セキュリティリテラシーの向上には、標的型攻撃メール訓練が適しています。標的型攻撃メールは、本物のメールと区別がつきにくいため、開封した添付ファイルからウイルスに感染したり、情報が漏れたりする危険性があります。標準型攻撃メール訓練のメリットや実施方法、標準型攻撃メール訓練サービスの選び方について解説するので、参考にしてください。
標的型攻撃メール訓練について、標的型攻撃メールの概要と併せて解説します。
標的型攻撃メール訓練とは、標的型攻撃メールを疑似体験する訓練です。本や教材などで学習したり、標準型攻撃メール訓練サービスを利用したりします。訓練と併せて、標的型攻撃の基礎知識についても学べます。
標的型攻撃メールは、不特定多数に届く迷惑メールとは異なり、特定の企業や個人を対象としたウイルス付きメールです。本物のメールと見分けがつかないほど巧妙に作られているため、組織の担当者が、業務に関するメールだと誤解して開封する危険性があります。
標的型攻撃メール訓練を実施するメリットを、2つに分けて解説します。
標的型攻撃メール訓練では、メールに添付されたファイルを開封したり、URLにアクセスしたりすると警告メッセージが表示されます。そのため、従業員は、危険なメールの疑似体験が可能です。不審なメールを開いた後の行動も学べるので、セキュリティ意識の向上や、情報の理解にも役立ちます。
添付ファイルを開封した従業員や、添付ファイルごとの開封率などが明確になるため、リテラシー意識が低い従業員に向けた個別指導が可能です。訓練結果をフィードバックすれば、今後のリテラシー対策にも活用できます。
訓練時に送る標的型攻撃メールは、巧妙で判断しにくければよいわけではありません。標的型攻撃メール訓練を行う場合は、目的に合わせてメールの内容を変える必要があります。
従業員に不審なメールの見極める力を養いたいなら、あえて標的型攻撃と気づきやすい訓練メールが効果的です。開封率を確認すれば、従業員のリテラシー意識も判断できます。警戒すべき点が明確になるため、従業員のセキュリティ意識も高まります。
従業員の対応力を養うなら、巧妙に作りこまれた標的型攻撃メールを利用した訓練が適しています。添付ファイルを開封し、警告が表示された後に従業員が取る対応の見極めが重要です。訓練後は、従業員の対応をもとに、フィードバックや社内ルールの見直しを行います。
標的型攻撃メール訓練には、メールを見極める目的と開封した後の対応力を養う2つの目的があります。
標的型攻撃メールの手口は、年々巧妙さが増しています。業務に寄せた内容でメールを送るため、容易に攻撃メールとは見抜けません。平成31年の警察庁の資料によると、標的型攻撃メールの約9割が、多くのターゲットに同様のメールを送るばらまき型でした。そのため、訓練の実施により、標的型攻撃メールを見抜く力が養われます。
※参考：平成30年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
標的型攻撃メール訓練には、対処法を知って被害を最小限に食い止める目的もあります。添付ファイルを開いたり、メールに記載されたURLにアクセスしたりしても、対処法を知っていれば被害の拡大が防げます。また、危険性が高いメールを受信したときに、即座に報告する体制を整えれば、標的型攻撃メールへの対応力も身に付きます。
標的型攻撃メール訓練は、主に知識習得と疑似訓練に分けられます。それぞれの特徴について解説します。
教材や本を使用し、座学で標的型攻撃メールについて学ぶ方法では、攻撃手法や防御方法の知識取得を目指します。教材のコンテンツの種類は幅広く、オンライン教材や無料教材、公的機関が発行している教材などがあります。
教材や本を利用すれば、標的型攻撃メールの基礎知識から不審なメールの見分け方や、メールに遭遇したときの対処方法まで幅広く学べるので、基礎知識が身につくでしょう。教材や本を使用する場合、従業員にはテキストや教材を熟読するように指示し、理解度テストの結果は従業員からの申告に委ねます。
実際に送られそうな内容の標的型攻撃メールを作成すれば、疑似訓練が可能です。その際、訓練メールを送る予定は事前に従業員には伝えません。疑似訓練では、標的型攻撃メールに添付されたファイルやURLを開いても、警告音は鳴りませんが、開封率や開封した従業員が確定できるよう設定が必要です。メールを使用した疑似訓練は、以下の手順で行います。
1.テストメールを送る
2.訓練用メールを送る
3.メール対象者に種明かしメールを送り、アンケートを実施する
4.訓練レポートの確認と結果の分析を行う（訓練メールに引っかかってしまった方は管理者に報告する）
標的型攻撃メール訓練を実施するだけでは、適切な効果は得られません。メールの開封率だけに着目して、課題の発見や改善を行わない場合、訓練は失敗する可能性が高まります。メールの開封率を低くするだけでなく、メールを開いたりURLにアクセスしたりした従業員を特定、分析する必要があります。
標的型攻撃メール訓練に、意味を見いだせないと考える人も少なくありません。誤解しがちな点を2つ解説します。
標的型攻撃メールの開封率が低い場合は、自社のセキュリティに問題がないと判断して、訓練を終了しがちです。しかし、クリック率の低さとセキュリティレベルの高さは必ずしも比例するとは限りません。開封率で判断するのではなく、訓練で送られたメールを標的型攻撃メールと判断し、きちんと報告がなされるかが重要です。開封率よりも判断力に着目しましょう。
メールに添付された怪しいファイルを開かないように指導を徹底すれば、標的型攻撃メールの脅威に晒される心配はないと考えがちです。しかし、標的型攻撃メールは年々巧妙化が進んでいるため、開封しなければ安心との認識は危険です。拡張子が偽装されている場合もあるので、添付ファイルを開いた後の対処法も考える必要があります。
標的型攻撃メール訓練サービスを利用する場合、どのような基準で選ぶべきかを解説します。
標的型攻撃メール訓練サービスは、訓練メールの送信とレポート報告のみを行うものと、訓練と併せて教材で標的型攻撃メールについて学べるものに分けられます。セキュリティについて学べる教材を選べば、企業全体のセキュリティレベル向上にもつながります。すでに、従業員に対して標的型攻撃メールの概要や対応などの指導や教育を実施しているなら、訓練のみで問題ありません。
標的型攻撃メール訓練の効果を高めるには、メールの文面と訓練計画を慎重に選定する必要があります。メール内容をカスタマイズ可能なら、自社に届くようなメールや目的や手段に合わせたメールに変更可能です。慣れるまでは、オプションでアドバイザーからの支援を受けるのもよいでしょう。
専門家に相談したり、コンサルタントに依頼したりすればより精度の高い訓練が可能です。しかし、料金やコストがかかり打ち合わせの時間も必要なため、注意が必要です。
標的型攻撃メール訓練は、継続して実施する必要があるため、年間にかかる費用を加味して選びましょう。料金は、メールを1回送るごとに料金がかかるものと、回数無制限でメールを送れるものに分けられます。どちらが適しているかは、従業員数や訓練回数によって異なります。
標的型攻撃メール訓練は、実際の攻撃メールを疑似体験する訓練と、教材や本による攻撃手法や防御方法の学習に分けられます。標的型攻撃型メールは巧妙に作られているため、怪しいメールの見極め方を知るだけでなく、添付ファイルを開いたときの対処方法も身に着ける必要があります。
標的型攻撃メール訓練サービスは、内容やオプションの有無などに違いがあります。自社の従業員のリテラシーレベルや訓練回数により、適したサービスを選びましょう。クオリティアでは、国内メッセージングソリューション、メールセキュリティベンダーの老舗として標的型攻撃メール訓練にも対応しています。自社のセキュリティリテラシー向上にお役立てください。資料請求はこちらお問い合わせはこちら
この記事が気に入ったら
いいね！しよう
メールソリューションに関する
ご質問・資料請求などございましたら
お気軽にお問い合わせください。
お電話からのお問い合わせ
03-5623-2530フォームからのお問い合わせ
資料請求ダウンロードお見積り依頼・ご質問・ご相談はこちらから新規のお客様・パートナー様既存のお客様・パートナー様
