標的型メール訓練の報告率を上げる5つの方法｜開封率より重要な指標の使い方

なぜ報告率が主指標なのか

クリック率をゼロに近づけることは、目標として不十分です。実際の攻撃では、誰か1人でもクリックすれば侵入は成立します。1,000人の組織でクリック率1%なら10人が踏んでいる計算で、「1%だから安全」とは言えません。

報告率は違います。誰か1人が報告してくれれば、管理者は次の行動を取れます。

• 同じメールを受け取った全員に注意喚起を出す
• 送信元をブロックし、以降の受信を止める
• すでにクリックした人がいないかログを確認する
• 認証情報を入力した人がいれば、該当アカウントを即座に保護する

クリックした人がいても、報告が上がっていれば組織としては守れている状態です。逆に、クリック率が低くても報告がゼロなら、実際の攻撃は誰にも気づかれないまま進行します。

報告率と「気づける時間」

報告率とあわせて見たいのが、最初の報告が届くまでの時間です。攻撃メールが届いてから管理者が気づくまでの時間が、そのまま被害の大きさを決めます。認証情報を入力してから攻撃者が実際に使うまでの猶予は長くありません。最初の報告が15分以内に来る組織と、翌日になる組織では、打てる手がまったく変わります。

報告率の目安

目安として語られる水準は20%以上ですが、絶対的な基準ではありません。組織規模や報告窓口の整備状況で妥当な水準は変わります。次のように段階で捉えるほうが実務に合います。

報告率が5%を下回るなら、従業員の意識ではなく仕組みに問題があると考えてください。

報告が上がらない5つの原因

5つとも、従業員の意識ではなく組織側の設計に原因があります。「報告しましょう」と啓発しても、これらが解消されていなければ数値は動きません。

報告率を上げる5つの方法

1. 窓口を1つに絞る

専用のメールアドレスを1本用意し、そこへ転送すれば完了、という形にします。「迷ったらここへ出せば必ず処理される」という一点が伝わっていれば、それだけで報告は増えます。

窓口を複数用意して選択肢を増やすのは逆効果です。判断のコストが上がり、結局どこにも出さなくなります。

2. ワンクリックで報告できるようにする

OutlookやGmailのアドインとして報告ボタンを配布できる環境なら、導入を検討してください。転送と記録がワンクリックで完了するため、報告率は目に見えて変わります。多くの訓練サービスがこの機能を提供しています。

アドインが使えない環境では、添付形式での転送手順を1枚の図にして配布します。テキストの手順書より、画面キャプチャを並べた図のほうが実行されます。

3. 報告に必ず返信する

受け取った旨と判定結果を短く返します。定型文で構いません。返信がない状態が続くと、報告という行動は強化されず、自然に消えていきます。

返信のテンプレートは次のような内容で十分です。「ご報告ありがとうございます。確認したところ、こちらは訓練メールでした。気づいて報告いただけたのは適切な対応です」。判定に時間がかかる場合も、まず受領だけを返してください。

4. 誤報を歓迎する姿勢を明示する

本物のメールを不審メールとして報告してしまっても、コストは管理者の確認作業だけです。一方、見逃しのコストは事業停止や金銭被害に及びます。この非対称性を全社に伝えてください。

「迷ったら報告してください。本物だったとしても問題ありません」という一文を、報告フローの説明に必ず入れます。そして実際に誤報が来たときの返信で、責めるニュアンスを一切出さないことが重要です。一度でも責めれば、その組織の報告率は下がります。

5. 訓練で報告フローの動作を確認する

報告フローは作っただけでは機能しません。訓練は、その動作確認を兼ねられます。訓練を実施して初めて、窓口のアドレスが間違っていた、報告メールが迷惑メール判定されていた、担当者不在時の受け皿がなかった、といった問題が見つかります。

順序として、報告窓口の整備・周知を先に済ませてから訓練を実施してください。窓口がない状態で訓練しても、報告率は正しく測れません。

測り方

3つ目は見落とされがちですが、有用な指標です。クリックしてしまった後で「今のはまずかった」と気づいて報告できる人がいるなら、その組織の学習は進んでいます。

やってはいけないこと

• 報告しなかった人を特定して指導する：報告が「義務」になると、形式的な報告が増えて質が下がります
• 報告率を部署間で競わせる：数合わせの報告が発生し、窓口の処理負荷だけが増えます
• クリックした人を名指しする：報告＝自己申告と受け取られ、報告率が下がります
• 報告率の目標値を人事評価に紐づける：指標が目的化し、実際の検知能力とは無関係な数字になります

よくある質問

まとめ

• クリック率をゼロにしても組織は守られない。誰かが気づいて報告できる状態が防御になる
• 報告率が5%を下回るなら、意識ではなく仕組みに問題がある
• 窓口を1つに絞り、報告の手間を下げ、必ず返信する
• 誤報を歓迎する姿勢を明示し、実際に責めない
• 報告窓口を整備してから訓練を実施する。順序を逆にすると数値が測れない

報告率は、施策の効果がもっとも素直に数値に出る指標です。窓口の一本化とワンクリック報告の2つだけでも、次回の訓練で変化が確認できます。

あわせて読みたい

• 標的型メール訓練とは？実施の目的・効果・基本的な流れを解説
• フィッシング訓練の効果測定｜クリック率・報告率の目標値と改善方法
• フィッシング訓練のクリック率とは？平均値・目標値・業界別データ
• セキュリティ教育のROI（費用対効果）｜投資対効果の計算方法と事例
• 標的型メール攻撃の被害損失額｜復旧コスト・機会損失・賠償リスクの実態