「PCを触ったことがなくても」セキュリティに強くなれる？ 評判の経営者向け教室に行ってみた：半径300メートルのIT（1/3 ページ）

先日、「PCを触ったことがない」と発言した某大臣が話題になりましたが、セキュリティに詳しくない経営者を持つ企業にとっては決して笑えない事態です。そんな中、専門家が経営者向けに開いているという、ある演習に参加してきました。

[宮田健，ITmedia]

　先日、PwCサイバーサービスの記者ラウンドテーブルとして、「事業継続の実効性を検証するサイバーセキュリティ演習体験会」に参加しました。PwCサイバーサービスには、最高技術顧問の名和利男氏や、最高執行責任者の星澤裕二氏が在籍しており、最前線でセキュリティに携わる専門家から直接講義を受けられると聞き、大喜びで会場へ向かったのです。

　私自身、このコラムで毎週偉そうにセキュリティの記事を書いているものの、実際のところ、それらはほぼ、インシデントなどについて公式に発表された情報を基に書いているわけで、最前線で手を動かしている方々から見れば、私などはまだまだ「ひよっこ」と見られて当たり前です。体験会では、これまで私がうすうす感じていた「現場を知らないゆえの浅慮」がきれいに表面化するような示唆に富んでいました。

ディスカッションを通じ、セキュリティを“経験”する

　今回の演習体験会は、PwCが普段、企業の経営層に対して行っているプログラムをグッと短縮したもの。講師として登場した名和氏は、プログラムの狙いについて「知識を試すことでも、能力を測ることでもなく、“経験”をしてもらうことだ」と言います。演習成功の大きなポイントは、経営層に実際のセキュリティ現場の一員として考える体験をしてもらうことなのだとか。

　体験会では、その実例として、記者たちに幾つかかの問いが投げ掛けられました。例えば「社内で標的型攻撃マルウェアの痕跡が見つかった場合、最初に何をする？」というもの。そのマルウェアは、企業が導入しているマルウェア検知ソフトでは見つからなかったものの、他社製のものでは検知でき、かつ感染したPCは、C&C（コマンド&コントロール）の外部サーバIPに何らかの通信をしようとしている、という設定です。さて、皆さんならどう答えますか？

実際に名和氏が出題した問題に使われた“情報”。もしあなたが企業の経営者としてこうした注意喚起を見たら、一体部下に何を指示しますか？

　私はこの問いに対して、「感染していることが分かっていて、もしかしたらそれが組織内に横展開される可能性があるならば、真っ先に企業のネットワークを外部と切り離す」と答えました。