セキュリティ意識向上研修
Security Awareness Training
不審なメッセージを受け取ったら、まず疑ってすぐに知らせる習慣を、全従業員に身につけてもらいます。
実際に近いフィッシングメールや、SMS・メッセンジャー・電話でのなりすましを回に分けて送り、回ごとに短い振り返りへつなげます。
従業員は、不審なメッセージを受け取ったとき、まず疑って知らせられるのか?
回ごとの報告率と最初の報告までの時間、その変化をもとに、次の回で何を扱うかをまとめます。
確認済み
このような状況に適しています
- 従業員がためらわずリンクを押してしまうとき
フィッシングメールのリンクを何気なく押してしまう様子が見られるなら、実際の攻撃が来る前に、安全なキャンペーンで先に経験してもらいます。
- 毎年の研修動画では何も変わらないとき
動画を見て確認問題に答える研修だけで行動が変わらなかったなら、実際に近いメッセージを受け取り、その回を振り返るやり方のほうが効果的です。
- 自社をかたるメッセージが実際に出回ったとき
なりすましメールや代表者名義の送金依頼が届いたことがあるなら、似た状況を次の回に入れ、従業員が見抜いて知らせる練習をします。
- 教育の効果を数字で示す必要があるとき
報告率と最初の報告までの時間が回ごとにどう変わったかで、経営陣に報告したい場合です。
SAFE SQUAREのアプローチ
回ごとに測って比べます
回ごとに報告率と最初の報告までの時間を測り、教育が実際の行動をどれだけ変えたかをお示しします。
実際に届くメッセージに合わせます
業種と業務、最近実際に届いたなりすましに合わせて、メール・SMS・メッセンジャー・電話のシナリオを選び、回ごとに変えていきます。フィッシング・なりすまし分析で確認したなりすましがあれば、そのまま反映します。
報告が届く先まで確かめます
従業員の報告がセキュリティ担当者にすぐ届き、処理されるかまで一緒に確かめます。
キャンペーンに含めるもの
組織と業務に合わせて、回ごとに次のことを決めます。
- 送る経路
フィッシングメール、SMS、メッセンジャー、電話でのなりすましの中から、組織に合う経路を選んで組み合わせます。
- 状況
宅配・決済の通知、アカウント確認の依頼、代表者や取引先の名義での依頼など、実際によく届く状況を業務に合わせて選びます。
- 報告の経路
不審なメッセージをどこへどう知らせるかを決め、報告ボタンや窓口がきちんと使われているかを一緒に見ます。
- 短い振り返り
回が終わるたびに、その回のメッセージのどこを見れば気づけたかを短く振り返ります。
- 見る数字
報告率と最初の報告までの時間、リンクを押した・情報を入力した割合を回ごとに見ます。
進め方
対象と回数を決める
参加する部署と人数、回数と期間、報告の経路、結果の扱い方を決めます。
シナリオの準備
回ごとのメッセージとシナリオを準備し、セキュリティ・IT担当者と送信の方法と時間をそろえます。
回の実施
メッセージを送り、報告と反応、報告がセキュリティ担当者に届くまでを記録します。
振り返りと次の回
回の結果をまとめて短い振り返りにつなげ、次の回で扱う状況を選びます。
実際の業務と区別できるよう、送信時間と対象、問い合わせ窓口を事前に決めます。
お客様に残る成果
回ごとの報告率と時間
回ごとの報告率と最初の報告までの時間をまとめ、前の回と比べます。
部署・経路ごとの違い
部署やメッセージの経路によって気づきにくかったところを見つけ、次の回で重点的に扱うところを選びます。
報告経路の点検結果
報告がセキュリティ担当者に届くまでにかかった時間と、途中で詰まったところをまとめます。
次の回の計画
次の回の状況と振り返りのテーマをご提案します。
不審なメッセージは、送信から30分以内にセキュリティチームへ知らされること
対象:従業員600名、メール・SMSのキャンペーン2回(3か月間隔)
| 指標 | 結果 | 1回目 → 2回目 |
|---|---|---|
| 報告率 | 改善 | 8%から27%に増えました。 |
| 最初の報告までの時間 | 改善 | 47分から9分に縮まりました。 |
| 情報を入力した割合 | 改善 | 6%から2%に減りました。 |
| SMSでのなりすまし | 補完が必要 | メールより報告がずっと少なく、SMSはどこへ知らせればよいか分からないという回答が多くありました。 |
| 報告がセキュリティチームに届くまで | 補完が必要 | 報告用のメールボックスを勤務時間中にしか確認しておらず、夕方以降の報告は翌朝に処理されました。 |
- まとめ
- メールでのなりすましは、より早く、より多く知らされるようになりました。SMSでのなりすましと勤務時間外の報告は、まだセキュリティチームに届くのが遅れています。
- 次の回
- 3回目はSMSでのなりすましを中心にし、その前にSMSの報告窓口を案内します。報告用メールボックスには勤務時間外の通知を設けます。