ウェイ活動ビジョンハウス研修レポート「情報セキュリティに関するリスクリテラシー研修」2018/3/19恒例としております弊社社内勉強会(ビジョンハウス研修)の内容をご紹介したいと思います。2018年第3回は「SOMPOリスケアマネジメント株式会社(以下SOMPOリスケア社)」にご依頼をしました。テーマは「リスクマネジメント」。SOMPOリスケア社で情報セキュリティにおけるリテラシー研修を実施されている井口さまにお越しいただきました。外部環境変化のスピードが速まりつつある現代において、経営の脅威となる情報セキュリティにも変化が生じています。経営コンサルティングという仕事柄、お客様の機密情報を取り扱うことが多い私たちにとって、情報セキュリティはなくてはならない知識となります。日々増している脅威に対して、企業として、企業として働くビジネスパーソンとして対策を考える機会とするため、今回の「情報セキュリティに関するリスクリテラシー研修」を実施することとなりました。今回の主題である情報セキュリティとは、情報資産価値を減らさないように情報を安全に管理し、適切に利用できるようにすることを指しています。1機密性、2安全性、3可用性の3つをバランスよく守っていくことが情報セキュリティであることを教えていただきました。3.研修・スタート!研修の冒頭では、情報セキュリティは企業の存続をも脅かす経営リスクとなっていることを改めて認識させていただきました。近年、企業経営へ大きな影響を与えるふたつの事例がありました。ひとつ目は、情報漏えいにより賠償金や風評被害が起こった事例です。大手旅行代理店の個人情報が漏えいしたニュースは記憶にも新しいと思います。ふたつ目は、会社のシステムが停止(障害)したことによって、本来使用したいシステムが使えなくなり、企業としての活動が制限されてしまった事例です。ふたつのリスクに共通することは、PCがウイルスに感染することで起きているということです。自分のPCが感染するなんて・・・“アンチウイルスソフトを入れているから大丈夫だろう”と考える方も多いと思います。現在においては、アンチウイルスソフトでは検知できないウイルスも出てきています。“アンチウイルスソフトは完全ではない”ということを理解し、仮に検知ができなかった場合にどのように対応をするのかを考える良いきっかけとなりました。現在、多くは特定の攻撃対象に狙いを定めてメール開封等を促し、ウイルスを送り込む「標的型攻撃」が主流になっています。記載のある送り元不明のメールが届いたことはないでしょうか。このメールはお客さんからなのかもしれない。思われる方もいらっしゃるのではないでしょうか。このように、攻撃する側は受信者の業務に関係するように思わせるテクニックを駆使して攻撃を仕掛けてきます。このような攻撃をしてくるのか、みんなで攻撃者の視点になって考えてみました。攻撃者の視点に立つと、企業から情報を入手したり、システム障害を起こすためには、ウイルスを送る入口を見つけなければいけません。その入口として、多くの情報を持っている管理者が最適であることを教えていただきました。管理者の業務に関係するかのようなメールがなぜ送られてくるのかということが改めて理解できました。身近なセキュリティリスクを考えると、我々コンサルタントは外部で仕事をするケースも多く、様々な場面でリスクがありました。そのことを念頭におき、セキュリティリスクを回避するよう、褌を締めなおさなければいけない。情報セキュリティの動向、身近なリスクを考えた後は、グループでインシデント発生時の原因と留意点について協議しました。ケースの内容は、パスワードの管理が適切にされていない、社内メールをお客さまに送付してしまった、等の身近に潜むケースをご準備いただきました。私のグループは、社内メールをお客さまに送付してしまったケースを協議いたしました。以下が意見をまとめた内容です。原因:メールの宛先を確認できていなかったこと留意点:宛先をメール送信前に確認する。そのために安易にメールは全員返信をしない。できればメールは新規メールから返信を作る。当たり前のような留意点になりますが、全員で協議することで、各自の意見や個別にリスク対策をしている事例を知ることができ、とても気づきの多いグループ協議でした。研修の最後には、振り返りテストを実施していただきました。した確認テストを実施することで、学んだ記憶も忘れづらいこととなっていきます。研修を受けて感じたことを共有させていただきます。情報セキュリティを継続して守っていくには、企業としての取り組みだけではなく、企業で働く私たちが自ら、リスクを予測して回避していくことが必要です。当たり前のことを当たり前にする。いう言葉がありますが、簡単そうに見えて実は難しい...ということを再認識することができました。自分は大丈夫だろう!という油断に付け込んでくる攻撃者、日々巧妙となる手口、他人事ではなく、常に自分事に捉えて、情報セキュリティに向き合う必要があると感じました。講師の井口さんには、我々の身近な事例をもとに説明や解説していただきました。中でも途中に実施していただいた「お」を1分間でたくさん書き続ける演習については、1分間も書いていると「あ」と書いてしまう場面もあり、ヒューマンエラーは起こりやすいのだということを改めて学ばせていただきました。5.結び今回の研修を受け、人間はミスを起こしてしまう生き物であることを認識した上で、いかにミスが起こらないようにするかを考える良い機会となったと思います。参加したメンバー全員が情報セキュリティを他人事ではなく、自分事として捉えることができたと感じております。今回の気づきをぜひ日ごろの業務と結び付け、活かしていくことができると考えています。SOMPOリスケアマネジメント株式会社のみなさま、この度はありがとうございました。今回の気づきを踏まえてHRIを情報セキュリティに関するトップランナーとすべく、尽力してまいりたいと思います。今回講演をしてくださったSOMPOリスケアマネジメントさま、およびリスクマネジメントに関するワークショップの詳細は以下のURLをご参考ください。Magazine」に記事が掲載されました。新しい年に大きな目標を立てて取り組んでみる。そんな方々を応援します。開催しました!2019/12/19外部講演HRカンファレンス2019-秋-にて講演を実施しました。Inc.プライバシーポリシーお問い合わせ。