企業の社会的責任（CSR）としての標的型メール訓練
2014年のSymantecの調査によれば、金融機関の預金口座を狙うトロイの木馬に感染した日本のコンピュータ数は20万台を超えるそうです。
単純に言えば、20万人がコンピュータウィルスの感染被害に遭っているということになりますが、これだけの数になると、さすがに、どこかしらの企業で働いている人、もしくは、その家族という人が含まれているはずです。
コンピュータウィルスの被害に遭っているのは、家で悠々自適に暮らすお年寄りや、専業主婦ばかり。ということはありえず、何かしらの形で企業と関わりを持つ方も含まれる。となれば、社会的責任のある企業としては、自社のコンピュータさえ守れればいい。と言っているわけにもいかないのではないでしょうか？
セキュリティ対策というと、自社のコンピュータやネットワークを守るということに意識が行きがちですが、企業の社会的責任（CSR）を考えれば、少なくとも自社に関わりを持つ人（その家族や知人も含む）が、コンピュータウィルスの被害に遭っていても全く気が付かないでいることに目を向けず、放ったままにしておく。というのは良いということではないでしょう。
自分の子供に情報セキュリティに関する知識を教えていますか？
今は小学生でもパソコンを使う時代です。幼稚園でパソコンを使うのも珍しいことではなくなってきています。自宅に子供専用のパソコンがある。という家庭も多いでしょう。
しかし、子供だからといって、コンピュータウィルスとは無関係かというと、そんなことは全くない。ということは言わずもがなでしょう。
誰が使おうと、パソコンが常にセキュリティの脅威に晒されていることに変わりはありません。子供だからといって、ウィルスの脅威が免除されることなどありえませんが、あなたのご家庭では、子供に対してセキュリティ対策の重要性をきちんと伝えることができているでしょうか？
子供は興味さえあれば、どのような情報にもアクセスしようとします。それが例え、大人から見て危険と思われるようなものであってもです。
これから沢山勉強をして、色々なことを覚えていく段階にある子供たちが、難しい言葉で書かれている内容を理解して、それが危険かどうかを判断できるはずがありません。
十分な知識を持たない子供たちは、何も知らずに、まんまと攻撃者の用意した罠に引っかかってしまうものです。だからこそ、そうなってしまう前に、大人がきちんと情報セキュリティについて教えることが必要です。
でも、知らないことは教えられない
しかし、知らないことは教えようがありません。
親自身が情報セキュリティに関する知識を持っていなかったら、子供に教えることなどできようはずがありません。では、子供はどこで情報セキュリティを学ぶのでしょうか？
学校で教えてくれる？
これは今のところ期待できないでしょう。何故なら、教える側の教師自身が情報セキュリティに詳しくないからです。教師自身、情報セキュリティについて学ぶ機会がないのですから、致し方ありません。
こと情報セキュリティに関していえば、自分ではない誰かが、どこかできちんと子供たちに情報セキュリティについて教えてくれる。などいうことはないのです。
だからこそ、企業の社会的責任（CSR）として、従業員に対して情報セキュリティに関する知識を伝え、従業員が自分の家族に対してその知識を伝えていく流れを作る。これが大切なのではないでしょうか？
標的型メール訓練は、企業の社会的責任（CSR）の一環でもある
標的型メールとは何か？から始まって、標的型メールの見分け方や対処方法などを、体験によって学ぶ「標的型メール訓練」は、会社のパソコンやネットワークを標的型攻撃の脅威から守るための対策の一つですが、ウチはシステムによって対処をしているから標的型メール訓練など必要ない。と考える方も中にはいらっしゃることでしょう。
自社をウィルスやマルウェアの脅威から守る。という観点から考えれば、従業員教育などしなくとも、システムで防御ができているならそれで十分。と考えるのは自然なことです。
しかし、従業員が情報セキュリティについて正しい知識を持ち、その知識を家族や知人に伝えていくことによって、情報セキュリティに関する知識が世の中に広く伝わっていき、社会に少なからず影響を及ぼしていく。となれば、「企業の社会への影響に対する責任」は無視できないでしょう。
この影響が回り廻って、標的型攻撃の封じ込めに繋がっていくなら、企業にとってもメリットのある話です。
セキュリティ担当者の方、また、企業経営に関わる立場の方は、従業員に対する情報セキュリティ教育について、目に見えるような直接的な効果があるかないか？で、その必要性を判断するのではなく、企業の社会的責任（CSR）の側面からも、情報セキュリティ教育を実施することの意義を考えていただくと、結果的には、世の中全体が良い方向に進んでいくことに繋がっていくのではないか。と思います。
→次の記事へ（ 専門家じゃないからわかりません。を暗黙の言い訳にしていませんか？ ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
