パソコンにおかしな動作があれば、ウィルスチェックをして防ぎましょう。ってそれ、間違ってますよ。
パソコンウィルスというと、昔は画面が真っ暗になったり、花火が飛び散ったりするなど、目に見えて派手な動作をするものがありました。
そのせいかどうかはわかりませんが、ウィルスに感染したら、パソコンがおかしな動作をする。と理解している方がいます。
不正送金など、ウィルスによる被害に遭わないための自衛策として、パソコンにウィルス対策ソフトを入れて、パソコンが少しでもおかしな動作をしたら、ウィルスチェックをして防ぐしかない。といった話をよく耳にしますが、これは大きな誤解を生む元です。
高度なウィルス・マルウェアは見た目に分かるような動作はしない
ウィルスにもピンからキリまであるので、パソコンがおかしな動作をしたら、ウィルスチェックをすべし。というのは間違いではありませんが、高度に作り上げられたものは、見た目におかしな動作などしたりしません。
実際には不正なプログラムが動いているので、見る人が見ればわかるわけですが、専門知識を持たない人の目には、普通に動作しているのと変わらないように見えるので、全く気がつかないというわけです。
ウィルス対策ソフトをパソコンに入れることは間違っていないし、少しでもおかしな動作をしたらチェックをしよう。ということも間違ってはいないのですが、「おかしな動作をしたら」と言われてしまうと、「おかしな動作をしなければ安全」と解釈し、思い込んでしまいやすいもの。
ここに大きな落とし穴があります。
本気であなたや、あなたの会社の財産を狙う犯罪者は、こうした心理を突いて攻撃を仕掛けてきます。あなたがもし、犯罪者の立場だったらそうするはずです。
セキュリティ担当は正しい知識を従業員に伝えるべきです
ウィルス、マルウェア、アドウェア、スパイウェアなど、呼び名は様々ですが、これらの違いについて理解すると共に、それぞれが具体的にどのような動作をするものなのか、また、どうすれば見分けることができ、また、被害に遭うのを防ぐことができるのか？
こうしたことを明確に理解し、周囲に説明できる方というのは、多くはないと思います。ましてや、従業員の誰もがこうしたことをできるよう、きっちり訓練されている会社というのは、ほぼ皆無なのではないかと思います。
ということは、あなたの会社においても、セキュリティ対策について正しい知識を身につけるに至っていない、また、万一の時に適切な対処ができるとは限らないという方が、少なからず存在するはずです。
これが会社にとってリスクになり得ることは、言わずもがなでしょう。
マルウェアにやられているのに、パソコンがおかしな動作をしていないからといって、全く気づくことなくパソコンを使い続け、情報が外部に流出していることを、２ちゃんねるとかに書かれて初めて被害に遭っていることに気づく。
こんなことは、あなたの会社では絶対にあり得ないシナリオとして、完全否定することはできるでしょうか？
ウィルス対策ソフトがアラートを出してくれるんじゃないの？
ウィルス対策ソフトを入れておけば、常にウィルスをチェックしてくれるので、見た目には分からなくても、おかしな動作をしていればちゃんとチェックしてくれるんじゃないの？
と考えてしまいがちですが、これも大きな誤解の元です。
ウィルス対策ソフトは確かに優秀ですが、大きな欠点は、犯罪者もウィルス対策ソフトを手に入れることができるという点です。
犯罪者は最新のウィルス対策ソフトを手に入れて、ウィルス対策ソフトに検知されないウィルスを作ることができるのに対し、ウィルス対策ソフトを開発しているベンダーは、犯罪者が作るウィルスを入手することができない。という大きなハンデがあります。
どちらが有利な立場に立てるかは、言わずもがなでしょう。
あなたがセキュリティ担当者なら、ウィルス対策ソフトをパソコンに入れておけば安心などという間違った認識を従業員が持つことのないよう、常に正しい知識を提供することに勤めるべきです。
今更？などと思わないで下さい。
ウィルスの被害についてはマスコミで毎日のように取り沙汰されているし、ウィルス対策ソフトについて知らない人は皆無なんだから、ウィルスについて説明すべき。と言われても、「今更？」と思われる方もいらっしゃるかもしれません。
しかし、今更？と思っていることほど、意外に間違った思い込みをしていたりするものです。
何事も教えて終わり。とするのではなく、周囲に説明できるまでに従業員の知識を育て上げてこそ、本物の知識として身につくもの。
あなたの会社では、周囲に説明できるようになるまでを、到達すべき目標として設定したセキュリティ教育が実施されているでしょうか？
あなたがセキュリティ担当者であるなら、是非とも、周囲に説明できるようになるには？という視点で、訓練を考えていただけたらと思います。
→次の記事へ（ 標的型メール訓練の実施にお金がかかる。は、もう過去の話です ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
