10月は「サイバーセキュリティ月間」｜社内でやると良いこと
10月は、国際的にサイバーセキュリティ啓発月間とされています。国内でも、この時期に社内向けの注意喚起や研修を行う企業が増えます。
月の後半に入り、「今年も手を付けないまま10月が終わりそう」という会社もあるかもしれません。ですが、きっかけがないと後回しになり続けるのがセキュリティ対策です。月末までの残りの期間でも無理なくできることを、負荷の軽い順に並べてみます。
下の「週1〜週3」は、進める順番の目安です。1週ずつでも、まとめて一気に進めても構いません。月内に終わらなくても、11月に続きを進めれば十分です。
週1：所要15分でできること
全社メールで注意喚起を送る
いま実際に流行している手口を1つ選んで、具体例つきで共有します。
- 「ポイントの受け取りを装う詐欺メールが増えています」
- 「実際の文面はこちら（スクリーンショット）」
- 「リンクは開かず、アプリを自分で開いて確認してください」
抽象的な「注意しましょう」より、実物を見せるほうが圧倒的に効きます。
パスワードの使い回しを確認してもらう
「重要なアカウントで、他と同じパスワードを使っていませんか」と投げかけるだけ。強制せず、気づいてもらうことが目的です。
週2：所要1時間でできること
アカウントの棚卸し
退職者のアカウントが残っていないかを確認します。特に見落とされやすいのは、
- サイトのCMS（WordPressの管理者）
- クラウドストレージ
- SNSの企業アカウント
- ドメイン・サーバーの管理画面
一度も確認したことがない会社ほど、驚く結果が出ます。
管理者アカウントに2要素認証を設定する
すべてのアカウントは無理でも、管理者権限を持つものだけなら1時間で終わります。効果は非常に大きいです。
週3：所要半日でできること
バックアップの「復元テスト」
取れているつもりのバックアップが壊れている——これは実際にある話です。
実際に1ファイル復元してみるだけで構いません。復元できることを確認していないバックアップは、バックアップとは言えません。
IT資産の棚卸し
パソコンが何台あるか、OSは何か、サポートが切れていないか。Excelで十分です。「サポート切れの端末が見つかる」ことがよくあります。
月内に一度：本格的にやるなら
社員向けのセキュリティ講習
座学で、実際の手口と対処法を共有します。外部の人間が話すほうが、社内の人が言うより届くという面もあります。
フィッシング訓練
模擬の詐欺メールを社員に送り、誰が開いたか、誰が報告したかを測定します。
「うちの社員は大丈夫」と思っている経営者ほど、結果に驚かれます。責める目的ではなく、現状を知って教育につなげるのが本来の使い方です。
「報告しやすさ」を作るのが最大の対策
技術的な対策以上に効くのが、心理的な安全性です。
- 「開いてしまった」とすぐ言える空気があるか
- 報告した人が責められない文化になっているか
- 誰に報告すればいいかが全員に周知されているか
被害が大きくなる最大の理由は、報告の遅れです。「怒られるから黙っていた」が、事故を事件に変えます。
月間の締めくくりに、経営層から一言。
「開いてしまっても責めません。すぐ報告してください。それが一番助かります」
これを言えるかどうかが、実は最大の対策だったりします。
中小企業なら、3つに絞っても十分
全部やる必要はありません。優先度の高い3つを挙げるなら、
- 管理者アカウントの2要素認証
- バックアップの復元テスト
- 退職者アカウントの棚卸し
この3つだけでも、リスクは大きく下がります。
講習・訓練のご相談を承ります
BULLCOM Security では、中小企業向けのセキュリティ講習（座学 ¥49,800〜／最大20名・半日）と、フィッシング訓練＋被害リスク分析レポート（¥79,800〜／100名まで）をご用意しています。両方のセットは ¥99,800 でご提供しています。
「ISMSやPマーク取得に向けて、教育の記録が必要」というご相談も承ります。実施記録が残る形でご提供できます。
まずは現状をお聞かせください。お問い合わせフォームまたはLINEからお気軽にご相談ください。
