CSIRT小説「側線」 第7話：協調領域（前編）：CSIRT小説「側線」（1/2 ページ）

企業にとってのセキュリティ脅威。それは攻撃者から届く怪しいメール、そして何より、それを無邪気に開いてしまう社員たちだ――数々のサイバー攻撃を受けたひまわり海洋エネルギーでは、CSIRTの教育担当が“難題”に挑む。セキュリティ担当者なら涙と頭痛なしには読めない、その内容とは？

[笹木野ミドリ，ITmedia]

この物語は

一般社会で重要性が認識されつつある一方で、その具体的な役割があまり知られていない組織内インシデント対応チーム「CSIRT（Computer Security Incident Response Team）」。その活動実態を、小説の形で紹介します。コンセプトは、「セキュリティ防衛はスーパーマンがいないとできない」という誤解を解き、「日本人が得意とする、チームワークで解決する」というもの。読み進めていくうちに、セキュリティの知識も身に付きます

前回までは

「ひまわり海洋エネルギー」のCSIRTメンバーたちは、迫りくるDDoS攻撃やメールを使った“時限装置型”攻撃をやっとの思いで乗り越える。成功と失敗を繰り返し、夏を目いっぱい楽しみながら、自分にできることを学んでいく若手メンバーたち。一方、コマンダーのメイは、次に来るであろう攻撃にどう備えるか、考えを巡らせていた……

これまでのお話はこちらから

＠CSIRT執務室

　8月。外は強烈な日差しだ。

　――いくら何でもこんな日差しの中、BBQなんて何考えているのかしら。SPF50+／PA+++の日焼け止めをいくら塗っても日焼けしちゃうわ。つたえはともかく、メイもそういうこと気にしないんだから。まったくもう。

育英啓子：システムでいくら守っても、最後は人のリテラシーと考え、「自分を守るために教育はある」という信念を持つ。とはいえ、インシデントをてきぱきとさばくインシデントマネジャーには憧れを持っている。リーガルアドバイザーとは信念が合い、仲が良い。逆に高圧的なCSIRT統括には不満を持っている

　育英啓子（いくえい　けいこ）はCSIRTチームで教育担当をしている。対象は、全社員に向けたものや経営者向け、海外支部向けなどさまざまだ。最近では、メールがセキュリティインシデントの起因になるケースが多いため、メールでの模擬訓練を計画することも多い。

　――それにしてもメイのヤツ、先月起きたランサムウェアの起因がメールだったからといって、「今以上に教育を工夫してください」ですって？　言う方は簡単だけど、実際はそんなに単純なものじゃないわよ。そもそも、7月のボーナスの時期に「一時金の支給額割合の変更について」というタイトルのメールが来て、ご丁寧に「資格別の変更表」というPDFファイルまで添付してある。これじゃ、誰でもメールを開いてクリックするわよ。感染者が12人？　上出来だわ。むしろよく12人で済んだものね。これも私の教育のたまものじゃない？　感謝してほしいくらいだわ。

　啓子はだんだんと腹が立って来た。

　――メールの訓練はするけど、その目的はあくまで基本リテラシーの向上。社内にはズボラな人も多いから、不審なメールを受信して気付く人は多いけど、開封率はゼロにはならないわ。一般的には、メール訓練を実施している企業での不審なメールの平均開封率って10％前後らしいじゃない。これ以上開封率を下げるのは無理よ。どのくらいの人にあのメールが届いたのか知らないけど、今回のインシデントについては改善すべきポイントが違うんじゃないの？

---

　啓子はふと、他社のCSIRTとの情報交換で聞いた話を思い出した。

　――そういえば、こういう訓練メールに「毎回引っ掛かる人」と、「毎回避けられる人」を分けて、メールを読む視線の動きを比較した会社があったわね。毎回避けられる人の目の動きには、メールのタイトルや送信元のアドレス、メール本文や送り主の所属のサインなど、全体を万遍なく見渡し、ちょっと怪しい文字があればそこで疑い深く視線を止める、などの特徴があったわ。一方、毎回引っ掛かる人は、タイトルも最初の方しか読まず、本文も書き出しを見るくらいで送信元や所属部署などほとんど見ていなかったわね。

　ああ、これじゃ、タイトルに「至急」や「緊急」など書かれていたら、相手を疑うこともせずにすぐに開いてしまう、と思ったわ。しかも本人たちに「こういう視線の動きなんだけど、自覚してます？」と聞いてみると、「効率的で早いでしょうー」と後ろめたさが全くないどころか、自慢げに言う始末。道は遠いと思ったわ。

　啓子は、この話を自社の役員たちにメール訓練の結果として報告した時に、「俺だ」「俺だ」「これ、俺だ」とほとんどの役員が声をそろえて「毎回引っ掛かる人」と同じ視線の動きをすることをカミングアウトしたため、暗たんたる思いをしたのを思い出した。

　――もう、こういう“ズボラー”は教育してもダメ。メールを取り上げるか、思いっきり使いづらくして安全を確保するしかないわね。

　自分が教育担当だということも忘れてさじを投げようとしていた。　考えるたびに、啓子は気持ちが後ろ向きになっていた。

　「育英さん、教育の調子はどうだい？」

　懐柔善成（やわらぎ　よしなり）が声を掛けてきた。