情報セキュリティのサービスにおける心理学。 犯罪への中毒

彼らは最高の戦いはそこになかったものだと言います。 情報セキュリティを提供するタスクに関して、最良のリークは発生しなかったものであると言えます。 これを実現するためには、セキュリティサービスがプロアクティブであり、インサイダーが何かを「マージ」しようとする前であっても識別できる必要があります。 疑問が生じます：これをどのように実践するか？ インサイダーへの傾向を事前に特定することは可能ですか？ カットの下で、私は答えを出そうとしました。

fireはどこから来たのですか？

インサイダーの早期発見というアイデアは、ゼロからは生まれませんでした。 一方で、同僚と私はSearchInformのトレーニングセンターで働いており、さまざまな「疑わしい」人格を見つける方法を学ぶことは私たちの直接の責任です。 一方、私の同僚は心理学の候補者であり、長い間、特定の組織のニーズに合わせた人材の選定に長い間従事していました。 彼の業績は、後々、私たちを大いに助けてくれました。 しかし、最初に、何を基礎として取るかを決定する必要がありました。 2006年の情報セキュリティ問題に関するFBIとCIAの共同レビューが手元にあることが判明しました。その結果、インサイダーは実際にはだれでもかまいません。

• 従業員（市民または軍）;
• 請負業者（たとえば、競争ベースを含む、外部組織が仕事の遂行に関与する場合）;
• フルタイムの人
• パートタイムの人;
• 臨時労働者;
• ネットワーク経由で情報にアクセスできるユーザー。
• 同僚/パートナー（外国人を含む）;
• 州および市政府の従業員;
• 情報技術ツール、システム、およびサービスのプロバイダーの従業員。

そのようなアプローチはあまりにも記述的であり、従業員の職業/年齢/性別およびその他の「社会人口統計」特性を考慮に入れるのは価値がないことは明らかです。目的の結果に近づけます。

その結果、「全員とすべて」を体系化するために、MBTIアンケートの基礎となったKarl Gustav Jungのアイデアに導かれることが決定されました。


各スケールでの人間の好みの組み合わせにより、16の異なる心理タイプの人格を区別することができます。それぞれのタイプは、最も顕著なポールの名前を含む式によって便利に示されます。


たとえば、ESTPは外向的であり（E）、感覚に助けられて周囲の世界に関する情報を受信することを好み（S）、思考に集中する（T）、瞑想的な立場（P）の性格を取る傾向があります。 「非公式」なものもありますが、非常に容量が大きく、このタイプまたは「ラベル」を決定する品質の全体性に対する日常的な理解を反映しています。 たとえば、ESTJは管理者、ISTJは検査官、ESTPは元s、ESFJは愛好家などです。

もちろん、そのような「ラベル」は、文字型の心理的公式を適切に置き換えることはできません。また、場合によっては、その過度に一般的な性格は、人に関する微妙な違いや誤解を完全に無視しますが、これらの名前は非常に粘り強く人気があります。

好みは幼い頃に人に発達し、その後彼はしっかりとそれらに固執します。 そして、意図的および意図的ではなく、好みをより多く使用するほど、それらに依存する自信と意欲が高まります。 もちろん、これは、多くの好みにない資質を時々使用できないという意味ではありません。 それどころか、人が成熟すればするほど、そのような「優先順位のない」資質が豊かになり、多様性が増していきます。 同時に、設定を置き換えることはできません。たとえば、外向性の人は内向的な人になることはありません。

さらに、入手可能な情報によると、1つまたは別の心理学的タイプに属することは、職業上の役割、地位、および他の同様の特性とかなり密接に関連しています。 たとえば、マネージャーは通常「管理者」（ESTJ）または「検査官」（ISTJ）であり、ごくまれに「作詞家」（INFP）です（下図を参照）。


しかし、マネージャー向けにそのような配布が存在する場合、インサイダーにも同様の配布が存在する可能性があると仮定することは論理的です。 言い換えれば、 ある心理タイプを持つ人は、他の人よりもインサイダーになりやすいかもしれません 。 この考えの間接的な確認は、エリック・ショーとハーレイ・ストークによる「知的財産のインサイダー窃盗を特定するための行動リスク指標」の研究の結果である可能性があります。これは、特に、知的財産窃盗を犯したインサイダーに固有の主要な行動を説明しています。

各心理タイプには、かなり完全な説明と重要な特徴の両方があります。 より多くの人がそれらに対応すればするほど、より明るい人または他の精神型が表現されます。 しかし、特性の短いリストでさえ、人が何ができるかについて結論を引き出すことができます。 たとえば、ここに、心理的タイプのESTP（「マーシャル」）に属する人の主要な特性のリスト、または社会的タイプのSLE（感覚-論理的外向性）に対する彼の分身があります。

1. それは戦術的なタスクをうまく解決します。
2. ビジネスの階層的リーダー。
3. コンタクトを確立する方法は、客観的な指標に焦点を合わせています。
4. 事業活動の形態は、障壁と障害の自発的な克服に焦点を当てています。
5. 部下との相互作用のシステムには、管理制御が含まれます。
6. 競合するタイプの動作を指します。
7. 人間関係を考慮せずにビジネス活動で大きな成果を達成します。
8. ビジネスで積極的に倫理を否定する傾向があります。 彼は終わりが手段を正当化すると信じています。
9. 動機と目的：わがまま、キャリアプラン、人生の成功を目指して。 自分の利益とあなたの会社の成功に対する懸念。
10. 法律に対する態度：犯罪の危険にさらされやすい。 可能な限り、法的障壁を克服するようにしてください。
11. 戦略：状況における適切なオリエンテーション、利益を増やすための有利な機会に焦点を当てます。

パラグラフ8〜10（および他のいくつか）の内容は、情報セキュリティの確保に関する会話の文脈で注目に値します。 私の同僚と私は、メディアに内在する倫理的およびビジネス的品質の観点からすべてのタイプを分析し、最も「危険な」もの、つまりインサイダーを作る傾向を示唆するものを特定しました。


同時に、「侵入者」（ESTP、ESFP）の数字が大きいほど、このタイプの代表者がインサイダーになる可能性が高いことを示しています。

「本当のささいなこと」がありました-従業員の心理タイプを決定するために。 そして、ここにいくつかの質問があります：

1. 使用するツールは何ですか？
2. 誰がこれをしますか？
3. 結果をどうしますか？

心理学的タイプを特定できる方法論として、すでに述べた「マイヤーズブリッグスタイプインジケーター」（MBTI）を使用できます。これは、Kersey気質選別機D. Kirsiの適応バージョンであり、社会的アプローチを提唱する人に適しています。あなたの社会型” V. Gulenko。 実際には、前述の方法のコンピューターバージョンを使用することをお勧めします。これらの方法も不足していないためです。 投稿のフレームワーク内で、いくつかの規定を説明するために、ソフトウェア製品（便利な同僚のベストプラクティス）「これらと他の心理診断ツールの両方を実装する「プロフェッショナルな心理テストのシステム」が使用されます。 スリッパを落とさないようお願いします-これは広告ソフトウェアではありません 販売用ではありません（独自の開発）。

練習する

だから、言葉から行動まで。 実際に理論的な考慮事項をテストすることにしました。 当然、最初の「実験的」なのは自分の部門の従業員でした。 1人の候補者のテスト時間は約30〜40分でした。 テスト結果は図に示されています（図では「氷山の一角」しか見えないことに注意してください。他のタブに大量の情報が表示されますが、本書では分解する必要はありません）。


最も重要な結果である4文字の心理学的タイプに加えて、好みの厳しさに注意を払うことが不可欠です。 サイコタイプの用語を表現すればするほど、プログラムによって発行された特性が人をより正確に説明します。つまり、特定の状況での彼の行動がより予測可能になります。


悲しいかな、私たちの従業員はラッキーではありませんでした。彼には目と目が必要です:)

しかし、光はMBTIに収束しませんでした。 したがって、より完全な特性評価のために、1つのテストのみに限定しないことを決定し、「補足負荷」として、被検者はリスク選好度のテスト（「個人の意思決定要因」T.Kornilova）および社会的知性のレベルのテスト（「4-社会的知性のx因子検定M.オサリバンとJ.ギルフォード）。

1つ目は、合理性とリスク選好という2つのパラメーターを定義します。 ほとんどの場合、それらは互いに拮抗しています。 つまり、人が一方に傾くほど、もう一方に傾くことが少なくなります。 インサイダーは、ご存じのとおり、リスクを負う傾向があります。


ソーシャルインテリジェンスの診断テストでは、テスト対象者がどれだけ人を「読み」、状況を予測し、正しく解釈できるかを示します（したがって、彼らを有利に「回す」）。


多くのインサイダーも「マニピュレーター」であるため、このパラメーターを知る必要があります（彼らは自分の目標を達成するために人々を操作します）。

テスト結果では、解釈、プロファイル、および「標準」ポイントだけでなく、「生」ポイントにも注意を払う価値があります。これらは、テスト対象者の個々の特性をより広範囲に判断できるようにするためです。 あなたは理解しています：インサイダーは「ピースグッズ」です。

次は、2番目の質問に答えるときです。誰がこれをすべて行うのでしょうか 明らかに、これはセキュリティ担当者であってはなりません（「私たちには何がありますか、それ以上何もする必要はありませんか？」）。 最も疑わしいのは人事部門であるため、テストの「大まかな」作業は人事部門に委ねることができます。 ISサポートサービスは、既製の特性と識別されたサイコタイプで動作します。

次のアルゴリズムで作業できます。

1. HRサービスは、特定のテストセットに対して従業員を「実行」します。
2. 情報は情報セキュリティサービスに送信されます。
3. 従業員がどのタイプに属しているかを知ると、情報セキュリティの分野の専門家は、インサイダーに対する潜在的な傾向を判断します（サイコタイプの重要な特性だけでなく、選好の厳しさ、リスク選好度、社会的知性のレベルも考慮する必要があります）。

最後に、3番目の質問：結果をどうするか？ ここではすべてが非常に簡単です。 あなたの従業員が「リスクグループ」に含まれる顕著な心理的（社会的）タイプの所有者である場合、彼を「監視する」のが最善です。

結果の信頼性に関しては、困難もありません。 説明されたアプローチは、リーダーの専門的経験、専門家の評価、人格研究の他の方法を適用した結果を完全に置き換える可能性は低いです。 しかし、他方では、そのようなテストは、上記の人の十分な専門的経験の不足を補い、専門家の不足と他の方法を使用できない状況を助けます。

結論

結論として、従業員のインサイダーへの潜在的な傾向を特定しようとする試みは、普通のことではありません。 他の「関連する」分野でも同様のアプローチが実践されています。 たとえば、法執行システムでの仕事に対する職業的適合性の心理診断の深く実証された方法論は、15年以上前にロシア連邦で適用され始めました。

ロシアの法律実務における心理テストを規制する主な文書の1つは、「ロシア連邦検察当局での奉仕の候補者の専門的な心理的選択に関するガイドライン」です。 このマニュアルでは、専門的に重要な品質（PVC）の対応する複合体を含む、専門的な適合性の5つの要因が特定されています。

• 必要な社会的レベル（専門的適応）;
• 十分な神経精神的（感情的）安定性;
• 高度な知的発達、認知活動;
• コミュニケーション活動と能力;
• 適切な組織スキル。

この記事は、究極の真実であると主張するものではなく、情報セキュリティを確保するという「実践的な基盤」に心理学を当てる試みにすぎません。 適切なアプローチでは、少なくとも特定の業界（ジョブカテゴリ）用に特別に設計された個別のテストスイートを使用する必要があります。 しかし、彼らが言うように、最初の一歩を踏み出すことが重要です。

コメントでの質問や議論を歓迎します。

PSコミュニティが興味を持っている場合、次の投稿で心理学と情報セキュリティの合金のテーマを開発できます。