訓練メールを送り、開封率を集計し、開いた人に注意を促す。この形の訓練を続けても、行動は変わりにくいことが分かってきました。開封率は下げ止まり、現場には「また引っかけられた」という不満が残ります。
この記事では、訓練の目的を「開かせないこと」から「報告させること」に置き直し、設計、文面、結果の扱い、年間の回し方を整理します。訓練の基本的な実施方法は標的型攻撃メールとはで解説しています。
測るものを変える
開封率は、訓練を重ねてもゼロにはなりません。AIが作るフィッシングのクリック率の記事で書いたとおり、文面の質が上がった今、見分けで防ぎ切ることは現実的でなくなっています。誰かは開きます。
被害の大きさを決めるのは、開いた後に何分で報告されたかです。報告が早ければ、認証情報の無効化や端末の隔離が間に合います。そこで、測る指標を次の3つにします。
- 報告率。訓練メールを「不審なメール」として報告した人の割合
- 初報までの時間。最初の報告が届くまでにかかった時間
- 開封後の報告率。開いてしまった人のうち、その後に報告した人の割合
3つ目が大切です。「開いたけれど報告した」人は、望ましい行動を取った人として扱います。初回の報告率は低くて当然で、回を重ねて上がっていくかを見ます。
文面と難易度の設計
難易度は段階を付けます。
- 第1段階。差出人や件名に明らかな違和感があるもの。報告の手順に慣れてもらう回
- 第2段階。請求書、勤怠の修正依頼、人事からの通知など、業務でよくある形式のもの
- 第3段階。自社の実在する業務の流れや、取引先とのやり取りに似せたもの
避けるべき文面もあります。賞与、解雇、懲戒といった感情を強く揺さぶる内容は、訓練への反発を招きます。実在する取引先や公的機関の名前を使うと、相手先への問い合わせが発生し、信頼を損ねます。特定の個人だけを狙う形も避けます。
送り方にも工夫が要ります。全員に同時に送ると、気づいた人が社内のチャットで知らせ、測定になりません。部署ごと、時間帯ごとにずらして送ります。なお、気づいた人が周囲に知らせること自体は、本物の攻撃では望ましい行動です。訓練の測定上は分けて扱い、行動としては評価します。
結果の扱い
訓練の成否は、結果の扱いで決まります。
開いた人の名前は公表しません。人事評価にも使いません。本人へのフィードバックは、開いた直後に短い説明のページを表示する程度にとどめ、後から呼び出して注意することはしません。責められると分かっている職場では、本物のメールを開いたときに報告が遅れます。訓練で責めることは、本番の被害を大きくする方向に働きます。
報告した人には、名前を出して感謝を伝えます。誤報も歓迎します。「結果的に何でもなかった報告」が集まる職場は、本物を拾える職場です。新入社員の教育の記事で書いた「報告には必ずお礼を返す」運用と同じ考え方です。
経営への報告は、個人の結果ではなく、部署ごとの報告率と初報までの時間の推移で行います。
年間でどう回すか
頻度は四半期に1回程度が目安です。毎月行うと、業務のメールまで疑われて仕事が滞り、訓練への不信感も強まります。回を重ねるごとに難易度を一段ずつ上げます。
訓練の直後には、短い振り返りの場を設けます。実際に社内に届いた本物の不審メールを題材にして、「本物はこう来る」を見せます。この10分が、訓練メールそのものより記憶に残ります。
順番として最も大切なのは、報告の受け口を先に整えることです。メールソフトの報告ボタン、専用のアドレス、報告したら必ず返事が来る仕組み。受け口がないまま訓練を始めると、「報告しろと言われても、どこに」で止まります。Microsoft 365の上位プランには訓練メールの送信と集計を行う機能が含まれており、専用の訓練サービスも複数あります。自社で文面を作って送る必要はありません。
セキュリティ研修が形骸化する理由の記事で書いたとおり、研修は実施回数ではなく行動の変化で評価します。訓練も同じで、報告率と初報までの時間が年間を通じて改善しているかを見ます。
実務者の持ち帰り
- 訓練の指標を、開封率から「報告率」「初報までの時間」「開封後の報告率」に変える
- 開いた人を責めない、公表しない、評価に使わないことを、訓練の計画書に明文化する
- 訓練を始める前に、報告の受け口（ボタンまたは専用アドレス）と、報告へのお礼の返信を仕組みにする
