Shoeisha Technology Media

EnterpriseZine(エンタープライズジン)

EnterpriseZine(エンタープライズジン)

テーマ別に探す

「メールを開くな!」―標的型メール訓練に意義はあるのか?

2016/08/26 06:00

 多くの企業で行われているという「標的型メール訓練」ってどうなんでしょう?Hackademyの二人が語ります(収録:6月21日)

Hackademy Facebookページはこちら
前回までの話はこちら

岡田 そこで、新たに標的型メール訓練ってどうなんだろうと。つまり、アンチウイルスソフトでは残念ながらわからないよ、いろいろなフィルタリングソフトもそれぞれよ、となると人間ががんばるしかないじゃん。ということで、標的型メールを見分け訓練。なんと、某旅行会社は月に2回やっているとのこと。

蔵本 すごい。

岡田 もう第何週の何曜日ってわかってたんちゃうかっていう話。あれはどうなんですか?

蔵本 あの、Hackademyを見てくれるとうれしいんですけど。そういうのをわからんようにする手法っていうのがあるじゃないですか。で、そういうのが来たときにこれはWordじゃなくてexeだ、みたいな、いきなり見た目で見抜けるエスパーだったら、ああいう訓練をしていてもいけると思うんですけど、人間の限界があると思うんですよね。

岡田 いちおう、おさらいしておきましょう。標的型メール訓練。

編集部 どういう訓練なんですか?

蔵本 訓練のシステム使うと、テンプレに従ったメールが飛んで行って、社員がそれを踏んだら、システムで、どこの誰が踏んだみたいなやつがトラックできるようになっていて。

岡田 開封者集計。

蔵本 そうそうそうそう。

岡田 開封者集計なんですよ。しかもあれ、気の毒なことに開封率がそのまま評価基準にシンクロしている、部門の評価基準にシンクロしているようにしちゃった企業がいっぱいあるみたいね。で、そうするとさ、開くひとがいると、部門の評価が下がるわけですよ。

蔵本 えげつない...

岡田 えげつないでしょ。でも、当然ながら部門にはその訓練について知っている人がいないと協力を得られないよね。そこでね、聞いた話だとね、標的型メール訓練がきた!となったらね、その人がガタッと立つんだって(笑)。バーンって!なんも言ってない。そうやって部門を守るんだって。めっちゃ体張ってる。さっきの話じゃないけど、みなさん標的型訓練するために仕事をしているじゃないんですよ。

蔵本 本当にそうですよ。「なんで俺が立たなあかんねん」ってなりますよ。

岡田 標的型メールを開かないように注意するためにメールを開かなあかんっていうのはちょっと無理でしょう。

蔵本 しかもHackademyでも解説してますけど、ボンって踏んでしまって、着弾してから、横にピロピロピロっていくじゃないですか。結局あれがあるんだったら、別に1万人の会社で開封率が1%になったところで、結局100台やられとるやんけって話ですから。そこから横に行きますからね。

岡田 だからたとえば、2次災害を防ぐ率を高めるとか、あるいは2次災害、たとえばC2サーバーにアクセスがあったらサイレンなるとか、そこらへんなんでしょうね。そこらへんが主戦場だから、だからつきましてはこうしてね。
 たとえば、なんていうかな、帰るときは電源落として帰ってね、とか何某エージェントが動いていることを確認してから帰ってねとか、そういったところの徹底率を上げていくのはありだと思うんです。なんだけど、「開くなぁ!」ってやつね(笑)

蔵本 「開いとる!」(笑)

岡田 バーン!

蔵本 立つやつおもしろいですね(笑)

岡田 ガタッ!

編集部 訓練っていうのは、訓練することによって何かが鍛えられるから、たとえばスクワットしたりとかあるわけじゃいですか。これは訓練することによって、何が鍛えられるんですか?標的型メールがわかるようになるんですか?

蔵本 まあ、標的型メールも種類があって、すごいザルザルのやつから、すごい巧妙なやつまでいろいろあると思うんですけど、ザルいやつはあれである程度いけると思うんですよね。
 僕やっぱり思うのは、効果なくはないと思うんですよ。効果なくはないと思うんですけど、それこそこれ、費用対効果の問題で、開封率が10%から1%になったとするじゃないですか。これ効果に見えるじゃないですか。
 
でも、一台やられたら終わりなわけですから、そこになんぼ使うかっていうのが問題だと思うんですよね。そこに何百万、何千万、みたいになってきたら、それこそ岡田さんが言ったみたいな、2次被害を軽減するためのアプロ―チのほうに金を使われたほうが。

岡田 あと、対応チームのCSIRTのほうに、ひとりでも多く人を入れるとか。

蔵本 そう、金の使い方っていうのを考えると、そっちのほうが効果あるんちゃうかなとは思いますね。

※この続きは、会員の方のみお読みいただけます(登録無料)。


著者プロフィール

  • Security Online編集部(セキュリティ オンライン ヘンシュウブ)

    Security Online編集部 翔泳社 EnterpriseZine(EZ)が提供する企業セキュリティ専門メディア「Security Online」編集部です。ビッグデータ時代を支える企業セキュリティとプライバシー分野の最新動向を取材しています。皆様からのセキュリティ情報をお待ちしております...

  • Hackademy Project(ハカデミープロジェクト)

    Hack x Academy = Hackademy: 社会のサイバー被害の急増への対応を根本的に進めることを目的とした、エキスパートによる「サイバーセキュリティ教育プロジェクト」です。ビギナー編を公開後半年で500名以上の受講者が集まっています。 蔵本雄一 筑波大学非常勤講師、日本CISO...

バックナンバー

連載:読めるHackademy Live
All contents copyright © 2007-2017 Shoeisha Co., Ltd. All rights reserved. ver.1.5