標的型メール訓練(フィッシング演習)について

1これは何か

「標的型メール訓練」とは、実際の攻撃者が使う手口を模した訓練用の偽メールを社内に送り、 開封やリンククリックの状況を計測することで、組織全体のセキュリティ意識を高める取り組みです。

これは経営層の承認を得て実施している、安全に設計された社内演習であり、実際の情報漏洩や攻撃行為ではありません。 サプライヤー各社に求められるセキュリティ自己点検項目の一つとしても位置付けています。

2なぜ実施するのか

• 実際の攻撃メールは年々巧妙になっており、「知っているつもり」と「実際に見分けられる」の間にはギャップがあります。訓練を通じてこのギャップを可視化します。
• 取引先グループ会社が求めるサプライヤー向けセキュリティ自己点検票の「標的型メール訓練」実施項目を満たすためでもあります。
• 結果は個人の評価のためではなく、会社全体の弱点を把握し、教育内容を改善するために使用します。

3使用しているツール・安全面への配慮

自社で管理するサーバー上で、訓練専用のオープンソースツール(GoPhish)を運用しています。社外への公開はしていません。

• パスワードなどの認証情報を入力させる仕組みは一切用意していません。
• 個人情報や業務データを収集・保存することはありません。記録するのは「メールを開いたか」「リンクをクリックしたか」という事実のみです。
• リンクをクリックしても実害はなく、直後に「これは訓練でした」という案内ページが表示され、その場で注意点を確認できます。
• 対象は社内の許可されたメールアドレスのみで、社外や取引先に送信されることはありません。

4実施の流れ

1. シナリオ設計実際の業務でありそうな内容(例:福利厚生の更新案内、社内システムの通知など)を題材に、不自然な点がないか複数回チェックしながら文面を作成します。
2. 対象者の選定その回の訓練対象となる社員のリストを準備します。
3. 送信実際の攻撃を模し、社外からのメールに見えるかたちで訓練メールを送信します。
4. 計測開封状況・リンククリックの有無のみを記録します。
5. フィードバックと振り返りリンクをクリックした方にはその場で注意点を案内し、全体の結果は集計して社内教育の改善に活用します。

5これまでの実施状況

6今後の計画

• 対象範囲を全社員に拡大していく予定です。
• 定期的に(内容やシナリオを変えながら)実施し、開封率・クリック率の推移を継続的に確認します。
• 訓練をきっかけに気づきを得られるよう、必要に応じて簡単な補足教育を行います。