内部脅威とは？

統計によると、内部脅威は、機密の業務記録を盗む知識、動機、権限を持っています。CISOの役割は、企業を特定の危険から守ることです。企業の機密データ、IT、ネットワーク資源に精通しアクセス可能な者は、内部脅威と見なされます。これらやそのリスクを理解することが、大きなトラブルを防ぐ助けとなります。

貪欲、財務上の困難、経済的な切迫、汚職への報復や他組織への忠誠心などが、非倫理的な内部者の動機となる場合があります。彼らは従業員を装い、短期間で信頼を得た後に攻撃を仕掛けることもあります。小さな借金の免除から民間情報の売買、さらには暴力や施設破壊に至るまで、内部からの工作は多岐にわたります。しかし、ほとんどの場合、無意識の内部者が最も危険な脅威を及ぼします。

人間の欠点やミスにより、無意識のうちに外部の障害を招くことがあります。たとえば、フィッシングサイトで個人情報を漏らしてしまう場合などです。データ担当者や会計担当者のミスは非常に大きな損失につながる可能性があります。こうしたミスの一部は単なる不注意ですが、ほとんどは計画不足やプロとしての誠実さの欠如によるものです。仕事用アカウントに個人のパスワードを使ったり、悪意あるリンクやファイルを気づかず開いたりすると、メールの安全性が損なわれます。

なぜ内部脅威は大きな問題なのか？

内部脅威がなぜ大きな問題なのか疑問に思うかもしれませんが、その影響は驚くべきものです。内部者は企業の日常業務で利用するデータやITシステムにアクセスできるため、大きな被害を引き起こす可能性があります。

この脅威は現実のものです。

2015年の Intel Security Report によれば、内部攻撃は全企業攻撃の43％を占め、悪意ある者と偶発的な者が同数でした。IBM X-Force 2016 CyberSecurity Intelligence Index では、サイバーセキュリティに対する内部脅威がより大きな懸念となっています。

数字は驚異的で、今後さらに増加することが予想されます。

内部攻撃の大部分には、少なくとも一人の外部関係者が関与していることを留意すべきです。

対象組織内の全員が、アプリの更新を怠ったり、初期設定の管理者パスワードを使用したり、不審な接続をクリックしたり、不安定なネットワークで機密情報を送信するなど、外部攻撃者にとって狙いやすい状況を作り出している可能性があります。

内部脅威対策プログラムの導入

内部脅威対策プログラムは、内部攻撃から組織を守るためのソフトウェアです。内部脆弱性対策の主な目的は、いかなる形のデータ流出も防ぐことにあります。内部脅威対策プログラムを導入する最大の利点は、データ漏洩や破壊を防げる点です。また、内部攻撃を追跡し対策を講じる能力が高まります。このアプリを使えば、企業は内部者から自社を守ることができ、攻撃に対して脆弱で無力な状態から脱することが可能です。

内部脅威対策ソフトの導入は、企業に多くの利点をもたらします。最大のメリットは、身元の偽装やデータ流出の影響から企業を守れることです。結果として、万が一の際の対策費用を削減できます。さらに、このプログラムは、現従業員、契約者、供給業者、同僚などを管理し、企業にとって重大な脅威を把握するのにも役立ちます。

ただし、内部脅威対策ソフトがすべてのミスや脅威を検出・予測できるわけではありません。たとえば、内部セキュリティやシステムコンプライアンスは、プログラムの監視範囲外の場合があります。攻撃者が、これまで見たことのないBusiness Email Compromise（BEC）攻撃を試みる可能性もあります。

一方で、内部脅威対策技術が完璧である必要はありません。従業員に潜在的なセキュリティリスクを警告し、注意を促す機能があれば、セキュリティ意識の向上につながります。

政府の内部脅威対策プログラムと施策

米国政府は、全連邦機関や契約業者に対して最低限の内部脅威対策基準を設けるため、National Insider Threat Program を創設しました。

規則により、対象組織は「内部攻撃の抑止、回避、軽減のための方針」を策定するため、180日以内に対応する必要がありました。

企業は内部攻撃から自社を守るため、次の対策を講じなければなりませんでした：

• 暗号化された政府ネットワーク上で利用者の監視を行う
• 消費者履歴の調査を実施する
• 従業員に内部攻撃の見分け方と対処法を教育する
• 内部脅威情報の分析と共有の枠組みを構築する
• 既存プログラムの調査や、他組織向け内部脅威対策ガイドの作成など、政府によるその他の施策

‍

内部脅威の特徴

内部脅威を見抜くには、単なる注意以上のことが必要です。早期検知には、その重要な特徴を把握し、初期段階で見極める必要があります。以下に、内部脅威を定義する要素を示します。これらを基に迅速にこの危険を識別してください。

• 信頼され権限を与えられた者の手で発生する。多くの場合従業員が原因ですが、サードパーティ業者、パートナー、関係者、インターン、外部委託者、研修担当、取締役も該当します。
• 完全な防止は不可能です。ファイアウォールやVPNなど厳重なセキュリティ対策を施しても、権限を持つ者が原因であるため、内部脅威の完全阻止は難しいです。ユーザーの認証と認可によって、その活動を追跡・管理することが求められます。
• システムに不正または未確認のソフトやツールがダウンロードされている場合、内部者が外部手段で企業情報にリスクを及ぼそうとしている可能性があります。
• 現組織への不満、十分な昇給や評価が得られない、または自身の事業開始などの動機で行われることが多いですが、必ずしも故意ではなく偶発的な場合もあります。

‍

内部脅威の種類

以下は主な内部脅威の種類です：

• 通常のアクセス

企業は従業員の満足に努めますが、全員を喜ばせるのは難しいのが現実です。賃金引き下げや人員削減などの企業方針により不満を抱く従業員は、日常的に機密情報へアクセスできるため、最も深刻な内部脅威となります。いくら防御策が整っていても、怒りに燃えた従業員がそのアクセス権を利用してシステムに手を加えるのを防ぐのは容易ではありません。

こうした内部者は、業務の混乱や記録の削除により企業に損害を与えようとします。このタイプの内部脅威は、重大な被害が出る前に特定するのに時間がかかることがあります。内部攻撃から守る最も簡単な方法は、従業員がアクセスする情報を日常業務に必要なものに限定することです。長期的な目標や秘密の欠点を全員に知らせても無意味です。万が一従業員が書類を盗もうとしても、取れる情報はごく一部で、被害も小規模に留まるでしょう。

通常のアクセスによる脅威は、また別の形をとることもあります。不満を抱く従業員が、企業資産や知識にアクセスし、不正な利益を得る可能性があります。彼らは報酬を得るため、機密情報をメディアに漏らしたり、競合に売却したり、闇市場で取引することも考えられます。

• 外部脅威

企業のセキュリティを突破し情報を盗み出そうとする者は、外部脅威とされます。ハッカー、競合他社、その他さまざまな存在から発生する可能性があります。代表的な外部脅威はハッカーで、外部からシステムに侵入することを狙っています。リモートアクセスの有無にかかわらず、目的は情報の窃盗です。一度端末に侵入されたハッカーを完全に阻止するのは困難ですが、いくつかの警戒すべき兆候がその活動を見抜く助けとなります。たとえば、外部攻撃者がVPNなどの高度な手段を使い、企業ネットワークに潜伏する場合があります。

他の潜在的な脅威からデータを守るため、組織のセキュリティ機構の強化を推奨すべきです。監視体制の強化により多くの攻撃を防げますが、外部攻撃がシステムに侵入しようとする試みを監視する専任チームの配置も必要です。

内部者と外部脅威が協力して、コンピュータやネットワークへのアクセスを試みるケースもあり、彼らの行動は企業に損害を与える意図に基づいています。

• 機器の窃盗

もう一つの内部脆弱性は、企業のインフラへのアクセスが許されているにもかかわらず、その枠外で活動する者です。いわゆる「外部人材」は、企業との関係が薄いため、容易に脅威をもたらす可能性があります。彼らは、機密情報を漏らすか、データを含むビジネス機器を窃取しようとするかもしれません。こうした情報が不適切な手に渡ると大きな問題となります。

許可されたアクセス権を持ち、その行動が目立たないため、外部人材は企業に深刻なセキュリティ脅威を与える可能性があります。独自のログイン情報を持ち、ノートパソコンやUSBドライブといった企業機器にアクセスできる場合もあります。

• ソーシャルエンジニアリング

ソーシャルエンジニアリングは、欺瞞を用いて人々に機密情報を漏らさせたり、特定の行動を取らせたりする攻撃です。通常、企業は外部から狙われ、従業員が自らの職務に関する機密情報を漏らすよう仕向けられます。これが成功すると、企業にとって甚大な被害となります。さらに、盗まれたデータが企業の安全なネットワークへのアクセスに利用されれば、事態はさらに深刻化します。

機器窃盗などの他の内部脅威は、ソーシャルエンジニアリングと組み合わせて行われることがあります。たとえば、外部脅威が従業員に対し、IDやノートパソコンの提供を促すためにソーシャルエンジニアリングを用いる場合があります。こうした手口に騙されないよう、従業員には外部との連絡に対する適切な対処法を教育する必要があります。従業員は、不審なリンクをクリックしたり、無防備なネットワークで機密情報をやりとりしたり、企業情報を外部に漏らしたりしないよう注意すべきです。

企業関係者やサードパーティ組織も、ソーシャルエンジニアリングによって被害を受ける可能性があります。ハッカーはシステム侵入を狙い、書類の不適切な取り扱いや企業資産の乱雑な管理、悪意ある利用により防御が脆弱になる状況を作り出す場合があります。こうした者は、駒として違法行為に巻き込まれることもしばしばです。たとえば、従業員がランサムウェアをインストールしたり、機密情報を外部に漏らしたりするケースが内部脅威の例です。これらは、企業にとって多岐にわたるリスクとなります。

• 不正アクセス

もう一つの内部脆弱性は、企業ネットワークへの不適切なアクセスを持つ者です。これらの者は、企業のコンピュータや設備に広くアクセスできるため、たとえデータや書類そのものを盗むことができなくても、一部の資産へのアクセスによりセキュリティリスクを引き起こします。

外部の者がこの人物に接触し、重要機器の窃盗や破壊のための金銭を提供する可能性もあります。その結果、業務の混乱は甚大となり、復旧費用もかさみます。また、セキュリティ規定を無視する従業員も内部事故の多くの原因となっています。企業防衛方針に反して、暗号化された個人情報を記録システムに保存し迅速なアクセスを図る行為は大きな過ちです。

• 寝返り/悪意ある内部脅威

これは、従業員や関係者が持つ正当なアクセス権を悪用し、詐欺、窃盗、破壊工作、スパイ活動を行うものです。たとえば、信頼された従業員が企業サーバにアクセスし、機密情報を入手して競合に売却し、金銭的利益や昇給、新たな就職機会などを得るケースが挙げられます。もしこうした行為が見過ごされれば、犯人は長期間にわたり不正を続ける可能性があります。

さらに、このタイプは、攻撃に関わる人物によって二つに分類されます。

二人以上の従業員が連携して攻撃を行う場合は協力型の寝返り攻撃と呼ばれ、一人の場合は単独型の寝返り攻撃と呼ばれます。

• 不注意な内部脅威攻撃

これは、計画されず、認可された者の初心者のミスや不注意で発生する攻撃を指します。例えば、認証された従業員がサーバにアクセスしたままログアウトを忘れ、そのアカウントが後に悪意ある者に利用され、機密データにアクセスされたり、悪意あるソフトを見逃してダウンロードされたりするケースです。

いずれの場合も、従業員に悪意はなかったものの、判断ミスや人的エラーが結果的に内部脅威攻撃を招いてしまいます。これらもさらに分類されます。

第一の分類は、操られた認可従業員、すなわち駒の助けを借りた攻撃です。熟練のサイバー犯罪者は、フィッシングなどのソーシャルエンジニアリングを用いて信頼された従業員を騙し、標的デバイスにマルウェアやウイルスをダウンロードさせることがあります。

無謀で不注意な内部脅威は、従業員や関係者が重要資源を雑に扱うことにより、意図せず損害をもたらすケースです。彼らは故意に被害を与えようとしているわけではなく、不注意な扱いが結果的に問題を引き起こすのです。

最後に、不注意な内部脅威攻撃には、スパイの助けが関与する場合があります。スパイとは、与えられた権利を悪用する外部者であり、業者やパートナーが企業の秘密を知り、個人的利益のためにそれを売り渡すケースが該当します。

内部脅威の実例

この脅威をより理解するには、実例を確認することが重要です。実例を知ることで、脅威の動作方法、被害の範囲、そして原因となるセキュリティの欠陥を把握し、対策につなげることができます。そこで、最も一般的かつ悪名高い内部脅威の実例を紹介します。

• Waymo - 内部者が14,000件以上のファイルを盗んだ

Google発の発想で生まれたWaymoは、有名な自動運転アプリ開発企業です。

Googleのしっかりとしたデータ守りにも関わらず、内部脅威から完全に守ることはできませんでした。犯人のAnthony Levandowskiは、退社する際に約14,000件の重要ファイルを盗みました。

同じデータを活用し、当時のWaymo主任エンジニアは自社を立ち上げ、すぐにUberが追随することとなりました。盗まれたファイルは、ドライバー情報、秘密のPDF、各種ソースコード、LIDAR技術の使用状況などに関するもので、Uberには利益をもたらしましたが、Waymoはデータ窃盗の補償を請求し、受け取ることとなりました。すべては、従業員が現組織に不満を抱いたために起こった事件です。

• Capital One - サードパーティ業者が深刻なデータ流出を引き起こした

この内部脅威は、企業が利用するサードパーティサービスに注意を払わないと、深刻な問題を招く可能性があることを示しています。銀行持株会社はAWSを利用しており、元AWS従業員が隠れた脆弱性を突いて、1億件以上のユーザーデータにアクセスしました。盗まれた情報はクレジットカードの詳細に関するものでした。

‍

内部脅威の特定と防止方法

内部脅威は、一定の信頼を得た人物が関わるため、特定や防止が難しいです。攻撃の影響を防ぐ、または軽減するためには、悪意ある活動を常に監視する必要があります。

以下は、内部からの脅威を示す疑わしい行動の例です。注意すべき点は次のとおりです：

• 企業内の役割や責任と無関係な方法でデータやシステムへのアクセスを試みる行為。これを発見した場合は、直ちにアクセス遮断などの対策を講じる。
• セキュリティ回避の試みを確認する。
• 企業方針違反がないかチェックする。
• 同僚間の不満行動に注意する。
• 機密フォルダからのデータの大量蓄積やファイルのコピー

異常な活動を監視することは重要ですが、それだけでは不十分です。攻撃を受けた場合、脆弱性を軽減し対応時間を短縮するための手段も必要です。

• 定期的なペネトレーションテストや脆弱性スキャンを実施し、内部脅威が及ぼす可能性のある影響を確認する。
• Dark WebMonitoring、行動インテリジェンス、EDR（エンドポイント検出および対応）などの脅威探知活動を強化・実施する。
• データ守りとID・アクセス管理を組み合わせ、データの暗号化および業務環境へのアクセス保護を強化する。
• 従業員の安全を守るためのセキュリティ対策を講じる。これには、従業員向けのセキュリティ意識向上トレーニングや、退職時の手続きなどの人事管理が含まれる。機密情報へのアクセス制限には物理的対策も必要である。

最終的なセキュリティ措置は、ユーザー活動の監視、追跡、分析を通じ、対策を講じる助けとなります。

これらの対策は有益ですが、部門間や個人間の継続的な連携が不可欠です。

その結果、内部脅威を早期に発見できる可能性が高まり、システムの安全性が向上します。目標は、内部からの脅威に耐えうるシステムを構築することです。

自社独自の内部脅威対策プログラムの作り方

内部脅威を検出、予測、対応する最も効果的な方法は、内部脅威対策プログラムを利用することです。万人に当てはまる解決策は存在しないため、各企業は自社のリスクに合わせたソフトウェアを開発し、適切なセキュリティ技術の導入、従業員の教育および監督を行い、システム脅威のリスクを低減する必要があります。以下は、貴社向けのステップバイステップガイドです。

1. 事前計画フェーズ

この段階では、企業はプロジェクト全体の計画を立て、内部資産および関係者を特定します。このフェーズの目的は、どの情報を秘密にし、誰がアクセスすべきかを決定することです。企業の規模に合わせ、特に中小企業にとって重大な脅威に焦点を当てたプログラムを構築します。

規制が厳しくなる部門に注目するのも有効です。いずれかの部門で大きな事件や一連の事故が起こった場合、そこから始めるとよいでしょう。プログラムの範囲を定めた後は、内部資産や関係者の評価に移ります。どのようなセキュリティ対策や法執行措置が講じられているか、内部脅威の検出方法は何か、また外部の業者やコンサルタントの支援が得られるかを確認し、多くの場合、外部の経験が有効に働くでしょう。

2. チームの構築

今こそ、パイロット部門の従業員やセキュリティ担当者を集め、チームを結成する時です。内部脅威管理は、全従業員を監視して恐怖を与える単なる管理ソフトだけでは不十分です。従業員に企業の問題の責任を感じさせるのではなく、経営陣と協力してプログラムを構築することが重要です。従業員が自由に意見を述べ、助けを求める環境を整えることで、生産性が向上し、強固なプログラムの実現につながります。

3. 経営陣の参画

全プロセスにおいて経営陣の参加が不可欠です。経営陣は単にリソースや改善策を承認するだけでなく、外部脅威やテロリストが狙う重要な存在でもあります。経営陣が不正に情報を漏らす、あるいはミスを犯せば大きな被害につながるため、計画の一員として参画することは、必要なツールの確保にも寄与します。

外部業者による公平な指導を受けながら、企業は内部脅威対策プログラムを構築できます。従業員が経営陣への窓口として機能することも、効果的な対策につながります。第三者に頼るより、企業データを守る解決策を経営陣に提示する方が望ましいでしょう。外部プロバイダーが監視と実装を担当することで、ミスを回避し効果的な脅威検出プログラムを実現できます。

4. リスクの特定

経営陣を説得してプログラムを導入したら、次は保護すべきものと対策対象を明確にします。まず、企業が作成・保管している各種機密データの一覧を作成し、以下の質問に答える必要があります：

• そのデータは貴社にとってどの程度の価値があるか？

もしデータが不正な者の手に渡り、ハッキングや破壊行為があった場合、罰金、財務損失、企業被害、法的措置、競争力の低下など、どのような影響が出るかを検証してください。

誰がなぜその情報を狙うのか？ハッカーや外部からの攻撃、その他悪意ある者にとって、どれほど有用な情報かを見極めます。

どのようにデータが破壊されたり、不正にアクセスされるか？承認済みの者がメールで速やかに閲覧できる情報なのか、内部メールから容易に抜き出せるものなのか、または企業関係者が漏洩する可能性があるのかを判断します。

• さらなる侵害につながる可能性は？

データ自体には単独での価値は薄いかもしれませんが、ハッカーにとっては非常に有用です。他の情報は、対立者や競合にとっては価値があるかもしれませんが、一般には無用なことも多いです。たとえば、部品の請求書は、競合が製造プロセスを把握するための重要情報となる可能性がありますが、他者には意味を持たないでしょう。企業は、あらゆる脅威や違反を回避するために、データ守りに努めるべきです。

実情は複雑であり、多くの点に注意を払う必要があります。いくつかの細部を見落としても過度に心配する必要はなく、一日で全てを解決できるわけではありません。まずはリスク軽減策を準備し、後からその他の脅威に対処しましょう。

6. リスク改善策の計画

リスク一覧から、内部脅威対策プログラムで対処すべき最も緊急なリスクを特定します。そのため、特定のセキュリティ知識が必要です。安全でない閲覧、悪いパスワードの使用、フィッシング対策の不足は大きなリスクですが、従業員研修で既に対策済みの場合もあります。

特に見落としがちなのは、暗号化されていないメールのリスクです。従業員同士が機密情報をメールでやり取りし、受信者が安全なポートを使用しなければ、ハッカーに傍受される恐れがあります。内部連絡にはメール暗号化プログラムの利用が望ましく、安全な通信が確保され、重要なデータが外部に渡るリスクが排除されます。

また、機密データにタグを付け、取り扱いルールを設けることも有効です。機密情報へのアクセスは必要な者に限定し、情報共有の方式も明確にします。たとえば、請求情報をメールで送るのはPCI違反となるため避けるべきです。データ損失対策のソリューション（Data Loss Prevention）の導入も検討してください。

不十分なアクセス管理は、偶発的な情報漏洩の主な原因です。従業員が必要以上の機密データにアクセスできると、リスクが増大し被害の規模も拡大します。各従業員のアクセス範囲を物理的、技術的、運用的に管理し、役割ごとにデータへのアクセスを制限する必要があります。たとえば、事務職は患者名にはアクセス可能でも、詳細な医療記録は不要であればアクセスさせないべきです。

組織は、HIPAAの実践や厳しいCJIS基準を取り入れた一元的なコンプライアンス枠組みを構築すべきです。CJISのセキュリティポリシーでは、週次監査やアカウント管理など、内部脅威の早期発見を助ける対策が求められます。多要素認証は、強固なパスワード設定や頻繁な変更といった、基本的な認証・データ守りの代替にはなりません。

7. 悪意ある脅威に対するリスク軽減

悪意ある脅威を対象とする内部脅威対策プログラムは、警戒すべき兆候を見抜き検証することに基づくべきです。従業員は監視され、不審な行動の見分け方や、コンピュータの放置といった不注意なリスクの回避方法を学ぶ必要があります。

効果的な脅威検出システムは、悪意ある内部者の発見に役立ち、内部脅威対策プログラムの効果を高め、過去の事例にも対処できるようになります。

8. サードパーティ脅威に対するリスク軽減

クラウドストレージや自動化システム、その他のデバイスへの依存が高まる中、サードパーティのアクセス範囲は拡大し続けます。デジタル移行に伴いさまざまなリスク戦略が試されますが、信頼できるものは限られています。最も効果的な戦略は、アプリやネットワークへのアクセス保護に注力することです。しかし、外部ストレージや各種サービスプロバイダーを通じて予期せぬ量のデータが流れるため、不正アクセスを防ぐためのアクセス権管理が求められます。

明確でカスタムなアクセス権に基づくオブジェクトレベルのデータ守りは、サードパーティリスクを含む内部脅威の抑止に不可欠です。企業は、データアクセス、権限の取消や期限管理に重点を置き、不正アクセスを防ぐ必要があります。長期間企業から離れた場合や他部門に移る場合でも、データの権限は伴うため、所有者が十分に管理できるのが利点です。

9. 反復改善

セキュリティは一度限りの活動ではなく、継続的なプロセスです。プログラム初期には控えめな目標を設定し、従業員や担当スタッフが定期的に進捗を確認する体制を整えます。誤検知の除去や優先順位の変更、システムのアップグレードなど、改善が求められる場合もあるため、現状の対策を維持しながら従業員の関与を継続してください。

いずれ、内部脅威対策プログラムを組織の他部門にも展開する時が来るでしょう。初期段階に関わった従業員をリーダーや指導役に任命することで、その経験が全体の強化につながります。

10. 従業員教育

前述のとおり、適切なセキュリティおよび管理の実践は、内部脅威に対する最善の防御策です。したがって、従業員教育は欠かせません。従業員は、セキュリティリスクの排除やコンプライアンス問題への対応方法について、継続的に研修を受ける必要があります。

不十分なアクセス管理は内部事故の主な原因です。安全でない公共の接続やWi-Fiの使用、アクセス情報をパソコンに保存、公共の場でのパソコン放置などは、重要なデータ漏洩を招く恐れがあり、ログイン情報が盗まれるリスクもあります。そのため、従業員はパスワードを保存せず、ブラウザの終了時にキャッシュを消去する設定にする必要があります。

セキュリティルールには、問題の対処方法、報告先、報告方法が明確に記されるべきです。各部門は、内部脅威に対する具体的な対応手順（連絡先情報を含む）を整備する必要があります。政府のサイバーセキュリティに関わる脅威は迅速に対応すべきであり、たとえば、従業員が公共のパソコンでプロファイルにログインしたり、情報が盗み見られた疑いがある場合、速やかな通知が外部の対策リスクを低減します。従業員は自由に経営陣に意見を述べられる環境が望まれます。

結論

内部脅威は検出が難しいですが、内部脅威対策プログラムの導入によりリスクを軽減できます。このプログラムは、プロセス、方針、技術の組み合わせにより、組織を潜在的な脅威から守るものです。アクセス制御、セキュリティ実践のオリエンテーション、技術ツールの研修、データ流出防止などが含まれることがあります。さらに、内部脅威に関する意識向上トレーニングも欠かせません。セキュリティ意識向上トレーニングは、従業員が不審な行動を認識し、適切に対処・報告するためのプログラムや活動です。

内部脅威には、ソーシャルエンジニアリング、機器窃盗、通常のアクセスなど主に5種類が存在します。これらすべてに対して適切なセキュリティ対策を講じることが重要です。内部脅威やその他のITセキュリティ問題について学べば学ぶほど、組織内でのリスクを効果的に低減できます。