セキュリティ対策を進めていく上で本当に必要なもの
標的型メールによる被害かどうかはわかりませんが、2015年1月16日、朝日新聞社が、社内のパソコン１７台がコンピューターウイルスに感染し、社内外とやりとりした電子メールなどの情報が流出した。と発表したとのこと。⇒朝日新聞の記事
朝日新聞社がどれ程のセキュリティ対策をしていたかはわかりませんが、少なくとも、全くしていなかったということはないはずです。当然、従業員に対するセキュリティ教育もしっかりと行っているはずで、「セキュリティに疎い組織だから被害に遭ってしまった」というのは当てはまらないかと思います。
しかし、被害に遭ってしまった。
あなたはここまで読まれて、この話を他人事と感じているでしょうか？それとも、自分事と感じているでしょうか？
他人事と考えている限りは、被害がなくなることはない
自分の経験なのであくまで主観に過ぎませんが、他社の被害事例を話題にした時に、自分事としてとらえ、自社ではどうだろうか？とか、自社ではどうすべきか？といった意識で話をされる方にはあまりお目にかかったことはありません。
多くの場合、他山の石として捉えていて、そういう事例があるんだね。で話は終わりです。
話を聞いても、具体的な行動には繋がらないないわけですから、当然、何も変わることはありません。きっと誰かがやってくれるでしょ。と思っていることは、他の人も同じように思っています。
あなたも、他の人も、同じように「誰かがきっとやってくれるでしょ」と思っていたら、
一体誰がやってくれるのでしょうか？
セキュリティ対策を「他人事」と捉え、誰かがちゃんとやってくれているだろうと考える方がいる限り、今後も被害がなくなることはなく、犯罪者にとっては、カモだらけの美味しい市場ということで、益々力を入れて攻撃に取り組もうとすることでしょう。
セキュリティ対策は他人事を自分事として捉えることから
このブログを読まれている方は、セキュリティ意識が高い方であり、セキュリティの問題を自分事として捉えることができる方だと思います。そうでなければ、このブログを読もうなどとは思わないと思うからです。
しかし、そのような意識の高い方でも、自組織の事となると、「社長がなかなか分かってくれないんだよね」とか、「他の連中は全く関心がないんだよ」と、半ば諦めモードで話をされることはありがちです。
セキュリティ研修の内容を一生懸命考えて実施しても、当の従業員は参加意識がなく、やってもやらなくても状況はほとんど変わらない。だから、実施する側も段々やる気が削がれてしまう。
そして、誰も積極的に行動しなくなる。
これは最悪のシナリオですが、悲しいことに、そのような状況になってしまっている組織もあるのではないでしょうか？
誰もが目の前の課題を他人事として捉えている組織と、自分事として捉えている組織、どちらが具体的な行動を起こしやすく、また、実際の行動量が多くなるでしょうか？と言えば、断然後者でしょう。
行動量が違えば、それは当然、組織のセキュリティレベルにも影響してきます。組織のセキュリティレベルを高めたいなら、従業員一人一人の行動量を増やすこと。それは、従業員一人一人が、目の前の課題を自分事として捉えない限りは、実現することができません。
さあ、コトバの力で組織を変えよう
自分一人が頑張ったところで、組織は変わらない。セキュリティに限らず、よくある話です。
あなたももしかしたら、自分ひとり頑張ったところで、この会社のセキュリティ意識なんて変わらないよ。そう思っているかもしれません。
あなたがもし、組織を変えたいと思っているなら、日本テレビ系の「土曜ドラマ」枠で放送されているドラマ「学校のカイダン」は参考になるかもしれません。（ちなみに、「カイダン」は「怪談」ではなく「階段」の意です）
「半径５ｍ以内の人間にはな～んにも言えないこと」
「みんなから嫌われる覚悟」
「一歩を踏み出せ。それで世界は変わる」
「何千年もの間、世界を動かし続けた武器は何か、それは・・・」
これらは第１話の中で登場するセリフですが、ドラマのセリフとはいえ、いずれも真理をスルドク突いている言葉だと思います。
スクールドラマがセキュリティ対策とどう関係するのよ？と思われるかもしれませんが、集団を変えていくことに学校も会社も違いはありません。根っことなる部分は同じです。あなたが本気で集団を変えていこうと思うなら、このドラマから得られるものは多いと思います。
あなたも会社に宣戦布告、しませんか？
→次の記事へ（ 標的型メール演習で使用するURLリンクはどうするか？ ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
