教育は対象と目的を分ける

全員に同じ話をするだけでは、身に付きません。新しく入った人には基本の決まりを、顧客の情報を扱う人には扱い方を、管理する立場の人には事故のときの動き方を、と対象ごとに目的を決めます。受けたかどうかと、理解できたかを確かめます。

訓練で確かめる

標的型攻撃のメールの訓練では、開いた人の数だけでなく、すぐ報告した人の数を見ます。開いてしまっても、すぐ報告できれば被害は小さくできるからです。

内部不正防止の5つの基本原則

IPAの「組織における内部不正防止ガイドライン」は、次の5つを基本原則としています。
- 犯行を難しくする（やりにくくする） … 権限を絞る、持ち出しを制限する
- 捕まるリスクを高める（やると見つかる） … 記録を取り、監視していることを知らせる
- 犯行の見返りを減らす（割に合わない） … データを暗号化し、持ち出しても使えなくする
- 犯行の誘因を減らす（その気にさせない） … 公平な評価、相談しやすい職場
- 犯罪の弁明をさせない（言い訳させない） … 決まりを知らせ、守ることに同意してもらう

退職のときの対策

退職する人には、秘密を守る誓約書に署名してもらい、貸していた機器と資料を返してもらいます。退職の日にIDを止め、直前の大量のダウンロードなど、ふだんと違う動きがないかも確かめます。

• 対象と目的を分けた教育と、理解の確かめ方
• 標的型攻撃メールの訓練で見るべき数字
• 内部不正防止の5つの基本原則と、それぞれの対策の例
• 退職のときの誓約書・返却・IDの停止・記録の確認