したら何が起きたと思いますか。開いた先はアンチウィルスベンダーのサイトでした。これはフィッシングメールに似せたメールだったのです。何のためかというと啓発のため。「だめじゃないですか、こんなメールクリックしちゃ!」もちろんこんなカジュアルな文言ではないものの、要旨としてはこのように警告と反省を促すものでした。抜き打ちの訓練というところでした。用意周到にリンクを踏んだ方は肩すかしというか、意気消沈してしまったそうです。顔文字で表すなら「orz」という感じに。いえば最近藤沢市では抜き打ちでIT職員にニセの標的型メールを送付したそうですね。いう訓練は大事ではないでしょうか。最近ではかつてのように「いかにもフィッシングメール」と見え見えのメールではなく、とても本物らしく推敲されたメールで攻撃が仕掛けられることもあります。今後ますます巧妙になるでしょう。不審なメールと勘づいたら、開かないのが一番ではあるものの、本物という可能性もあるのならどのような準備が必要なのでしょうか。先述した例で示したほかに必要な手順はあるのでしょうか。早く危険に気づくことができて、危険と気づいたら被害を最小限にするならどのようなポイントを押さえておけばいいのでしょうか。いうノウハウも普及させていくべきではないでしょうか。セキュリティ関係で取材をすると異口同音に語られるのは「攻撃を受けることを前提に準備をする」という心構えです。「絶対に攻撃を受けないように」と盤石な城壁を築くことが目標とされてきました。どんなに守りを固めても、どこからかするすると入られてしまう可能性は否定できないのです。普通に出入りできるる人がいるのですし。内部不正というのもあります。近年では「守りを固めること」よりも「被害が起きたら早く気づくこと」が重視されています。これは前提が大きく異なります。前者は攻撃を受けないことが前提であり、後者は攻撃を受けた後を想定しています。先日はプライスウォーターハウスクーパースの説明会にて「レジリエンスセキュリティ」(参考記事)という表現もありました。これも攻撃を受けたことを想定し、そこからいかに早く立ち直るかに着目した概念です。この用語を使うかどうかは別として、セキュリティ専門家の間の共通認識を表しています。似たような用語として「ダメージコントロール」というのも聞いたことがあります。医学や軍事用語だそうです。何らかの損傷を受けたときに被害をできる限り食い止めるための応急処置や設備などです。セキュリティなら監視のための各種ソフトウェアやサービスなどです。最近問題になった年金情報流出にて職員が開いてしまったメールが巧妙かどうか、いろいろと議論の余地はあるようですが、今後攻撃がますます巧妙になることは確実です。誰かがうっかり引っかかってしまったとしても、被害の拡散を最小限に抑えるための情報管理体制や対処ノウハウの共有なども今後ますます重要になるのは確実かと思います。連載通知を行うには会員登録(無料)が必要です。会員の方はログインを行ってください。システム子会社でシステムエンジニアを経験した後にIT系のライターとして独立。エンジニア視点で記事を提供していきたい。取材・記事も担当しています。EYACCの森島さんはいかにして生まれたのか318SAPが会津若松で中小企業のものづくりのイノベーションに取り組む理由296AWSでセキュリティを高めるために今すぐやるべき7つのこと262企業のデジタルシフトはIoT、5G、サブスクリプションが牽引。ログインEメールパスワード※旧SEメンバーシップ会員の方は、同じ登録情報(Eメール&パスワード)でログインいただけます。パソコン「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。