訓練への慣れから教育効果に課題感があった

標的型攻撃メール訓練を始められたきっかけを教えてください。

バンドー化学 池村様（以下、池村様）
当社では、セキュリティの対策として、端末のウイルスチェックソフトやフィルタリングなどのツール面と、従業員が自分たちを守る知識を持つという面での両軸での取り組みが必要だと考えています。後者のうちの一つとして標的型攻撃メール訓練を位置づけており、マニュアルの訓練をお願いしていました。

マニュアル型の訓練からSaaS型の「Selphish」に切り替えた背景は？

バンドー化学 宮木様（以下、宮木様）マニュアル型で年2回の訓練を実施していましたが、それも何年か経つとみんな慣れてきてしまって、訓練としての効果が薄れていると感じていたことですね。まだ社員に訓練の目的が浸透していなかったこともありますが、席が近い社員ですり合わせをしたり、リンクを踏まないようにと部署内で声を掛け合ってしまうケースもありました。

池村様　ただ、メール訓練自体はずっと続けるべきだと思っていたので、何か良い方法がないかKDLさんに相談をさせていただいたところ、Selphishをご提案いただきました。

懸念していた運用工数が思ったほどかからなかった

Selphishを導入してみていかがでしたか？

宮木様　ご提案いただいた当初は、自社でやる場合運用の負荷が高いのでは、という懸念があって躊躇していました。ただ、訓練内容や時期が細かく柔軟に設定できることや、価格が抑えられることにメリットを感じたので、一度やってみようということで導入して運用を開始してみました。
チケット制なので、まずはやってみよう、ダメならマニュアル型に戻そう、という感じでしたね。

でも、利用してみたところ使い勝手もよく、思ったより工数もかからなかったので、継続することにしました。

効果測定はどのようにされていますか？

池村様　当社では、開いたときにどれだけ早く検知して対応できるかが重要だと考えており、開封率よりも報告率を重要視しています。最近は巧妙化もしているので、見分けるのは難しいためです。なので、Selphishの効果測定においては、開封したとカウントされた社員が、「報告したかどうか」を「報告率」としてカウントしており、それを向上させることをひとつの目標としています。

社員の意識の変化を確実に実感

効果は出ていると感じますか？

宮木様　まだ導入して３回目の訓練なので何とも言えませんが、今は訓練メールを送る社員や、送るタイミング、訓練メールの内容をランダムにして送信しているのもあり、みんながすぐに訓練メールだとわかってしまうことはなくなりました。社員が訓練の目的を認知してきたのもありますが、部内で訓練メールのことを共有される、というようなこともなくなったと思います。

ランダムな送信に変えてから、一旦開封率は上がりましたが、報告率は、訓練を重ねるごとに少しずつ上がってきています。

日頃の不審メールなどへの対応は変わりましたか？

宮木様　ものすごく報告が増えましたね。社員の意識は変わってきているのは間違いなく実感しています。営業職などは、商談で国内からでもメールが突然送られてくることもあるので、現場で一概に削除できないという声もあります。本物なのか、怪しいか判断できないときは、電話で確認するなどの対応を指示しています。

池村様　報告が来るたびにしっかり確認して対応しないと、報告がこなくなってしまうので、ひとつひとつきっちり対応することを心がけています。

Selphishに期待することはありますか？

宮木様　ツールとしては大変使いやすく、要望は特にありません。欲を言えば、訓練メールを作るのが大変なので、テンプレートがアップデートされたら嬉しいですね。

ありがとうございました。