【正解の解説】
サイバーセキュリティの対策は、一度実施すれば永続的に効果が持続するため、継続的な見直しやリスク評価を行う必要はない。
これは日常の健康管理と同じです。一度人間ドックを受けて健康になっても、その後の食生活の乱れや新たな病気への対策を怠れば、いつの間にか体を壊してしまいます。サイバー攻撃の手口も日夜進化し続けているため、一度構築したセキュリティシステムをそのまま放置するのではなく、定期的な健康診断のようにリスク評価や見直しを続けることが絶対に不可欠なのです。
【その他の選択肢の解説】
サイバーセキュリティの脅威は技術的な脆弱性を突くものに限定されるため、組織内の従業員に対する教育や訓練は効果的な対策に含まれない。
サイバー攻撃の多くは、システムを直接ハッキングするだけでなく、人間の油断を誘う「標的型攻撃メール」など巧妙な罠を使います。これは、頑丈な玄関の鍵をかけていても、住人がうっかり知らない人に合鍵を渡してしまうようなものです。いくら最新のセキュリティソフトを入れても、使う人間が仕組みを知らなければ簡単に破られてしまうため、従業員の教育は技術対策と同じくらい重要です。
サイバーセキュリティの確保においては、システムやデータの保護を最優先とするあまり、利用者の利便性や業務効率への影響を考慮する必要はない。
例えば、社内に入るのに10個のパスワードと指紋認証、全身スキャンを義務付けられたらどうでしょうか。あまりの面倒くささに、社員はメモを机に貼り付けたり、非公式の便利ツールをこっそり使ったりして、かえってセキュリティを低下させます。セキュリティ対策は、組織の目的である業務がスムーズに行えるバランスを考慮し、利便性と安全性を両立させることが鉄則です。
サイバーセキュリティインシデントが発生した際は、原因の究明や再発防止策の検討よりも、迅速な業務の復旧と対外的な公表の回避を最優先すべきである。
火事が起きたときに、表面上の火を消して原因を調べず放置すれば、またすぐに同じ理由で火事が発生します。サイバー攻撃や情報漏洩でも同様で、隠蔽を図ったり原因を放置したりすれば、被害が拡大して企業の社会的信用は完全に失墜します。したがって、応急処置としての業務復旧と同時に、なぜ起きたのかの原因究明を行い、二度と起こさない仕組みを作ることが最優先事項となります。