フィッシングメールによる被害は、技術的な対策だけでは防ぎきれません。従業員が不審なメールを見分け、適切に報告できるかどうかが、実際の被害を防ぐ上で重要な要素です。フィッシング模擬訓練は、その能力を測定し、改善するための実践的な手段です。
01 模擬訓練の目的を明確にする
フィッシング模擬訓練の目的は、従業員を「引っかけて恥をかかせる」ことではありません。現状の組織全体のリスク水準を把握し、研修の優先度と内容を決めるための情報を得ることが本来の目的です。この点を社内で共有しておかないと、訓練後に従業員の反発を招くことがあります。実施の前に、対象者・実施時期・結果の取扱いについて、社内の承認を得ておくことをお勧めします。
02 訓練メールの設計
模擬訓練で使用するフィッシングメールは、実際の攻撃で使われる手法を参考に設計します。日本企業を狙ったフィッシングメールでよく使われるのは、宅配業者の不在通知、社内システムのパスワード変更要求、取引先を装った請求書の送付などです。
訓練の難易度は、組織のセキュリティ意識のレベルに合わせて調整することが重要です。最初から高度な手口を使うと、ほぼ全員が引っかかってしまい、改善の方向性が見えにくくなります。段階的に難易度を上げていく設計が効果的です。
03 フォローアップが訓練の本体
模擬訓練でリンクをクリックした従業員に対して、その場で「これは訓練でした」と表示し、正しい対処方法を説明するページに誘導することが一般的です。ただし、これだけでは不十分で、訓練後に全従業員を対象とした振り返り研修を実施することが重要です。
Crystal Ravenのサイバー衛生研修プログラムでは、模擬訓練の実施から振り返り研修、3か月後のフォローアップ測定までを一連のプログラムとして提供しています。よくあるご質問のページでも研修の形式についてご説明しています。
フィッシング模擬訓練は、一度実施すれば終わりではありません。定期的に繰り返し、組織全体の意識水準を継続的に確認することが、実際のリスク低減につながります。