標的型攻撃メール訓練とは、模擬の攻撃メールを社員に送り、開封やURLのクリック、不審なメールの報告状況を確かめる取り組みです。多くの訓練サービスは、開封した人にその場で注意点を示す画面も用意しています。
ただ、その画面を見るのは開封した人だけです。訓練で使った手口を研修でも取り上げ、全社員が見分け方を学べるようにすると、同じ手口にだまされる人を減らせます。
本記事では、訓練と研修の違いと、年間の組み合わせ方、訓練の結果を研修につなげる手順を解説します。
情報セキュリティ研修を動画で実施する方法を先に比べるなら：情報セキュリティ研修向けeラーニングの比較
目次
訓練をくり返しても開封が減らない理由
訓練で分かるのは、そのときに誰が開いたかです。開封した人はその場の画面で手口を知りますが、開かなかった人は、どこを見て怪しいと判断すればよいかを学ぶ機会がありません。
次の訓練で手口が少し変わると、前回は開かなかった人が開いてしまうことがあります。訓練をくり返しても開封が減らないときは、次の3点を見直しましょう。
- 訓練で使った手口を、全社員向けの研修でも取り上げているか
- 開封した人への種明かしだけで終わっていないか
- 開封率のほかに、不審なメールを報告した人の数も見ているか
見落としやすいのは、報告した人の数です。怪しいメールを受け取った人がすぐに報告できると、本物の攻撃でも社内での広がりを早く止められます。
訓練と研修の違い
訓練と研修は、役割が違います。訓練は、開封した人がその場で手口に気づくきっかけになります。研修は、その手口と報告の手順を全社員にそろえて伝える場です。
| 項目 | 訓練 | 研修 |
|---|---|---|
| 対象 | 模擬メールを送った全員（種明かしは開封した人だけ） | 全社員 |
| 内容 | 模擬メールの送信、開封した人への種明かし | 手口、怪しいメールの見分け方、報告の手順 |
| 結果の見方 | 開封率、クリック率、報告した人の数 | 受講の完了、確認テストの点数 |
| 頻度 | 年1〜2回など、会社で決める | 年1回の全社員向けと、必要な人への補講 |
| 主な担当 | 情報システム部門 | 人事・研修担当、情報システム部門 |
模擬メールの送信と種明かしの画面は、専用の訓練サービスを使うのが一般的です。また、研修の実施と受講管理を人事・研修担当が受け持つと、訓練の結果を研修の中身に反映しやすくなります。
毎年の組み合わせ方
年間の流れは、研修、1回目の訓練、補講、2回目の訓練の順です。研修をはさんで訓練を2回行うと、同じ社員で研修の前後の結果を比べられます。
| 時期 | 取り組み | 担当 |
|---|---|---|
| 4月 | 全社員向けの研修（標的型メールの手口と報告の手順） | 人事・研修担当 |
| 6月 | 1回目の訓練 | 情報システム部門 |
| 7月 | 結果の集計と、手口別の補講 | 情報システム部門、人事・研修担当 |
| 10月 | 2回目の訓練 | 情報システム部門 |
| 11月 | 2回の結果を比べ、次年度の研修の内容を見直す | 情報システム部門、人事・研修担当 |
| 2月 | サイバーセキュリティ月間に合わせた注意喚起 | 情報システム部門 |
2回の結果を比べやすいよう、模擬メールの難易度はそろえましょう。また、件名や送信元の見せ方を記録しておくと、次の年も同じ条件で比べられます。
訓練の結果を研修につなげる方法
訓練の結果を集計すると、研修で何を取り上げればよいかが見えてきます。結果の傾向ごとの研修の内容は、次の表のとおりです。
| 結果の傾向 | 研修の内容 |
|---|---|
| 添付ファイルを開いた人が多い | 添付ファイルの種類と、送信元の確認の仕方 |
| URLのクリックが多い | リンク先の確かめ方と、ログイン情報を入力しない場面 |
| 報告した人が少ない | 報告先と手順、報告した人を評価すること |
| 特定の部署に偏っている | その部署の業務に近い例（請求書、応募書類など）での補講 |
進め方は次の4つです。
- 結果を手口別、部署別に集計する
- 開封した人を責めず、手口の解説を全社員に伝える
- 開封した人と、開封が多かった部署に短い補講を割り当てる
- 次の訓練で結果を比べ、開封が減らなかった手口は研修の内容を見直す
開封した人の名前を部署や全社に知らせると、報告をためらう雰囲気が生まれることがあります。名前は本人への通知にとどめるか、上長にも共有するかを訓練の前に決め、社員に伝えておきましょう。
研修をeラーニングで行うなら
研修をeラーニングで行うと、訓練の結果が出たあと、すぐに全社員向けの研修と対象者への補講を始められます。補講は対象者だけに割り当て、受講状況とテストの結果を管理者が確認します。
AirCourseでは、メールで起こるリスクや人的な対策を学べる既存コンテンツがそろっています。情報セキュリティのコースには年度ごとの受講用コースもあり、毎年の研修を前年の受講履歴と分けて管理できます。
模擬メールの送信は訓練サービスに任せ、研修の受講管理はAirCourseで行うと、役割を分けて運用できます。
→ 【無料】AirCourseアカウントを作成して、最新コースの一部を動画で見る
まとめ
標的型攻撃メール訓練で手口を知るのは、開封した人だけです。訓練で使った手口を研修で全社員に伝え、研修、訓練、補講、2回目の訓練の順に年間の計画を組みましょう。
まずは、全社員向けの研修で取り上げる手口と、1回目の訓練の時期を決めるところから始めてください。
社員研修の課題解決に、今すぐ使える実践ツールを
社員研修の重要性は分かっている。でも「具体的にどう実行するか」で多くの企業が迷い、思うような成果が出せずにいます。あなたの組織も同じ悩みを抱えていませんか？
そんな課題を解決するために、900社以上が導入し成果を上げている「実践的な研修ノウハウ」と「すぐに使えるツール」をまとめた資料を無料でご用意しました。
理論から実践へ着実にステップアップし、組織の成長を加速させたい方は、今すぐ以下資料をご活用ください。
よくある質問
Q. 標的型攻撃メール訓練は、年に何回行えばよいですか？
回数に決まりはありません。年1回だと研修の前後を比べられないので、年2回にして、1回目と2回目の間に補講を入れる計画がおすすめです。実施の時期は、情報システム部門と人事・研修担当で相談のうえ、年間計画に入れておきましょう。
Q. 標的型攻撃メール訓練で開封した社員に、個別に指導してもよいですか？
叱責にならない形で行うのが前提です。開封した事実を本人に伝え、手口の解説と短い補講を案内する範囲にとどめます。個人名を部署や全社に知らせると、報告をためらう雰囲気が生まれることがあるため、共有する範囲は訓練の前に決めておきましょう。
Q. 標的型攻撃メール訓練と研修は、どちらを先に行えばよいですか？
研修を先に行いましょう。手口と報告の手順を伝えたうえで訓練を行うと、結果から報告の仕組みが働いているかを確認できます。研修の前に訓練を行った場合は、結果を補講の対象選びに使い、全社員向けの研修をその後すぐに実施します。
Q. 標的型攻撃メール訓練は、自社だけで実施できますか？
実施できますが、模擬メールの作成、送信元の設定、開封の記録には工数がかかります。そのため専用の訓練サービスを使うのが一般的です。自社で行う場合は、人事・総務など社員からの問い合わせを受ける窓口にも訓練の日程を共有し、「不審なメールが届いた」と聞かれたときに慌てず対応できるようにしておきましょう。
