うちは大丈夫、が分からないのは、誰も試したことがないからです。 会社に入り込む道は 10 通り。そのどれが御社で通るのかを、練習用の環境で実際に試します。
社内に専任の担当がいないまま、取引先からは「対策していますか」と聞かれている。 そういう会社の、経営を預かる方へ。
御社の設備には接続しません。実在のウイルスも使いません。
まず、どういう時に入られるのか。3 つだけ見てください。
うちは大丈夫か。その答えが出ないのは、入られ方を見たことがないからです。 まず、よくある 3 つを絵にしました。
ログイン画面は外から誰でも見えます。間違えても鍵がかからない設定だと、 当たるまで延々と試されます。
（パスワードスプレー）
業務で見慣れた文面で届きます。開いて「編集を有効にする」を押した時点で、 その 1 台は相手のものになります。
（標的型メール・添付）
機器やソフトの弱点は、見つかると世の中に公表されます。更新していなければ、 その手順書どおりに入られます。
（既知の脆弱性）
世の中で起きている侵入は、そのほとんどがこの 10 通りのどれかです。 逆に言えば、この 10 個を塞げば、入る道はほぼ無くなります。
この 10 個のうち、御社で「絶対に大丈夫」と言い切れるものはいくつありますか。 言い切れないものが、そのまま次の話になります。
話し合いでも、書類の点検でもありません。本当に入ろうとします。机の上で「危なそうですね」と言われても、何も変わりません。通るのか通らないのかは、やってみないと分かりません。
| 入口 | 結果 | その理由 |
|---|---|---|
| 玄関の鍵を、何度でも試される | 入れた | 312 回試して止まらなかった。間違えても鍵がかからない設定 |
| 買ったときの鍵のまま | 入れた | 倉庫の記録装置が初期設定のまま。そこから社内に入れた |
| 届いた封筒を、開けてしまう | 入れた | 12 人中 9 人が開き、うち 4 人が実行を許した。報告は 3 人 |
| 勝手口が、外から見えている | 入れなかった | 外から見つからなかった。踏み台を経由する形になっていた |
| 部品が、古いまま | 入れなかった | 対象の機器はすべて更新済みだった |
この表と、塞ぎ方の一覧（担当者と期限つき）が、演習後にお手元に残ります。
資料には、10 の入口それぞれの試し方を書いています。
「穴があります」と言われても、実感は湧きません。通ってしまった入口から先に進むと、何が起きるのか。 そこまで見ていただいて、初めて塞ぐ気になります。
入られた 1 台を足がかりに、共有フォルダのどこまで手が伸びるのかを見ます。 1 台の油断が、どの範囲までつながっているのかが分かります。
さっきまで開いていた書類が開かなくなります。対象は、演習用に用意したダミーだけです。 驚かせるためではなく、業務が止まるという感覚を持ち帰っていただくためです。
身代金を要求する画面が出ます。払うのか、払わないのか。この判断が情報システムの仕事ではないと、 経営の側に分かっていただくための場です。
当社は、身代金の支払いについて助言・仲介・代行は一切行いません。事前に社内で方針を決めていただくための演習です。
試すのは、こちらが用意した練習用の環境の中だけです。参加される方は、ブラウザで画面を見るだけ。 会社のパソコンに入れるソフトは 0 本です。
本物は一切持ち込みません。手口の「型」だけを、教育用の安全な道具で再現します。 開けなくするのも、演習用に用意したダミー 10 個までです。
開始前に環境の控えを取り、終了後に初期状態へ戻します。 書面で許可をいただいた範囲の外は、そもそも触りません。
いいえ。試すのはこちらが用意した練習用の環境の中だけです。事前に御社の構成をうかがい、その形を練習用の環境に写し取ったうえで試します。御社の設備には接続しません。
事前に、公開している入口・機器の更新状況・パスワードの決まり・遠隔操作の入口の有無をうかがい、その条件を再現します。汎用の環境で試すのではなく、御社の条件で試すため、出てくる結果は御社の話になります。
開いた個人名は、御社にも当社にも残しません。集計するのは人数だけです。終了後は必ず種明かしと学習の時間をセットで行い、開いた方を責めない進行にします。
ありません。参加はブラウザだけで完結します。必要な通信先の一覧は申込前にお渡しするので、社内申請にそのままお使いいただけます。
違います。攻撃の手順はお教えしません。受けた側が、どこから入られるかを知り、塞ぐための点検です。
点検結果と記録は御社にお渡しします。当社側での保管期間と削除の方法は、契約時に書面で取り決めます。他社への再委託は行いません。
試す入口の数、参加される方の人数、実施の形によって変わります。資料に「何によって費用が変わるか」を書いていますので、まずそちらをご覧ください。
それぞれの入口をどう試すか、当日の進め方、安全の作り、お渡しする点検結果の見本をまとめた資料です。 社内で回覧いただける形にしています。売り込みのお電話はいたしません。
資料の中身