フォーティネット、「セキュリティ意識とトレーニング調査レポート 2024年版」を発表。約70%の組織が従業員の基本的なセキュリティ意識の低さに懸念を示す

組織におけるサイバー意識の向上と組織リスクの低減の関連性を指摘

サイバーセキュリティの世界的リーダーで、ネットワークとセキュリティの融合を牽引するフォーティネット（Fortinet®）は、「セキュリティ意識とトレーニング調査レポート 2024年版」を発表しました。このグローバル調査の結果では、従業員のサイバー意識が組織におけるリスクの管理と減災に極めて重要な役割を果たすことが示されました。
https://www.fortinet.com/content/dam/fortinet/assets/reports/ja_jp/report-2024-security-awareness-and-training.pdf

本調査は、フォーティネットの委託に基づき第三者調査機関により本年5月～6月に29の国と地域で実施されたもので、回答者は1,850人以上の経営幹部および管理職、業種は、製造（17%）、金融サービス（13%）、テクノロジー / プロフェッショナルサービス（11%）など、多岐にわたります。

本調査で明らかになった主な結果は、以下の通りです。

脅威アクターがAIを利用して多くの攻撃を短時間で仕掛けるようになっていることから、リーダーは、従業員がこれらの脅威を特定するのがさらに困難になると予想：60%以上の回答者が、AIを利用した攻撃の被害者になる従業員が増加すると考えています。一方、回答者の80%は、AIを活用する攻撃が全社的に認識されるようになったことで、組織全体でセキュリティ意識が向上し、トレーニングに前向きに取り組むようになったと回答しました。
従業員は組織防衛の最前線になり得るが、リーダーは、従業員のセキュリティ意識の低さに懸念を示す：70%近い調査対象者が、自社の従業員にサイバーセキュリティの重要な知識が不足していると考えており、2023年の56%から増加しました。
リーダーは、セキュリティ意識向上を目的とするトレーニングの重要性を認識しているものの、いくつかの属性がトレーニングプログラムの効果を左右すると考える：4分の3の回答者が、セキュリティ意識向上のためのキャンペーンを計画し、毎月（34%）、または四半期ごと（47%）にコンテンツを提供していると回答しました。経営幹部はさらに、高品質のコンテンツがプログラムの成否に重要な役割を果たすと指摘しています。

■ 従業員は最新の脅威との戦いを強いられている
サイバー犯罪者がAIを利用する代表的な方法の1つとして、フィッシング詐欺を巧妙化し、発見を困難にすることが挙げられます。フィッシングは個人を直接標的にするため、組織は、このような攻撃の被害者にならないための方法を従業員に周知することを、最重要視しています。

エンドユーザーは今なお魅力的な標的：80%以上の組織が昨年、マルウェア、フィッシング、パスワード攻撃などの個人を直接標的にする攻撃を経験しました。https://www.fortinet.com/content/dam/fortinet/assets/reports/ja_jp/2024-cybersecurity-skills-gap-report.pdf
攻撃の進化に伴い、セキュリティ意識向上とトレーニングの重要度は増すばかり：ほぼすべて（96%）の調査対象者が、経営陣が従業員のセキュリティ意識向上のためのトレーニングを支援していると回答しました。
ほぼすべて（98%）の回答者が、フィッシング対策をトレーニングプログラムや計画に取り入れていると回答：これ以外に、データセキュリティ（48%）とプライバシー（41%）がトレーニングの優先事項として挙げられます。

■ 従業員は攻撃に対する強力かつ最初の砦
サイバー脅威からの組織防衛では、セキュリティチームとITチームが極めて重要ですが、企業の従業員も侵害の防止に重要な役割を果たします。

従業員は、セキュリティ意識向上とトレーニングの機会を肯定的に捉えている：86%の回答者が、従業員がセキュリティ意識向上とトレーニング受講を前向きに捉えていると回答しました。
多くの組織が、セキュリティ意識向上プログラムやトレーニングを実施することで良い結果を得られると考えている：89%が、セキュリティ意識向上とトレーニングの実施後に組織のセキュリティ態勢に少なくとも一定の改善が見られたと回答し、まったく改善されなかったとする回答は1件もありませんでした。

<出典：フォーティネットセキュリティ意識とトレーニング調査レポート2024年版（以下同）＞

■ サイバー意識向上を目的とするトレーニングは重要だが、プログラムの品質が効果を左右
ほとんどの組織は、侵入された経験や自社の業種や分野の脅威に関する知識に基づき、セキュリティ意識とトレーニングを積極的に導入しようとしています。ほぼすべての回答者（96%）が、従業員のサイバーセキュリティ意識を向上させるトレーニングの実施を経営陣が支援していると回答しています。

今年の調査によると、97%のリーダーが、従業員の意識向上が組織のサイバーセキュリティ態勢の強化につながると考えています。しかしながら、回答者は同時に、トレーニングプログラムの効果を左右する重要な属性があることにも同意しています。

コンテンツに魅力があるかが何より重要：86%の意思決定者が、現在のセキュリティ意識向上とトレーニングに満足していると回答しましたが、不満の理由として最も多かったのは、魅力的なコンテンツがないという回答でした。
義務付ける学習時間を考慮：学習時間を考慮することで、トレーニング疲れを回避します。長時間の参加を強いれば、従業員に過度の負担をかけることになります。1.1～2.0時間が妥当という回答が最も多く、平均は3時間でした。

■ サイバーセキュリティ意識の高い人材を育成するフォーティネットのセキュリティ意識向上とトレーニングのサービス
たとえ一度の侵害であっても、ビジネスに大きな影響を及ぼします。そのような状況を回避するには、以下3つの側面から防御戦略を構築する必要があります。
https://www.fortinet.com/jp/blog/industry-trends/gaps-in-skills-knowledge-technology-pave-way-for-breaches

① 全従業員に対するセキュリティ意識向上とトレーニング
② IT / セキュリティスタッフに対するサイバーセキュリティの技術的スキル
③ ネットワークを防衛する高度なセキュリティソリューション

意識向上とトレーニングは、個人が脅威に直面した場合にどうするべきかを周知するだけでなく、組織全体でサイバーセキュリティの文化を創造する基礎になります。フォーティネットは、従業員のサイバー意識向上に役立つセキュリティ意識向上とトレーニングのサービスを提供しています。Fortinet Training Instituteのワールドクラスのトレーナーが開発した本サービスは、幅広いトピックを解説し、学習内容のカスタマイズの機会を提供し、定期的な復習やチェックで学習を強化することで学習内容を確実に定着させます。本サービスを使用した組織は、さまざまなダッシュボードやレポート機能を活用して、サイバー保険やコンプライアンスのニーズにも対応できるようになります。
セキュリティ意識向上とトレーニングのサービス:https://www.fortinet.com/jp/training/security-awareness-training
Fortinet Training Institute:https://training.fortinet.com/

フォーティネットのCMO、John Maddison（ジョン・マディソン）は、次のように述べています。
「脅威アクターがAIなどの新しいテクノロジーを活用して攻撃を高度化させていることから、強固な最初の砦としての従業員の役割がこれまで以上に重要になっています。フォーティネットの新しい調査は、サイバーセキュリティの文化を創造することの重要性と、組織全体にセキュリティ意識向上とトレーニングを展開することの必要性を強調するものです。これらの調査結果は、世界中の小中高校に無償で提供している教育機関向けの教育版も含むフォーティネットの受賞歴を誇る企業向けセキュリティ意識とトレーニングのサービスの重要性とサイバーレジリエンスの強化におけるその役割を強調するものです」

※この他、本調査では、AIを悪用する脅威アクターの急増に併せ、組織側もAIをセキュリティに活用した防衛の導入や計画を進めている（回答者の95%）状況や、開発や業務へのAI活用に伴う潜在的な脆弱性なども指摘しています。詳細はレポートをご参照ください。
https://www.fortinet.com/content/dam/fortinet/assets/reports/ja_jp/report-2024-security-awareness-and-training.pdf

関連資料
● サイバーセキュリティの意識向上や製品関連のトレーニングを始めとするフォーティネットの無料のサイバーセキュリティトレーニングの詳細
https://www.fortinet.com/jp/training/cybersecurity-professionals
Fortinet Training Instituteは、フォーティネットTraining Advancement Agenda（TAA）の一環として、認定ネットワークセキュリティエキスパート（NSE）プログラム、Academic Partner Program、Education Outreach Programも提供しています。
NSEプログラム:https://www.fortinet.com/jp/training-certification
Academic Partner Program:https://www.fortinet.com/jp/training/academic-partner-program
Education Outreach Program:https://www.fortinet.com/training/education-outreach-program
● fortinet.com/jp/trust　フォーティネットのイノベーション、協力パートナー、製品セキュリティプロセス、実証済みのサイバーセキュリティを必要とされるあらゆる場所に提供するエンタープライズグレード製品の詳細
https://www.fortinet.com/jp/trust
● FortiGuard Labsの脅威インテリジェンスとリサーチや最新のサイバーセキュリティ攻撃を減災する方法をタイムリーにお知らせするアウトブレイクアラートの詳細
FortiGuard Labs:https://www.fortinet.com/jp/fortiguard/labs
アウトブレイクアラート:https://www.fortinet.com/jp/fortiguard/outbreak-alert
● フォーティネットのFortiGuardセキュリティサービスポートフォリオの詳細
https://www.fortinet.com/jp/solutions/enterprise-midsize-business/security-as-a-service/fortiguard-subscriptions
● フォーティネットのお客様による組織の保護の事例
https://www.fortinet.com/jp/customers
● フォーティネットのX、LinkedIn、Facebook、Instagramをフォローし、フォーティネットのブログまたはYouTubeチャネルに登録してください。
X:https://x.com/fortinetjapan
LinkedIn:https://www.linkedin.com/company/fortinet/
Facebook:https://www.facebook.com/FortinetJapan/
Instagram:https://www.instagram.com/fortinet/
ブログ:https://www.fortinet.com/jp/blog
YouTube:https://www.youtube.com/@FortinetJapan

※本プレスリリースは、米Fortinet, Inc.が2024年10月23日(現地時間)に発表したプレスリリースの抄訳です。
原文:https://www.fortinet.com/corporate/about-us/newsroom/press-releases/2024/fortinet-report-finds-70-percent-of-organizations-lack-fundamental-security-awareness-for-employees
※この日本語版はフォーティネットのニュースルームでもご覧いただけます。
https://www.fortinet.com/jp/corporate/about-us/newsroom/press-releases/2024/fortinet-report-finds-70-percent-of-organizations-lack-fundamental-security-awareness-for-employees

■フォーティネットについて
フォーティネットは、ネットワーク/セキュリティの融合とサイバーセキュリティの進化を、牽引し続けている企業です。あらゆる場所で、人・デバイス・データの安全を確保するというミッションのもと、お客様が必要とするすべての場所にサイバーセキュリティを提供しています。今日では、エンタープライズでの利用に対応した50を超える製品群で構成される業界最大規模の統合ポートフォリオを実現し、業界最多の導入実績、特許数、認証数に支えられ、50万を超えるお客様からの信頼を獲得しています。「Fortinet Training Institute」では、誰もがサイバーセキュリティのトレーニングと新たなキャリアの機会を得られるよう、業界最大規模かつ最も広範なトレーニングプログラムを提供しています。また、各国のCERT(Computer Emergency Response Teams)や政府機関、学界などとの緊密な官民連携は、世界のサイバーレジリエンスを強化するための基本的な取り組みです。さらに、脅威分析とセキュリティ研究を行う組織「FortiGuard Labs」を運営し、自社開発した最先端の機械学習やAIテクノロジーを活用することで、タイムリーかつ一貫したトップクラスの保護と共に、実用的な脅威インテリジェンスをお客様に提供しています。詳しくは当社ホームページ、フォーティネットブログ、FortiGuard Labsホームページをご参照ください。
Fortinet Training Institute:https://www.fortinet.com/jp/nse-training
緊密な官民連携:https://www.fortinet.com/jp/trust
FortiGuard Labs:https://www.fortinet.com/jp/fortiguard/labs
当社ホームページ:https://www.fortinet.com/jp
フォーティネットブログ:https://www.fortinet.com/jp/blog

Copyright© 2024 Fortinet, Inc. All rights reserved. 「®」および「™」マークはいずれも、Fortinet, Inc. とその子会社および関連会社の米国における登録商標および未登録商標であることを示します。フォーティネットの商標には、Fortinet、Fortinetロゴ、FortiGate、FortiOS、FortiGuard、FortiCare、FortiAnalyzer、FortiManager、FortiASIC、FortiClient、FortiCloud、FortiMail、FortiSandbox、FortiADC、FortiAI、FortiAIOps、FortiAgent、FortiAntenna、FortiAP、FortiAPCam、FortiAuthenticator、FortiCache、FortiCall、FortiCam、FortiCamera、FortiCarrier、FortiCASB、FortiCentral、FortiCNP、FortiConnect、FortiController、FortiConverter、FortiCSPM、FortiCWP、FortiDAST、FortiDB、FortiDDoS、FortiDeceptor、FortiDeploy、FortiDevSec、FortiDLP、FortiEdge、FortiEDR、FortiExplorer、FortiExtender、FortiFirewall、FortiFlex、FortiFone、FortiGSLB、FortiGuest、FortiHypervisor、FortiInsight、FortiIsolator、FortiLAN、FortiLink、FortiMonitor、FortiNAC、FortiNDR、FortiPAM、FortiPenTest、FortiPhish、FortiPoint、FortiPolicy、FortiPortal、FortiPresence、FortiProxy、FortiRecon、FortiRecorder、FortiSASE、FortiScanner、FortiSDNConnector、FortiSIEM、FortiSMS、FortiSOAR、FortiSRA、FortiStack、FortiSwitch、FortiTester、FortiToken、FortiTrust、FortiVoice、FortiWAN、FortiWeb、FortiWiFi、FortiWLC、FortiWLM、FortiXDR、Lacework FortiCNAPPなどが含まれますが、これらに限定されるものではありません。その他の製品名およびサービス名等は、各社の商標である場合があります。フォーティネットは、本プレスリリース内の第三者に帰する声明、認可またはテストについては、検証を行っておらず、また、このような第三者に帰する声明を承認するものではありません。本プレスリリースは、保証または債務保証、または契約として一切拘束を受けるものではなく、記載された製品仕様または製品性能は、ある特定の環境や条件のもとで計測されていることがあります。また、本プレスリリースには、将来の見通しに関して不確実性および仮説を伴う記述が含まれている場合がありますが、本不確実性が現実になったり、あるいは本仮説が正しくないことが判明したりする場合、明文的あるいは暗黙的に記述された内容と異なる結果が生じることがあります。これには、サイバー犯罪活動の動向予測に関する記述などが含まれますが、これに限定されるものではありません。このような動向は予測することが困難であり、また、このような動向に関する公開予測や期待事項は結果として正しくないことがあります。フォーティネットは、このような将来見通しを改正する義務を一切負うものではなく、また改正を発行することもありません。