企業にとって最も効果的な IT セキュリティ対策

昨年、日本年金機構の職員がうっかりウィルスメールを開いたばかりに、百数十万人の個人情報が流出する事件があった。この事件をきっかけに、怪しいメールをこともなく開いてしまうという、役人の IT リテラシーの低さが問題になったが、それは決して役人ばかりではない。

私の関連する IT 企業、M社でも、クライアントの 某社（日本人なら大抵知っている大手アパレル企業）の社員の IT リテラシーの低さが大問題になっていた。考えられないようなドジが頻発し、基幹システムまで影響されておかしくなりかけることもあったので、思い切った対策が求められていたのである。

それで昨年秋、M社の発案で、業務上のお知らせを装った数種類の偽装メールを その会社の全社員に送付するという実験を、秘密裏に行った。

偽装メールといってもとくに実害はないが、添付されたメールを開くと同時に「ブーッ！」と警告ブザーが鳴り、「差出人の明らかでない添付ファイルを無闇に開いてはいけません！」という警告が表示される。その裏では「お馬鹿な私は、やっちゃいました (T_T)」というメールが自動的に返信される。

このメールは敢えてフリーメールのアカウントから発信された。常識さえあれば、そんな怪しい送付元からのメールに添付されたファイルを開く社員は、極々少ないと踏んでいたのである。

ところがその期待はあっさりと裏切られた。ウィルス･メールが送付された翌朝、社内のあちこちで警告ブザーが響き渡り、300人余りの社員の 7割近くから「お馬鹿な私は……」の返信メールが届いたのである。この方面ではプロのはずのお膝元、情報管理部員の 1人までが「お馬鹿な私」と判明してしまったのは、痛恨の出来事だった。

さらに、残りの 3割は大丈夫だったというわけでもなく、その半数以上は 1週間以上もメールをチェックしなかったために無事だったというケースで、その多くはデザイナー、パタンナーなどの専門職だった。果ては、情報管理部に添付ファイルの開き方を問い合わせてきた社員が数名いた。つまり、社員の 8割以上が「問題あり」だったのである。

同社の情報管理部は大変な危機感を抱き、急遽翌月を「IT リテラシー向上月間」と定め、全社員を対象に、M社の担当者を講師とする 「IT セキュリティ講習」を実施した。その甲斐あって社員のリテラシーも少しは向上したらしく、問題発生件数は目に見えて減少した。

「理屈に弱い感覚派のデザイナーたちが、この講習のおかげで下手に IT の便利さに目覚めてしまうと、逆に面倒なことになるのが確実なので、デザイン部門対象の講習では敢えてものすごくうっとうしい話をして、PC が嫌いになるように仕向けた」と、M社の担当者は苦笑する。その効果は確かにあったようで、彼女らが無闇に PC に触らなくなっただけで、情報管理部のヘルプ対応出動の負担が激減した。

しかしまだ安心はできない。M社ではほとぼりが冷めたと思われる 3か月後、効果の再確認のため、かなり大胆な実験を試みることにした。ある夜、別のプログラムを組み込んだ偽装メールを全社員に送りつけてみたのである。

翌朝、多くの役員室で突然悩ましい女性のあえぎ声が響きわたり、大騒ぎになった。東京本社だけでなく、大阪支社、札幌、名古屋、博多の支店でも同様の騒ぎとなった。

前夜に発信された偽装メールのタイトルは「あなただけに、こっそり ♡」というもので、「松坂○子の秘密」という名前の音声ファイルが添付されていた。

先に開かれたセキュリティ講習に、この会社の役員は誰も参加していなかったので、彼らへの厳重注意は見送られた。「別に注意しなくても、十分に懲りたみたいだし」と、M社の担当者は語る。事実、ほとんどの役員はそれ以後、PC に指一本触れなくなった。この類いのことはすべて秘書任せになったのである。

結果的に この会社のセキュリティ上の問題は劇的に減少した。一通りの講習の後は、デザイン畑の感覚人間と年寄りのお偉方を PC から遠ざけることが、最も効果的なセキュリティ対策であることが判明したのである。

そして彼らが PC に触らなくても、以前と比べて業務が滞るなどということはまったくなく、むしろトラブルが減った分、業務が円滑になったというのも、予想通りの効果だった。

【4月 2日 追記】

ええと、恒例のエイプリルフール・ネタということでご了解下さい。「いかにもありそうな」 という tak-shonai 流を推し進めたいと思っておりますが、なにぶん年に １度しかトライできないので、なかなか極めるまでに至りません。