はじめに
日本シーサート協議会は8月18日に標的型メール訓練の実施を支援する目的で公開されました。
本日はその手引書をもとに標的型メール訓練を考えていきましょう。
本稿では標的型メール訓練のあるべき姿を紹介した後にメール訓練の熟成度モデルを紹介して、メール訓練委託の際の確認事項を紹介させていただきます。
標的型メールサービス訓練とは
疑似的な攻撃メールを送り、URLや添付ファイルを開封したかどうかの調査を行うことを標的型メール攻撃訓練といいます。
訓練を行うことで社員のセキュリティ意識を調査し、そこから従業員への教育を行うことで「人」の強化を行います。
標的型メール訓練のあるべき姿
早速ですが標的型メール訓練を実施する目的は何なのでしょうか。
想像しやすいのは開封者数・開封率の調査といったところでしょうか。
しかし、手引書では以下のように記載されています。
URLリンクをクリックしてしまったり、開封してしまったことだけを取り上げて過失やミス、さらには不審なメールを見極める能力不足の責にすることは組織の対応として不適当です。
不審メールを見抜く力の育成には限界があります。本来、組織メンバーに期待すべき行動は「知らせること」で、訓練目標としては「報告すること」となっています。
手引書ではこのようなことを以下のようにまとめています。
叱られること＝クリックや開封を隠すこと、報告しないこと＝期待されないこと
褒められること＝クリックや開封してしまっても早期に報告すること＝期待されること
このことから、長期的に開封率の「低減」を目標とするためには報告率を高めることが重要になります。
メール訓練の熟成度モデル
手順書に紹介されているモデルをまとめました。
こちらのモデルを活用することでメール訓練における現状の立ち位置や、経営層への状況報告や今後の施策説明にも期待できます。
こちらのモデルの成熟フェーズは3つに分かれています。
1stSTEPでは開封率の測定を訓練目標にしています。ここでは、一時的な訓練を実施し現状確認のフェーズになります。
2ndSTEPでは開封率や通報率に目標を設定しています。ここでは、1stSTEPの結果を受け定期的に訓練を実施して積極的に改善しているフェーズです。
また、3rdSTEPでは開封率や通報率の維持を目標にしています。ここでは、2ndSTEPで訓練を継続的に実施した結果開封率や通報率が目標達成後に状態を維持するフェーズです。
このようにメール訓練を繰り返し行う中で、難易度を高めていき「訓練の成長」が必要となってきます。
メール訓練委託の際の確認事項
ここまでご覧いただきありがとうございます。
最後に、手引書に記載されている「実際にメール訓練を委託する際に確認すべき事項」を紹介します。
確認カテゴリは7つあります。
- メールコンテンツ
- 開封コンテンツ
- トラッキング方式
- ドメイン
- リハーサル
- 開封ログ
- 報告書
紹介されている事項は概ね弊社でも実施しております。
尚、これらに加えて弊社のサービスでは教育（Ｅラーニング）とアンケートも実施しております。
是非、今回紹介した標的型メール訓練サービスをご検討してみてはいかがでしょうか。
標的型メール攻撃訓練に関してご質問などございましたら、ぜひ弊社までご連絡ください。
(この記事が参考になった人の数：1)
読み込み中...