パスワードを忘れた? アカウント作成
812790 story
政府

政府、職員向けにサイバー攻撃に対する訓練を行うことを決定 29

ストーリー by headless
標的 部門より
あるAnonymous Coward 曰く、

政府は7日に開かれた「情報セキュリティ政策会議」で、サイバー攻撃に対する中央省庁職員の意識を高めるため、「標的型不審メール訓練」を実施することを明らかにした(YOMIURI ONLINEの記事INTERNET Watchの記事)。

対象は内閣官房など12の政府機関の職員5万人で、10月から12月にかけて実施される。マルウエアを模したファイルの添付された摸擬不審メールを職員あてに送付し、ファイルを開くなど不適切な処理をした場合は教育用コンテンツに誘導するとのこと。

個人的にはどれくらいひっかかる職員が出てくるかが気になるところである。「マルウエアを模したファイル」ということで、実際にマルウエアが添付されるわけではないようだが、セキュリティソフトにブロックされてしまうことはないのだろうか。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • うちの省だけで職員数5万いるんだが、どこまでが対象になるんだろう。
    出先の定員外の私なんぞにも送られてくるかな?
    ちなみに非常勤の嘱託等までメアド持ってるんだなぁ。これが。

    自宅からpdfやらエクセルファイル送りつけてもちゃんと受けてるしなぁ。
    ウイルスチェックしているんだろうか?

    --
    5E1D 7B4B 1E3A 5A40 D542 C2C1 F17D B613 45B7 F4B2
    • by greentea (17971) on 2011年10月10日 19時51分 (#2032403) 日記

      セキュリティ的な観点で言うなら、非常勤だろうが何だろうが、漏洩させたらヤバいファイルを受け取る可能性のある人、あるいはそういったファイルにアクセスしようと思えばできる人や、内部のネットワークに接続するための踏み台として使われる可能性の高い端末を操作できる人は全員対象にしないと意味が無いでしょう。
      もし、組織的な理由でそうするのが難しいなら、サイバー攻撃を受けやすい組織と言わざるを得ないかと。

      --
      1を聞いて0を知れ!
      親コメント
  • 安全性を高めるため、錬度を上げる必要はあるけど、
    すべての詐欺手法に対応できる訳はなく、
    騙されの発生を埋もれさせずに、
    一定の割合であるはずの発生を認知できる体制を確保し、
    かつ、情報漏えい等の最終的な被害を防ぐ体制の確保
    …ができりゃ世話ねーよな。

    ま、いたちごっこか。

    --
    やなぎ
    字面じゃなく論旨を読もう。モデレートはそれからだ
  • by Anonymous Coward on 2011年10月10日 12時14分 (#2032159)

    こんなメール開いちゃだめでしょって警告が出るメールが送られてきたことがあった

    #某中央省庁での経験なのでAC

    • #本当に役人って無能なんだ・・・orz

      「あやしいメールは開かない」なんて何の対策にもならないのはわかりきってるのに。

      親コメント
    • by Anonymous Coward

      ちょっと路線が違うけど
      「抽選でプレゼントが当たります」
      というので、応募するためにリンクをクリックするとパスワード入力が求められる
      メールなら某社名義で送られてきたことがある。

      どう見てもフィッシング詐欺なので、某社に通報したら故意でそうしてるんだってさ。

    • by Anonymous Coward

      補足しとくとそれはセキュリティ対策の訓練で、怪しいメールの添付ファイルなんて開いてはいけませんという周知啓発だった

      • by Anonymous Coward

        会社のセキュリティ担当なので、そういうのって一度ぐらいやってみたいと思いますが、
        本当にやってるところもあるんですね

        # やるなら害がない驚かせるようのウィルスを作ってやってみたい

  • by deleted user (42768) on 2011年10月10日 17時55分 (#2032347)
    「標的型不審メール訓練」というからたぶん普通に怪しいんだろうけど… 一人でもいる時点で集中的個人情報が危険だと判断 国民総背番号制みたいなものを導入しておきながら今更やることかと # 結局は扱う人次第の人災で漏洩
  • by Anonymous Coward on 2011年10月10日 12時24分 (#2032163)

    以下、「役人は知能が低いからまともな訓練になるわけがない」論でお楽しみください。

    「いいや、それなりの専門家を呼んでわりと妥当な訓練をするんじゃまいか」派を見つけたら、まずそいつの人格の否定からはじめましょう。

    • 情報セキュリティ政策会議 [nisc.go.jp]にある参考資料pdf「政府機関における標的型不審メール訓練について」に訓練内容の図がありますけど、

      • ウィルス・ボット・スパイウェアなどの「悪意あるプログラムを模したファイルを添付した訓練用メール」を参加府省外(NISC)からインターネット経由で訓練対象者に送付。
      • 訓練用メールの添付ファイルを開封すると、訓練用Webサーバ上の教育用コンテンツが表示され、開封した訓練対象者の情報を開封記録用のDBに記録集計。

      教育用コンテンツが表示されるまでは、訓練とは分からない仕掛け。これのどこがニュースにするほどの訓練なのかと小一時間。

      --
      カルマ:たっぷり
      親コメント
      • by Anonymous Coward

        ウソ訓練コンテンツに誘導して、パスワード入力フォームを儲けてホイホイしよう
        これは勝てる

      • by Anonymous Coward

        このレベルの訓練すらやってないのが民間クオリティでしょう。

  • by Anonymous Coward on 2011年10月10日 12時39分 (#2032170)

    これは訓練用だから、添付ファイルを開いても、大丈夫なんだよ、と言って取材陣の前で開いて見せたら・・・
    なんてことはないのかな?

    • 訓練の期間とか公表しちゃいましたからね。

      「これは訓練です」

      という注意書きのあるイタズラ/本物に対する対策はしてありますよね。勿論。
      「訓練の経過/結果は公表できません」という「対策」でないことを祈りますが。

      # 類似品には「類似品にご注意ください」と書いてあるんです!

      親コメント
      • by Anonymous Coward

        訓練を行うと事前に公表しないと不正指令電磁的記録の作成やら供用やらになってしまうからじゃね?

    • by Anonymous Coward

      本物の攻撃メールには
      「これは訓練ではない。繰り返す。これは訓練ではない!!」
      の一文を入れるようにすればOK。

      #誰が入れるんだろう???

      • そんなもの、メールサーバー上で自動で書き換えるだけですよ。

        社外からの送信で添付ファイルがあったらサブジェクトに書き加えるとかで良いんじゃない?

        親コメント
      • by Anonymous Coward

        This is not a drill. の後は repeat とsay again のどちらのほうが主流なのでしょうか?

        # 攻撃者は気をつかって「これは訓練ではない。」と"This is not a drill."の両方を記載しそうです。
         

        本物の攻撃メールには
        「これは訓練ではない。繰り返す。これは訓練ではない!!」
        の一文を入れるようにすればOK。

        #誰が入れるんだろう???

  • by Anonymous Coward on 2011年10月10日 12時53分 (#2032173)

    http://eicar.org/86-0-Intended-use.html [eicar.org]
    いいんじゃない?
    「テストだと思って興味本位で開いた」とかぜったいいそう。

    • by Anonymous Coward

      > 「テストだと思って興味本位で開いた」とかぜったいいそう。

      それよりも
      「訓練用マルウェアだと思って 面倒 大事なメールを確認していませんでしたテへッ」
      って言い訳に使われるに違いない。

  • by Anonymous Coward on 2011年10月10日 13時12分 (#2032184)

    怪しいメールを受信
     別ネットワークで内容確認
      IDSにパターン登録&DNS書き換え

    とかやられた場合、訓練にも何にもならん気がするのだが…

  • by Anonymous Coward on 2011年10月10日 17時43分 (#2032338)

    マルウエアによるアタックで、教育用コンテンツサーバーが一瞬にしてダウンしますた。

  • これ結構釣れそうじゃない?
    だめ?

    • by Anonymous Coward

      大学や研究所だと、研究室のメンバー構成とメールアドレスが公開されているところが多いから、
      上司や部下や同僚をかたったメールを出すことは簡単だし、もしそういうのをもらったら信じてしまう
      かも知れない。

      しかも、24時間365日働く人が多いから、多少アドレスが変わってても「自宅からの送信だな」
      と思って信じてしまうこともありそう。

  • by Anonymous Coward on 2011年10月11日 12時48分 (#2032692)

    電子メールだと思って身構えてたら、省内回覧板が回ってきたりして。

typodupeerror

私はプログラマです。1040 formに私の職業としてそう書いています -- Ken Thompson

読み込み中...