この３つの質問に回答できない組織は標的型メールの被害に遭う
単刀直入にお聞きします。あなたは、以下の３つの質問に回答ができ、さらに、隣の人にわかるように説明をすることができますか？
１．マルウェアが実行される方法を３つ以上挙げてください。
２．なりすましメールを送れないようにする方法を３つ以上挙げてください。
３．マルウェアに使われるプログラムの拡張子を５つ以上挙げてください。
「マルウェア」「なりすましメール」「拡張子」、この３つの言葉の意味自体がわからなければ論外ですが、言葉の意味は分かっていても、回答できない質問が１つ以上あり、しかも、組織内に回答できる方が誰もいないようなら、
あなたの組織は標的型メールによる被害に遭う可能性が高い
といえます。
自分は技術者じゃないから、わからなくて当然
中にはそう思っている方もいらっしゃるかもしれません。しかし、あらゆる組織が標的型メールのターゲットとして狙われている今の状況では、技術者だからわからなくてよい、知らなくてよい、ということはありません。
情報漏えいを起こしてしまった会社のセキュリティ担当者が、「自分は技術者じゃないのでわからなかったんです・・・」などと言っても、誰も許してはくれないでしょう。
塩素系漂白剤と酸素系漂白剤は混ぜるな危険！
これは、今では誰もが知っていることだと思うのですが、塩素系漂白剤と酸素系漂白剤を混ぜると何故危険であるのか？は化学と医学の領域の話です。
その原理について明確な説明をするのは専門家の領分かもしれませんが、混ぜると危険であること自体は、専門家でなくとも知っておかなければならないことです。
今では漂白剤のボトルに明記されている注意事項ですが、昔はそんなことは全く書かれていませんでした。しかし、死者が出る事故が相次いだことから、今では誰もが知っておくべき事項として注意喚起されるようになりました。
そんな現状の中、塩素系漂白剤と酸素系漂白剤を混ぜると何故危険であるのか？について、
自分は化学者じゃないから知らなくて当然。そんなこと知らなくたってよい。
と言えるでしょうか？また、知らなくたっていいんだ。などと言っていて良いと思うでしょうか？と聞かれたら、さすがに命にかかわることだし、知らないのはまずい。と思うのではないでしょうか？
３つの質問は、混ぜるな危険！の知識と同じようなものです
マルウェアが実行される方法を知らない。ということは、
目の前でマルウェアが実行されようとしていても気づかない。
ということです。これは、塩素系漂白剤と酸素系漂白剤を混ぜたら危険であるということを知らず、両者を混ぜていても、危険であるということに気づかない。というのと同じことです。
実際、標的型攻撃メールの被害に遭った組織は、文書ファイルに偽装されたexe実行ファイルを実行し、目の前でマルウェアが実行されているにもかかわらず、それに気づかずに被害に遭うこととなりました。
まるで、塩素系漂白剤と酸素系漂白剤を混ぜて、目の前で有毒な塩素ガスが発生しているのに、それに気づかずに事故に遭ってしまうというのと同じような話だと思いませんか？
もし、マルウェアが実行される方法として
exeファイルを使う方法があることを知っていて、
そのような手口の危険性を従業員全員が理解していたら、
日本年金機構もiJTBも被害に遭うことはなかったかもしれません。
冒頭の３つの質問に回答できない組織は、標的型メールの被害に遭う。と書きましたが、それはまさにこういうことなのです。
もし、あなたが、冒頭の３つの質問について、自分は専門家じゃないから、そんなの知るわけないでしょ。と思い、そんなこと知らなくたっていいじゃない。と思ったのなら、それは、塩素系漂白剤と酸素系漂白剤を混ぜたら危険！だなんて、専門家じゃないんだから、知らなくたっていいじゃない。と言っているのと同じようなものです。
知らないこと、無知でいることがどれだけ馬鹿げていて、危険な話であるか
は、この例からもご理解いただけるのではないかと思います。
もし、あなたの組織内の誰も、冒頭の３つの質問に回答できないのなら、塩素系漂白剤と酸素系漂白剤を混ぜたら危険！であることを知っている人が誰もいない状況にあるのと同じだと考えてください。
次に被害に遭い、日本年金機構や、iJTBのような思いを自分の組織や、あなた自身がしたくない。と思うなら、
冒頭の３つの質問に誰もが答えられるような従業員教育に是非取り組んでください。
塩素系漂白剤と酸素系漂白剤を混ぜたら危険！について、誰もが知っていたら、２つを混ぜてしまうような事故が起きることはないのと同様、この３つの質問に誰もが回答することができて、また、後輩や同僚に教えることができるなら、標的型メールによる被害に遭う可能性は、間違いなく減らすことができるはずです。
→次の記事へ（ 高難易度の標的型攻撃メールを見極めることは不可能。なんていうのは嘘 ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
