ISMSの標的型攻撃メール訓練はどう進める？開封率だけに頼らない効果確認と改善
標的型攻撃メール訓練を実施しても、開封率を集計するだけでは、不審メールを受け取った従業員が誰へ報告できるか、誤ってクリックした後に対応できるかまでは分かりません。訓練の計画には、受信者の行動と、報告を受ける側の対応も組み込みましょう。
この記事では、準備から結果の確認、追加教育への反映までを説明します。ISOトラストがIT企業で訓練計画・評価項目・報告手順を整備した実例も紹介します。
▼目次
1. 標的型攻撃メール訓練で、何を確かめるか決める
標的型攻撃メール訓練は、攻撃を模した安全なメールを使い、不審な点への気付きや報告などを確かめる方法です。最初に『訓練をした』という実績だけでなく、今回確認したい行動を決めます。例えば、リンクを開く前に相談できるか、操作してしまった場合も速やかに報告できるか、といった目的です。
ISMSでは、自社のリスクや業務に合う教育・訓練を考えます。全社で同じ文面を一斉配信する方法に固定せず、対象者の仕事、メールの利用状況、過去に見つかった課題から範囲を選びましょう。入社・異動や報告手順の変更なども、見直しの機会になります。
頻度も、年に何回なら十分と一律に決めるのではなく、リスク、前回の課題、教育後に確かめたいこと、実施と分析の負担を踏まえて計画します。訓練を増やすだけで安全になるとは限りません。メール対策や端末の保護などの技術的な対策と併せて進めます。
2. 配信前に、不審メールの報告先と誤操作後の対応を整える
報告先の部署・担当、連絡方法、担当者不在時の連絡先を決めます。上司に相談する運用なら、上司から専門担当者へつなぐ手順も明確にしましょう。メールが利用できない場合にも使える、電話などの連絡手段を用意します。
受信者には、不審なメールへの返信や追加の操作を控え、社内手順に沿って連絡することを伝えます。報告では、受信日時、件名、利用端末、クリック・添付ファイル開封・情報入力の有無とおおよその時刻が分かると、担当者が状況を判断しやすくなります。分からない項目を調べるために再びリンクを開かず、判明している範囲で先に連絡します。
誤操作した場合の対応も事前に決めます。通信の切り離しや端末操作、アカウントへの対応は、状況と社内の緊急手順に従って行い、技術担当者の指示につなげます。自分でメールやファイルを消したり、初期化したりして証拠を失わないようにします。
報告を受ける側は、受領の連絡、操作状況の確認、必要な調査・対応の判断まで担当を決めます。訓練と決め付けて実際の攻撃を見逃さないよう、実際のインシデントが疑われる場合の切り替えも準備しましょう。IPAも、受信者の対処や報告ルートに加え、報告を受ける組織の対応を訓練目的に挙げています。
3. 対象・シナリオ・記録の扱いを決め、安全に準備する
計画には、目的、対象者、実施期間、責任者、配信担当者、報告の受付担当者、集計方法、終了後の説明と教育を記載します。対象一覧は休職者・退職者や誤った宛先が入っていないかを確認し、実施内容を責任者が承認する流れにします。
文面は、自社の業務で受信しそうな連絡を想定します。請求書やパスワード更新などは検討例ですが、特定の第三者へ問い合わせが殺到するような、実在組織や酷似したドメインの無断使用は避けましょう。従業員が何を確認すればよいかを学べる内容にします。
リンク先や添付ファイルは安全な訓練用のものを使い、本物のパスワードや顧客情報を集めない設計にします。外部サービスを利用する場合は、提供する対象者情報、計測範囲、閲覧権限、保存期間、終了後のデータの扱いも確認します。個人の結果を広く公開して評価する運用は避け、改善に必要な範囲で扱います。
従業員へは、普段の教育で報告手順と、誤操作後も報告することの大切さを伝えます。配信日時や訓練の詳細をどこまで知らせるかは目的に応じて決めますが、報告の仕方が分からない状態のまま試すと、知識と手順のどちらに課題があるのか判断しにくくなります。
4. 少人数で動作を確かめ、報告の受付も含めて実施する
本番前に、承認された少人数のテストで、宛先、文面、リンク先、安全性、計測、報告経路を確かめます。メールが届かない、計測が動かないといった状態を、そのまま『誰も開かなかった』という結果にしないことが大切です。
配信環境の調整は情報システム担当者と協議します。訓練のために防御機能を広く無効にする運用は避け、必要な調整の範囲と期間を限定して確認します。受付担当者が不在になる時間帯や、業務への影響が大きい時期も考慮しましょう。
実施中は、配信できた人数と対象の漏れ、問い合わせ、報告の受付状況を記録します。電話やチャットからの報告も、ツールの自動集計から漏れないようにまとめます。実際の攻撃や業務上の支障が疑われた場合は、あらかじめ決めた連絡・中止手順に従います。
終了後は訓練だったこと、確認してほしかった点、正しい報告方法を説明します。誤操作した人だけを責めると、実際に困ったときに報告をためらうおそれがあります。操作の有無にかかわらず、早めの相談と正確な状況説明を促しましょう。
5. 開封率・クリック率と報告状況を分け、改善を記録する
『開封』がメール本文の表示なのか、添付ファイルを開くことなのかを先に定義します。リンクのクリックも別の行動です。計測方法によっては画像の読み込み設定やセキュリティ製品の自動確認に影響されるため、ログ上の反応をそのまま従業員の操作と断定しないよう、技術担当者と確認します。
集計は分母と数え方をそろえます。例えばクリック率を『クリックした人数÷配信が確認できた人数』、報告率を『指定した窓口へ報告した人数÷配信が確認できた人数』と決める方法があります。同じ人の複数回の操作・報告をどう数えるか、集計期間、未配信者の扱いも記録します。これは設定例であり、サービス間で定義が同じとは限りません。
報告までの時間は、配信から測るのか、実際に閲覧した時刻から測るのかで意味が変わります。閲覧時刻が取れなければ、その限界も残しましょう。誤操作後の報告の有無、受付担当者が対応を開始できたかなども確認すると、次に直す手順を見つけやすくなります。
前回よりクリック率が下がっても、今回のメールが見分けやすかった可能性があります。NISTのPhish Scaleは、訓練メールを人が見分ける難しさを評価する方法です。数値の比較では文面や対象者の条件も確認し、クリックがゼロだったことだけで対策が十分と判断しないようにします。
実施報告書には、目的、対象・配信状況、シナリオ、指標の定義、結果、課題、追加教育、改善担当者と期限、次の確認方法を残します。報告が少なければ窓口の分かりやすさを見直す、操作後の連絡が遅ければその場面を再教育するなど、結果を具体的な改善へつなげます。
6. IT企業の支援事例：教育と不審メールの報告手順をつなぐ
ISOトラストがISO27001の運用を支援したシステム開発・ITインフラ保守業のお客様では、年に1回程度の情報セキュリティ教育を行っていました。ただし、資料の配布と理解度テストが中心で、実際の不審メールに対して判断・報告できるかまでは確認できていませんでした。
報告先も、直属の上司へ相談する人と情報システム担当者へ直接連絡する人がいるなど、ばらつきがありました。URLをクリックした場合や添付ファイルを開いた場合の対応も十分に周知されておらず、早期の報告と初動につなぐ仕組みの整理が課題でした。
ISOトラストは担当者へのヒアリングを基に、訓練の目的・対象・時期と評価項目、不審メールの報告先・方法、誤操作後の初動対応、実施報告書と評価記録の様式を整理しました。請求書送付やパスワード更新を装うメールなど、業務で遭遇しそうな内容も検討しました。
評価項目には開封状況だけでなく、URLのクリック状況、不審メールの報告状況、報告までの時間も含めました。ISOトラストが計画・手順・記録様式と教育の有効性評価方法を支援し、お客様の情報システム担当者や情報セキュリティ管理責任者が、実際の配信、周知、集計、技術的な調査や対策を担う役割分担としました。
支援後は、従業員の対応状況を評価する仕組みと、報告から初動対応へつなぐ手順が整いました。訓練結果を教育の有効性評価に反映し、追加教育や注意喚起を検討できる管理体制になりました。自社でも、訓練を計画する前に『クリックした人が今すぐ連絡できる先はどこか』を確認してみてください。訓練計画や報告手順をISMSの運用へつなげたい場合は、ISOトラストへご相談ください。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント