標的型メール訓練の社内コミュニケーション設計｜協力を得て報告率を上げる進め方
secure標的型メール訓練の社内コミュニケーション設計｜協力を得て報告率を上げる進め方
なぜコミュニケーション設計が必要なのか
標的型メール訓練は、従業員から見れば「会社に試された」出来事です。伝え方を誤ると、セキュリティ部門への不信、報告の忌避、部署ぐるみの情報共有による数値の空洞化といった反応が起きます。いずれも訓練の目的を直接損ないます。
特に致命的なのが報告の忌避です。報告率は組織が攻撃に気づける度合いを表す指標であり、訓練の主目的そのものです。「報告したら面倒なことになる」と思われた時点で、訓練を何回実施しても組織は強くなりません。
訓練前：何をどこまで伝えるか
訓練の実施自体は周知する
日時を伏せたまま、年間で訓練を実施する方針だけを事前に伝えます。年度初めのセキュリティ方針説明や全社会議が伝える場として適しています。完全に伏せると発覚時の不信感が大きく、日時まで伝えると結果が実態を反映しません。
伝える内容は次の3点に絞ります。訓練を実施すること、目的は個人の評価ではなく組織の対応力の測定であること、結果は個人が特定される形では扱わないこと。この3点を明文化して残しておくと、後から「聞いていない」という反応が出にくくなります。
報告窓口を先に整える
訓練を告知する前に、不審メールの報告先を1つに定めて周知します。報告先が曖昧なまま訓練を実施すると、報告したい人が出せずに終わり、報告率が実態より低く出ます。専用のメールアドレスを1本用意し、そこへ転送すれば完了、という形が最も定着しやすいです。
関係部署に事前共有する
| 共有先 | 伝えること |
|---|---|
| 情報システム部門 | 配信日時、送信元、許可リスト設定の依頼 |
| SOC・監視ベンダー | 訓練であること。共有しないと本物のインシデントとして対応工数が発生する |
| 人事・法務 | 結果の取扱い、人事評価に用いるかどうかの確認 |
| 各部門長 | 実施方針。ただし日時は伝えない |
訓練当日：クリックした人に何を見せるか
クリック直後に表示する画面が、訓練でもっとも学習効果が高い瞬間です。ここで責任を追及する表現を使うと、その後の報告が止まります。
効果的な画面は短く、次の要素で構成されます。これが訓練であること、このメールのどこに違和感があったか（送信元、リンク先、文面の3点程度）、次に同じメールを受け取ったらどうすべきか、報告窓口の連絡先。文字量はスクロールなしで読み切れる程度に抑えます。
避けるべき表現は「あなたは引っかかりました」「不合格です」といった判定的な言い回しです。「実際の攻撃だった場合、この時点で認証情報が盗まれていました」のように、行動の結果を事実として示すほうが伝わります。
訓練後：結果をどう共有するか
個人名は絶対に出さない
クリックした従業員を特定できる形で共有することは、どのような理由があっても避けてください。一度でも起きれば、その組織では二度と正直な報告が上がらなくなります。部署別の数値を出す場合も、少人数の部署は個人が推測できてしまうため、一定規模以上でまとめるか公開範囲を絞ります。
全社向けには「見抜きどころ」を共有する
訓練から1〜2週間以内に、今回のメールのどこに違和感があったかを全社に共有します。実際に使った訓練メールの画像に、注目すべき箇所を3点ほど囲んで示す形式が理解されやすいです。数値そのものよりも、次に同じ手口が来たときに気づけるかどうかが重要です。
報告してくれた人に返す
報告した従業員には、受け取った旨と判定結果を返します。訓練だった場合も「報告してくれて助かった」という趣旨を必ず添えてください。誤報だった場合も同じです。誤報を一度でも責めると、その後の報告は目に見えて減ります。
報告率が高い部署を「良い事例」として紹介するのは有効ですが、低い部署を名指しで挙げるのは逆効果です。低い部署には、業務特性を踏まえた個別のフォローを設計してください。
経営層への報告
経営層に必要なのは数値そのものではなく、次に何をすべきかの判断材料です。実施概要、前回比を含む結果サマリー、部署別の内訳、そこから読み取れること、次のアクションと必要な予算、という構成でまとめます。
数値が悪化した場合も隠さず出してください。原因の仮説と対処案をセットで示せば、悪い数値は次の施策を通すための根拠になります。良い数値だけを報告し続けると、訓練の予算は「もう必要ないのでは」という議論に流れます。
よくある質問
訓練を実施することを完全に伏せてもよいですか？
推奨しません。実施の事実を伏せたまま行うと、発覚したときに「監視されていた」という受け止め方をされ、以降の協力が得にくくなります。日時は伏せ、年間方針としての実施は周知する運用が現実的です。
部署別の結果を公開してもよいですか？
一定規模以上の部署に限れば有効です。少人数の部署は個人が推測できてしまうため、他部署と統合するか、部門長にのみ共有する形にしてください。公開の目的は競争を煽ることではなく、業務特性に応じた対策を考える材料を提供することです。
訓練に反発する部署があります
多くの場合、目的が伝わっていないか、評価に使われるという懸念があります。評価には用いない方針を明文化して伝え、その部署の業務で実際に起きうる攻撃シナリオを具体的に示すと、納得が得られやすくなります。頭ごなしに実施を通すより、1回分の時間をかけて説明するほうが結果的に早いです。
報告率がなかなか上がりません
報告の手間が原因であることが多いです。メーラーのアドインでワンクリック報告ができる環境を整えると改善します。アドインが使えない場合は、転送手順を1枚の図にして配布してください。あわせて、報告に対して必ず返信する運用ができているかを確認します。
まとめ
- 訓練の実施方針は事前に周知し、日時だけを伏せる
- 報告窓口を1つに定めてから訓練を始める
- クリック直後の画面は判定ではなく事実を示す
- 個人名は共有しない。誤報も責めない
- 経営層には次のアクションまで書いて報告する
訓練の成否は、シナリオの精巧さよりも従業員との関係づくりで決まります。報告しやすい空気をつくることが、そのまま組織の検知能力になります。
あわせて読みたい
本記事の内容を実際の訓練に落とし込むためのツールとして、クラウド型の訓練サービスもご検討ください。 中小企業向けの訓練サービスを見る本サイトの運営者は、上記サービスの提供に関わる立場にあります。
