割れ窓理論

建物の割れた窓を放置すると、やがて他の窓も壊され、地域全体が荒廃するという理論。情報セキュリティにおいては、軽微なルール違反を放置すると、やがて重大な不正につながるという考え方に応用される。

割れた窓が放置された建物は管理されていないとみなされ、やがて地域全体の秩序が乱れるとする、軽微な違反の放置が重大な犯罪を招くという理論。情報セキュリティでは、小さな規程違反や職場の乱れを放置しないことが内部不正の抑止につながる、という考え方に応用される。

犯行の機会そのものを減らすことで不正を防ぐという考え方。労力の増加、リスクの増加、報酬の減少、言い訳の排除などの観点から対策を設計する。内部不正防止では、アクセス制限や監視の可視化がこれに当たる。

利用者や機器の通常の行動パターンを学習し、そこから逸脱した異常な振る舞いを検知するセキュリティ技術。内部不正や不正アクセスの兆候を、従来のルールベースでは検出困難なケースでも機械学習により検知できる。

IPAが公表する、内部不正の防止・早期発見・事後対応の観点から組織が取るべき対策をまとめた指針。基本方針、資産管理、物理的・技術的管理、証拠確保、人的管理など複数の観点で対策項目を示す。

従業員のセキュリティ意識を高めるための継続的な働きかけ。教育や資料配付、社内ポータルや掲示物の活用などを組み合わせ、規程を知っているだけでなく日常業務で実践される状態を目指す。

標的型攻撃メールを模した訓練メールを従業員へ送り、開封や報告の状況を測定する訓練。開封率そのものより、不審メールを速やかに窓口へ報告する行動が定着しているかの確認に意義がある。

実際の攻撃者を模した専門チームが、期間や手段を限定せず組織へ侵入を試み、検知・対応能力までを含めて評価する演習。個別の脆弱性を洗い出すペネトレーションテストより広く、防御側（ブルーチーム）の実力を試す。