標的型メール訓練とは？

01標的型メール訓練でできること・できないこと

標的型メール訓練は、社員に本物そっくりの訓練メールを送り、見抜けるか、正しく報告できるかを確かめる訓練です。セキュリティ会社の訓練サービスを使う方法と、社内のシステム担当が自前で行う方法があります。

IPAは、この訓練の目的を「不審なメールを実際に受信した場合、適切な対処が行えるかどうかを確認する」ことだと説明しています。開封率を下げることは代表的な目的の1つですが、それだけではありません。IPAは目的の例を3つ挙げています。

できないこともあります。訓練は人の判断を鍛えるもので、開封をゼロにはできません。開いても被害を広げないためのEDRやメールのフィルターと組み合わせて考えます。

02どんな会社に必要か

メールで取引先とやりとりする会社なら、規模に関係なく対象です。特に、請求書や見積書の添付を日常的に受け取る部署、採用の応募書類を受け取る部署は、攻撃メールを開く場面が多くなります。

03選ぶとき・実施するときに見ること

• 目的を先に決める。開封率を見るのか、報告の速さを見るのかで、送るメールの中身も対象者も変わります。
• 開いた人へのフォロー。その場で見分け方を伝える画面や、報告ルートを守れなかった人への説明が用意されているか。
• 実在の組織名を使わない。IPAには、IPAの名前を使った訓練メールを受け取った人からの問い合わせが多く寄せられています。実在する組織や似たドメインを使うと、その組織が問い合わせの対応に追われたり、SNSで広まって風評被害が出たりするおそれがあるとIPAは注意しています。
• 結果を個人の評価に使わない。開いたことを責めると、本番で開いてしまったときに報告をためらう人が出ます。
• 報告の窓口を先に決めておく。報告先が決まっていなければ、報告の速さは測れません。

訓練サービスはメールセキュリティ・訓練から探せます。