルが新しい CEO を採用するという決定を下したことで、悪用されやすいシナリオができたということがわかりました。

2015 年 1 月、
マテルは、
ブライアン・ストックトン氏の後任として新しい CEO のクリストファー・シンクレア氏を任命しました。新しいCEO の登場は、企業ヒエラルキーにおける新たな権力闘争を引き起こすであろう、上層部の変化を意味していました。

「言い換えれば、
サイバー犯罪者はマテルの社内政治や人間関係まで考慮してホエールフィッシングメールを計画したのです」
Infosec の事例研究2

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動15

03

セキュリティの摩擦:

経営陣とセキュリティ部門との緊張関係を探る

現在の問題経営陣のセキュリティ体験がサイバー衛生を悪化させる

Ivanti の調査によると、経営陣は平均的な従業員よりも 2.5 倍セキュリティ部門に接触する可能性が高くなっています。
このこと自体は良い兆候ですが、経営陣はセキュリティ部門とのやりとりを否定的だと考えている可能性が大幅に高くなっています。

経営陣：

2倍

過去のセキュリティとのやりとりを気まずく感じた
確率2倍

経営幹部がそうしたやりとりに気まずさを感じた確率

4倍

承認されていない外部の技術サポートを使用している確率5倍

経営幹部が業務用のパスワードを社外の人間と共有す
る確率

33%

フィッシングのリンクをクリックしてしまった場合など、セキュリ
ティのミスを安心してレポートできないと感じている確率 (経営幹部10人につき1人以上がこう答えています！)データ侵害が経営幹部の最大の懸念事項であることには疑いの余地がありません。堅牢な保護を実現するには、経営幹部はリアルタイムの脅威を検出するAIの優れた能力を今すぐ最大限に活用し、組織資産を強化する必要があります。
ロナルド・ヴァン・ルーン
Intelligent World社CEO、主席アナリスト

エラーを報告することに気後れしてしまう経営陣と、経営陣を守ろうとするセキュリティチームとの間のコミュニケーションの障壁をどのようにして低くすることができるのでしょうか。

注：これらの統計は、経営幹部レベルの従業員をその他すべての一般従業員と比較しています。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

17

重要な理由組織は強固なサイバーセキュリティ
プログラムを必要としている

経営陣の回避策が深刻なセキュリティの脆弱性を生み出していますが、その根底には、経営陣の例外主義を容認し、間違いを報告する可能性を低くする企業文化があります。

セキュリティチームは、非難や見下しではなく、誠実で友好的なサポートから、経営陣との信頼と同意を再構築することを優先しなければなりません。

最高経営幹部

組織内でのサイバーセキュリティの戦略的役割を理解し、その取り組みを目に見える形で支持することによって、セキュリティカ
ルチャーをサポート

セキュリティチーム

間違いを犯した人を（罰したり恥をかかせるのではなく）教育することを目的をオープ
ンなコミュニケーションの場を設ける事で、セキュリティカルチャーをサポート

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

18

経営陣のセキュリティリ
スクの軽減は解雇時にはさらに急務となる

Ivanti 調査によると、資格情報のデプロビジョニングは全体的に問題であり、セキュリティ専門家は、デプロビジョニング

のガイダンスが 3 分の 1 の割合で無視されていると述べました。
これは関連するリスクを考えると、衝撃の告白です。

また、調査対象となった経営陣の 26% が、前職で使用可能なパスワード 幽霊資格情報をまだ持っていると答えています。

幽霊資格情報がもたらすリスクは、従業員がデータを持ち出したり、以前の雇用主に恨みを抱いたりする可能性が高い、解雇の時期にさらに高くなります。

Forrester のアナリスト、Jeff Pollard 氏は、次のようにこの結論を支持しています。
「解雇や失業はインサイダーリスクの予測因子であり、セキュリティイベントが発生する確率が高くな

ることがわかっています。このようなことが起きていることを、私たちは長年にわたって見てきました。
」326%「昔は (内部犯行を成功させるのは) 困難でしかったが、今は簡単です。以前は、ブリーフケースに入れられるものしか持ち出せませんでした。今はテラバイト規模の情報を持ち出すことができます。
」

調査対象となった経営幹部のうち、前職のパスワードが未だ使用可能な状態であると述べている割合

Pete Nicoletti 氏
Check Point Software
北米・中南米担当フィールド CISO 3

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

19

04

解決するための行動:

組織における経営幹部の行動のギャップを解消する

「経営陣に挑戦し、全員が責任を負うプロセスを構築できるような文化を築く必要があります。
簡単なことのようですが、これは真実です。
」

解決するための行動

問題に妥協なく光を当てる

AJ Nash 氏
ZeroFox インテリジェンス担当部長兼特別フェロー

Ivanti の調査は、
私たちの多くが以前から知っていたことを裏付ける結果となりました。
経営陣は、組織のセキュリティ

の立場にとって独特かつ重大な脅威となります。今、データを手にしたところで、問題に対処する時が来ました。

1

監査を実施し、

2

最も簡単で影響の少ないリスクを最初に修正し3

ゲーム化された卓上演習

20%

現在の経営陣の行動ギャップを評価します。

グローバルなデータ侵害のうち、内部関係者の攻撃にof global data breaches can be linked to

不必要な場合は経営陣との直接的な衝突を避けます。

3
関連している可能性はこれく
らいあります。
insider attacks.3

により、経営陣は基本的なサイバー衛生と、将来の情報漏えいが各部門に与える影響との間に点を結ぶことを余儀なくされます。

4「ホワイトグローブ」セキュリティプログラムを実装します。

リーダーレベルの従業員よりも一般従業員の人数の方がはるかに多い場合でも、
このより小さいご存じでしたか？

なリターンが得られます。

たは解雇される前にファイルをコピーする可能性が6.5

利害関係者のコミュニティにきめ細かい注意を払うことで、限られたリソースの投資に対する大き経営幹部は、他のナレッジワーカーと比較して、辞職ま倍となっています。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動21

1

監査を実施する

組織内の役員と従業員の行動について最新の情報を得るには、監査を検討します。

ここでの目的は、処罰や辱めを与えることではなく、役職に関係なく、すべての従業員にセキュリティガバナンスポリシーが適用されるようにすることです。

内部監査

セキュリティチームと経営幹部(重役レベル以上) との過去12か月間のやり取りをしっかりチェックしましょう。
経営幹部とセキュリティチームの両方において、
ミ

スコミュニケーションやリスクが高い行動のパターンを探してください。

たとえば、通話の録音やアーカイブ化されているチケットメッセージをランダムに抽出してサンプルを取得してください。これらを確認し、双方の口調や言葉の選択に関連するヒントを見つけてください。

やり取りにおいて：

外部監査

経営幹部のリスク評価のために、外部監査人を雇うことも検討してください。
企業が経営幹部の特権を変更したり、トップマネージメントに対して強力な管理を課したりすることを検討している場合は、外部からの視点を得ることが常に得策です。

外部から来た監査人は、経営幹部のリスク評価を公平に監督し、必要に応じて経営幹部や取締役会に悪いニュースを伝えることができます。

■ 愚かな間違いをめぐって気まずい雰囲気が生じましたか？

■ 見落としてしまったことに起因する恐怖が煽られませんでしたか？

■ どちらかの側が阻害されたり、挫折感を味合わされたりしましたか？

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

22

現実世界への影響

社内ポリシーが 10 万ドルのフィッシ
ング詐欺から学校を救う4
フロリダ州のチャータースクールの校長である Jan McGee 博士は、億万長者のイーロ

ン・マスク氏かその代理人と思われる人物と数カ月にわたってやりとりした後、学校の口座から 10 万ドルの小切手を振り出しました。

McGee 博士の権限では、理事会の承認がなければ、小切手として振り出せる学校資金は5 万ドルまででした。幸運なことに、同校のビジネスマネージャーである Brent Appy 氏が、その詐欺行為者が小切手を決済する前に、その小切手を取り消すことに成功しました。

「私はとても賢い女性です。高い教育を受けています。私は詐欺にひっかかってしまいました。

グルーミングというのは、誰かと話して、その人を信じて、これは本当に本物なんだと信用させることなのです。
」事件後に公開された教育委員会で、マギー博士はこのように語りました。

ジャン・マギー博士
フロリダ州チャータースクールの元校長

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

23

最も簡単で、最も邪魔にならない経営陣のリスクを最初に修正します。

2

最も簡単な項目の例として、次のようなものがあります。

監査が完了し、セキュリティの脆弱性についての認識が深まったなら、次は行動計画を策定します。
そして、過度に邪魔にならないようにします。

データ機密性と分類ポリシーの確立と更新: データ機密性と分類ポリシーの確立と更新: 誰が、どのような状況で、
どれくらいの期間、何にアクセスすることを許可されるのか。
なぜ特定の権限が許可されていないのか。何が許可され、何が許可されないのか、
そしてその理由を全員にとって透明で明白にします。

社内コミュニケーション戦略を更新し 全従業員の入社時に許容可能な使用ポリシー (AUP) とデータの機密性に関するポリシーを導入し、定期的に注意喚起を行います。組織のイントラネット上にある単一の「公式」ポリシー文書では、社内のステークホルダー全員を教育することはできません。
特に多忙な経営陣の教育は簡単にはできません。

標準的なアクセス承認および実行手順を文書化し、導入 することで、アクセス制御ポリシーがすべての従業員に適用され、すべての活動が完全に文書化され、検証可能であることを保証します。(監査でアクセスやネットワーク活動を確認できなかったのであれば、今こそ確認できるように改善するときです)

経営陣の行動ギャップの監査に基づき、組織で最も一般的な違反やリスクを特定し、
まずその改善を優先します。

経営陣の現在のデジタル従業員体験 (DEX) を考慮します。経営陣の通常のワークフローを妨げるような、懲罰的ある

いは抑制的なセキュリティ対策は、
不信感に拍車をかけることになります。代わりに、舞台裏で静かに動作し、過剰な質問や頻繁なロックアウトに対する苦情のチケットを増やすことなく、経営陣にセキュリティを提供するセキュリティツール

を選択します。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

24

3

経営陣の卓上演習をゲーム化します。

非技術系リーダーを対象としたゲーム化されたセキュリティトレーニングセッションは、参加者自身が部門レベルのセキュリティ侵害の影響を発見し、セキュリティ担当者が正しい方向性を示すことができるため、経営層の賛同を得ることができます。

まずは「フィッシング詐欺を見抜く」
ことから始めましょう。

次の幹部会では、「フィッシング詐欺を見抜く」というシンプルなテーマ

から始めましょう。
ここでは、チームにフィッシング詐欺メッセージのサンプルを見せ、どれが本当のメッセージでどれがフィッシング詐欺かをグループに尋ねてください。

実際のサイバー攻撃を題材にしたシンプルでインタラクティブなこのゲームには、
スライドが2枚、所要時間は3分もかかりません。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

25

経営幹部向けのゲーム化したセキュリティトレーニングのヒント
時間は短く

偶然の要素を追加する

クリエイティブになる

同じチームで連携する

く、人が主導する、対面またはリモーンダムで選びましょう。20面のさいこな解決策や、シナリオで示されたリとして決して名指ししないでくださ

繁に行ってみてください。定期的な幹クを選択するという単純な方法も可う、経営陣を促しましょう。
アイデア

または業界に対する極めて現実的確である理由を説明することでセッ

半日や一日のワークショップではな

トのもっと短いセッションをもっと頻部会の開始時5分間を使って、簡単な

セキュリティゲームまたはセッションを行いましょう！

セッションで使う脅威やシナリオはラろを振って、番号付きリストからリス
能ですし、
または特定の組織、地域攻撃をブロックするクリエイティブ

スクを活用する方法を考え出すよ

さまざまなシナリオ、素材、小道具、ションを行き詰らせないでください。

ることで、全員がグループとして成功

ボードゲームを応用する

アワードを贈呈する

複雑な専門用語を使うのを避けるイフ」
といった子供用すごろくの中古しましょう！

なリスクに重みを置くジェネレータ

ーのような、複雑な手段も取れるこ「 シューツ・アンド・ラダーズ」
や「ラレーニングボックスをセットアップ

ボードゲームを購入し、簡単応用造して、ユニークでクリエイティブな参加の機会を含めつつ、
トレーニ

ングの演習をスピーディに行いまの場合も同様です。経営幹部とセキュリティチームのメンバーの両方がツール、
またはおもちゃのブロックさえも備えた既成のセキュリティト

い！たとえ演習で「ふり」をするだけが非現実的、非実用的または不正とでしょう。

演じてみる

現従業員や元従業員をリスクや脅威

最も優秀な参加者やクリエイティブな参加者に、会社の記念品を贈呈

同じ側に立って作業できるようにすまたは失敗することになります。

セキュリティの専門用語や頭字語は避けてください。
また、経営幹部の現在のセキュリティに関する慣習

できるセキュリティゲームを一箱にについて、遠回しに言及することもまとめましょう。

避けてください。

5
しょう。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

26

実際のケーススタディを使って点と点を結びます。

また、セキュリティリーダーは、同様の業界、経営陣の役割、
リスクプロファイルにおけるインシデント事例を通じて、悪意のある攻撃が個人の生活やキャリアにどのような影響を与えるかを強調すべきです。良い反応と悪い反応の両方を見つけることを忘れずに。

事例：Levitas Capital社

事件の概要：

2020年、Levitas Capital社の創立者
はなりすましのZoomリンクをクリック
し、組織のネットワークにマルウェアを
インストールしてしまいました。これを仕組んだ攻撃者らは、この策略が発覚する前に80万どるを盗みました。

何が悪かったのか：

短く説明してください 金融送金を承認する通常のチャネルが機能しなくなりました。
攻撃者らは会社のEメールシ
ステムを掌握し、
サードパーティ管理者に対してファンドの共同創立者に2度なりすましました。

その後に起きたこと：

Levitas社の一番の大口顧客は信頼を失って離れていき、
このヘッジファンドは事件の2か月後に閉鎖されました。
同ファン
ドの2人の創立者、
マイケル・ブルックスとマイケル・フェーガンの社会における地位や名声は失墜しました。

「発見されるべき危険信号は実にたくさんありました」
マイケル・フェーガン
Levitas Capital社 共同創立者

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

27

4

経営陣向けの「ホワイトグローブセキュリティ
サービス」の導入を検討します。

上級経営幹部は知名度やアクセス機会が高いため、セキュリティチームはそのような幹部に個別に注意を向ける必要があります。
いわゆる
「ホワイト
グローブセキュリティサービス」
です。

経営陣は、セキュリティ部門とのやり取りが気まずいと回答する傾向が 2倍も高く、外部の技術サポートを求める傾向が 4 倍も高いことを考えると、

このようなプログラムの目標は、信頼関係を構築し、セキュリティ上のエラーや疑問を報告する際の障壁を低くすることです。

上級経営幹部向けに連絡窓口を一本化する。

「ホワイトグローブ」
セキュリティプログラムを作成する際には、次の点を考慮します。

自動化によるデプロビジョニング
ポリシーの実施

これは最上位のセキュリティリーダーではありません。これは、
コミュニケーションを統合し、標準化しながら、信頼を築くのに役立ちます。

カスタムアクセス権限や個人パスワードマネージ
ャーのセットアップを含む、経営陣クラスの従業員に対するオンボーディングを再考する。
リーダー自身は、適切な設定のための段階的な指示に従う時
間がないかもしれませんが、組織としては、経営陣がこれらの基本的な保護対策を設定せずに業務を遂行することを認められる余裕はありません。

ゾンビ資格情報を回避するための手動オフボーディングチェックを含む）。

経営陣が読み飛ばせるような一般的なプレゼンテーション
ではない、1 対 1 のパーソナルセキュリティトレーニングを開発する。これまでの卓上演習を利用し、新任幹部の部署や役割に類似した事件に焦点を当てたケーススタディを選ぶ。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

28

どのような措置を講じたとしても、チームの焦点は、ポジティブなセキュリティ文化を浸透させること（懲罰的なものではない）、および説得力のある教育と協力的な洞察を通じて経営陣のコンプライアンスを向上させることです。

Ivanti のサイバーセキュリティに関する調査・報告シリーズをご覧ください！

このレポートが引用したケーススタディが証明しているように、
ヒューマンエラーは起

ります。それはどの組織でも起こるでしょう。それは避けられないし、完全に避けることは不可能です。

しかし、経営陣の真の賛同を得た組織だけが、システムと信頼を回復し、侵害を乗り越えて前進することができます。

注目点 - 経営陣のセキュリティ
経営陣の行動のギャップ

組織にとってきわめて大きい経営陣のリスク

セキュリティの摩擦解決するための行動

29

参考文献

1. Proofpoint. (2022, May). 2022 Voice of the CISO: Global Insights Into CISO

Challenges, Expectations and Priorities. From Proofpoint: https://go.proofpoint.
com/en-voice-of-the-ciso-2022.html

2. Yip, K. N. (2016, May 21). Whaling Case Study: Mattel's $3 Million Phishing

Adventure. From Infosec: https://resources.infosecinstitute.com/topic/whalingcase-study/

3. Pratt, M. K. (2023, February 28). Economic pressures are increasing cybersecurity
risks; a recession would amp them up more. From CSO Online: https://www.

csoonline.com/article/3689008/economic-pressures-are-increasing-cybersecurityrisks-a-recession-would-amp-them-up-more.html

4. Metz, C. (2023, March 29). Florida principal resigns after sending $100K to

scammer posing as Elon Musk. From CBS News Miami: https://www.cbsnews.com/
miami/news/florida-principal-resigns-after-sending-100k-to-scammer-posing-aselon-musk/

5. Garzón, G., & Garzón, F. (2020, June 30). Cybersecurity Incident Response:
Tabletop Exercises Using the Lego Serious Play Method. From ISACA:

https://www.isaca.org/resources/isaca-journal/issues/2020/volume-4/
cybersecurity-incident-response

6. SecureWorld News Team. (2020, November 23). Hedge Fund Closes Down After
Cyber Attack. From SecureWorld: https://www.secureworld.io/industry-news/
hedge-fund-closes-after-bec-cyber-attac

注目点 - 経営陣のセキュリティ30

2023 注目点 - 経営陣のセキュリティ

Ivanti の新しい調査が示す、経営幹部が直面する真のリスク
Ivanti のサイバーセキュリティステータスレポートシリーズの一部

Ivanti.com/ja

03-6432-4180

contact@ivanti.co.jp

Copyright © 2023, Ivanti. All rights reserved. IVI-2773 AS/KF