メール訓練の効果をさらに高める情報セキュリティ教育とは？
標的型攻撃メール訓練は多くの企業で導入されている一方で、
「訓練は実施しているものの、クリック率を確認して終わっている」
「訓練で見つかった課題を改善につなげられていない」
「従業員のセキュリティ意識が向上しているかわからない」
といった課題を抱える企業も少なくありません。
メール訓練の効果を高めるためには、訓練によって課題を把握するだけでなく、その結果を踏まえたフォロー教育や、社員の意識の底上げをはかる情報セキュリティ教育を継続的に実施することが重要です。
本記事では、メール訓練と情報セキュリティ教育のそれぞれの役割や、組み合わせることで得られる効果について解説します。
なぜ今、情報セキュリティ教育がより重要になっているのか
AIの進化によりサイバー攻撃はますます巧妙化しており、技術的な対策だけでは防ぎきれないケースが増えています。また、情報漏えいやインシデントは外部からの攻撃だけでなく、人の判断や行動が関わることで発生・拡大することも少なくありません。
- フィッシングメール内のリンクをクリックしてしまう
- パスワードの使い回し
- メールの誤送信
- クラウドサービスの設定ミス
- USBメモリの紛失
- インシデント発生時の報告漏れ
このようなリスクを減らすためには、ルールを周知するだけでなく、従業員がその理由を理解し、適切に判断・行動できる状態をつくる必要があります。
ISMS（ISO/IEC 27001）やSCS評価制度、さまざまなガイドラインにおいても情報セキュリティ教育が必須項目とされているのも、このような背景が関連しています。
メール訓練と情報セキュリティ教育、それぞれの役割とは
メール訓練と情報セキュリティ教育は、どちらも人的セキュリティ対策として重要ですが、目的は異なります。
メール訓練の役割
メール訓練は、実際の攻撃を模したメールにより、従業員が攻撃メールへの対応を実践的に学ぶ取り組みです。企業によって訓練の目的はさまざまですが、主に次のような目的で実施されています。
攻撃メールへの意識を高める
実際の攻撃に近いメールを体験することで、被害防止のための気づきや学びを得ます。
- 「自分も騙される可能性がある」という危機意識を持つ
- 攻撃メールの特徴や見分け方を学ぶ
- 最新の攻撃手法への理解を深める
不審メールの報告ルールを周知・定着させる
インシデント発生時に適切な初動対応ができるよう、報告手順の理解と実践を確認します。
- 報告窓口を理解しているか
- 適切に報告できるか
- インシデント発生時に適切な初動対応ができるか
従業員のセキュリティ意識や対応状況を把握する
以下のような指標を通じて、組織全体や部門ごとの傾向を確認します。
- 開封した割合（クリック／添付ファイル開封率）
- 不審メールを報告できた割合（報告率）
- 部門ごとの傾向や課題の把握
訓練を積み重ねることで、従業員は不審なメールに気付いたり、適切に対応する力を養うことができます。また、訓練結果を分析することで、自社の課題を把握し、対策へつなげることもメール訓練の重要な役割です。
情報セキュリティ教育の役割
情報セキュリティ教育は、従業員一人ひとりが情報を守るための正しい知識を身につけ、日常業務の中で適切に判断・行動できるようにするための取り組みです。従業員が、情報を取り扱う際のリスクやルール、その理由を理解することで、情報漏えいや不正利用、サイバー攻撃による被害を未然に防ぎやすくなります。
また、万が一インシデントが発生した場合にも、速やかな報告や適切な初動対応につなげ、被害を最小限に防ぐことができます。
メール訓練は「対応力を高める取り組み」、情報セキュリティ教育は「知識や考え方を身につける取り組み」と整理できます。
メール訓練の効果を高める2つの教育アプローチ
メール訓練の効果を高めるためには、一斉に実施する情報セキュリティ教育だけでなく、メール訓練後に実施するフォロー教育も有効です。ここでは、それぞれの教育について紹介します。
① メール訓練後のフォロー教育
メール訓練後のフォロー教育は、訓練メール内のリンククリック、フォーム入力、添付ファイルの開封といった操作を行った従業員などを対象に実施する教育です。
次のような内容をおすすめします。
- なぜそのメールが危険なのか
- 不審なメールを見分けるポイントは何か
- 受信した場合に、どのように対応すべきか
- 誰にどのように報告すべきか
訓練の体験に沿って学ぶことで、その原因や改善すべき行動を具体的に理解できます。また、訓練の記憶が新しいうちに教育を実施することで、訓練で得た気づきと知識を結び付けながら学ぶことができます。そのため、学習内容が定着しやすくなり、実際の業務でも適切な行動につなげやすくなります。
フォロー教育はメール訓練と切り離された教育ではなく、訓練結果から改善につなげるための一連の取り組みとして実施することをおすすめします。
② 全社員向けの情報セキュリティ教育
メール訓練後のフォロー教育は、訓練で得た気づきを定着させるうえで有効です。一方で、メール訓練だけで身につけられる知識には限りがあります。全社員に対して情報セキュリティ教育を実施することで、攻撃の手口や情報の適切な取り扱いなどに関する理解が深まり、訓練時にも「なぜ危険なのか」「どのような対応が適切なのか」を判断しやすくなります。
例えば、
- サイバー攻撃の仕組みや代表的な手口
- パスワードや多要素認証の適切な利用方法
- 個人情報や機密情報の取り扱い
- パソコンやスマートフォン、クラウドサービスの安全な利用
- インシデント発生時の報告方法や初動対応
- コンプライアンスや社内ルール
など、日常業務で必要となる知識を幅広く学ぶことをおすすめします。
訓練と教育のサイクルを回すことが重要
人的リスクに対する情報セキュリティ対策は、一度実施すれば終わりではありません。訓練と教育を組み合わせて繰り返し実施することで、知識の定着と、実践による対応力の向上・維持が期待できます。
また、訓練結果を教育につなげ、継続的な改善策につなげていくことも重要です。このサイクルを継続することで、訓練を実施して終わりにせず、把握した課題を教育や対策に反映し、その効果を次回の訓練で確認できるようになります。
実際の運用では、メール訓練後のフォロー教育は訓練結果に応じて実施し、全社員向けの情報セキュリティ教育は、新入社員教育や中途入社者への教育、定期教育など、年間の教育計画に沿って実施するケースも多くあります。組織の状態や体制、優先度に合わせて運用していくことをお勧めします。
メール訓練・情報セキュリティ教育サービス「Selphish」のご紹介
神戸デジタル・ラボが提供する標的型攻撃メール訓練・情報セキュリティ教育サービス「Selphish（セルフィッシュ）」では、標的型攻撃メール訓練に加え、情報セキュリティ全般を網羅したeラーニング教育機能を提供しています。
メール訓練に組み合わせて活用することで、訓練による気付きにとどまらず、情報セキュリティ意識と知識の定着、行動変容を促進します。継続的な人的セキュリティ対策をご検討中の方は、ぜひご活用ください。
詳しくはこちらをご覧ください。
