セクション: ボリューム C

これは、ガバナンスの観点から組織内のソーシャル エンジニアリング リスクの人的要因を軽減する最良の方法です。これは、ソーシャル エンジニアリング攻撃を認識して防止するように従業員を教育し、権限を与えるのに役立ちます。ソーシャル エンジニアリング攻撃は、欺瞞と操作を利用して人間の行動を悪用し、人々をだまして機密情報を漏らしたり、悪意のあるリンクをクリックしたり、悪意のあるファイルを開かせたりする悪意のある攻撃です1。これらの攻撃は、財務的損失、データ侵害、評判の低下、または法的責任など、組織に重大な損害を引き起こす可能性があります1。したがって、ソーシャル エンジニアリング リスクの人的要因、つまり好奇心、貪欲、恐怖、緊急性、信頼など、人々をこうした攻撃にさらしやすくする心理的および感情的な脆弱性に対処することが不可欠です2。毎年のセキュリティ意識向上トレーニングを義務付けることで、組織はソーシャル エンジニアリング攻撃の一般的な種類、手法、指標、およびそれらを回避するためのベスト プラクティスとポリシーに関する従業員の知識と意識のレベルを高めることができます2。セキュリティ意識向上トレーニングは、従業員の間でセキュリティと責任の文化を育み、組織の資産と利益を保護する上での役割と説明責任を強化するのにも役立ちます2。他のオプションは、ソーシャル エンジニアリング リスクの人的要因に直接対処していないため、毎年のセキュリティ意識向上トレーニングを義務付けるほど効果的ではありません。ソーシャル メディア情報セキュリティ ポリシーをスタッフに配布すると、ソーシャル メディア プラットフォームを使用する際のルールと期待事項を知らせるのに役立ちますが、スタッフがそれらを理解し、従うことが保証されるわけではありません。ソーシャル メディアへのアクセスを制限すると、潜在的なソーシャル エンジニアリング攻撃への曝露を減らすことができますが、他のチャネルや媒体を介した攻撃の発生を防ぐことはできません。従業員契約にセキュリティ要件を含めるよう義務付けることは、コンプライアンスを徹底し、違反を抑止するのに役立つかもしれませんが、無知や過失による違反の発生を防ぐことはできません。