まず私は神戸大学所属の教員であり、職務上知り得た情報を他所に許可なく漏らすことは重大な職務違反となるゆえに、以下については一般論であること、さらに私自身は上記の事件の当事者さらに処理、対策には直接的に関わっていないことを明言しておきます。

上記の事例も含めて、ウイルス（マルウェア）付き添付ファイルを開くな！と言っても開いてしまうものです。より正確に言えば、開いてしまう人もいれば、普段は開かなくとも開いてしまう状況にあるものです。どんなに注意しても、確実にウイルス付き添付ファイルか否か判断できるわけではなく、特に最近の、いわゆるばらまきタイプの標的型メール攻撃では巧妙な内容になっていて、どんなに注意しても開いてしまうことが有り得るのです。

その対策の一環として、標的型メール攻撃を疑似的に行って、それに耐性をつける、すなわち開かないようにすることを目的とした訓練が定期的に行わえています。しかし極論すれば目的が間違っているのです。確かに耐性をつけることは重要ですが、開けなくなる人がたとえ減ったとしても、絶対に皆無になることは有り得ないのです。一人でも、一台のパソコンでも感染してしまえば、そこからさらに感染が広がり情報システムは破たんします。正しい目的は、人数を減らすことではなく、誰かが開いた場合の、その後の対処が訓練となるべきなのです。

また、このような事件が起こった場合、必ずと言っていいほど、二つの点が述べられます。一つは「今後は不審なメールには注意し、その添付ファイルを開かないように徹底する」ということです。不審なメールなどは有り得ません。正確に言えば、不審なメールでの添付ファイルを開ける人などいないということです。不審ではないからゆえに開いてしまうのです。さらに「情報が外部に漏れた痕跡はない」とか「悪用された形跡はない」と釈明しますが、これは「痕跡が見つけられない」、「形跡が発見できない」という意味であって、被害がないということを証明しているわけではありません。特に情報が外部に漏れて、それが現時点で利用されていなかったとしても、数か月後、数年後、あるいは数十年後に悪用されるとも限らないのです。

このようなばらまきタイプの標的型メール攻撃こそ、予防だけでなく、事後の対策に力を入れるべきなのです。それが情報システムへの人為的災害に対する危機管理としてのハザードトレラントシステム(Hazard Tolerant System)なのです。