従業員コミュニケーションとISMS運用のコツ

https://cyber-sec-plus.connpass.com/event/292247/
登壇資料

Transcript

1. 従業員コミュニケーションと
   ISMS運⽤のコツ
   MIE KOBAYASHI
   SEP. 7, 2023
   

   View Slide

2. Mie Kobayashi
   @mie_s2525
   みこよし@情報セキュリティのお姉さん
   情シス歴：3年
   バックグラウンド：ネットワークエンジニア
   

   View Slide

3. 今⽇のお話
   Ø事業会社でセキュリティ強化を頑張っている
   Ø⾊々なことを試しているが効果がわかりにくい
   Ø従業員がいまいち興味を持っていない
   Øインシデントが発⽣する
   

   View Slide

4. ⼤前提として
   情報セキュリティに興味がある従業員は半数以下
   ここにいる皆さんと同レベル、もしくは近い⽬線で情報セキュリティに関⼼がある従業員はごくわずか
   

   View Slide

5. どうすればいいのか？
   

   View Slide

6. セキュリティを考える時の3本柱
   ① ルール
   ② 企業⽂化
   ③ 機能制限
   

   View Slide

7. ルール
   ØISMSのルール
   Ø情報セキュリティ規定
   Ø従業員が仕事を⾏う上でのルールブック
   

   View Slide

8. ポイント
   Ø実現可能なレベル × 事業の⽔準レベル
   Ø理想のルールはNG
   

   View Slide

9. ⽂化
   企業と従業員の間で共有されている価値観や⾏動様式・⽣活習慣
   

   View Slide

10. ポイント
    Ø⼈事に任せない
    Ø定期的なセキュリティ教育
    Ø積極的な発信
    

    View Slide

11. 機能制限
    ⼈は不正を犯す できない・やれない環境
    物理・機能制限でコントロール
    

    View Slide

12. ポイント
    Ø⼈に判断させない
    Øルールとセット
    Ø例外を作らない
    

    View Slide

13. そんなこと全部やってるよ
    

    View Slide

14. 会社が死ぬもの考える
    なんでもかんでもセキュリティを⾼めない
    Ø漏れたら会社が死ぬ情報
    Ø最優先で守らないといけないもの
    経営陣と⽬線合わせる
    

    View Slide

15. メリットで考える
    Ø会社にとってのメリット
    Ø事業にとってのメリット
    Ø部⾨にとってのメリット
    

    View Slide

16. その⼈の⽴場とリスクで考える
    Ø営業部にとってのリスク
    Ø開発部にとってのリスク
    Ø管理部にとってのリスク
    

    View Slide

17. どこかで聞いたことありますね？
    リスクアセスメント
    

    View Slide

18. 各部⾨と⽬線を合わせる
    Ø業務プロセスにおけるリスク
    Ø発⽣したら困る事態
    👉 ⼀緒に考える
    

    View Slide

19. 事務局はガイド役
    台帳の管理、代わりにやってませんか？
    審査の準備、全てやっていませんか？
    インタビューの回答、全てやっていませんか？
    👉 活動すべきは各部⾨の従業員
    

    View Slide

20. 諦めも肝⼼
    Ø事業の優先度
    Ø経営課題の優先度
    👉 やらないという判断（リスク受容）
    

    View Slide

21. 明⽇からはじめよう
    Ø常に社内へ発信
    Ø 起きたインシデント、最悪の事態、セキュリティのトレンド、同業他社の事例…
    Øちょっとした⽤件でも、テキストで終わらせない
    Ø⾃らコミュニケーションを取る姿勢を⼤事に
    

    View Slide

22. 積極的なコミュニケーションがISMSを制す
    

    View Slide