4500人を抱える大企業が実践、「標的型攻撃メール訓練」の手法と効果を探る

　エンドポイントのセキュリティ対策として、EPP（Endpoint Protection Platform）やEDR（Endpoint Detection and Response）を導入している企業は多い。しかし、サイバー攻撃がますます高度化する中、もはやソリューション頼みの入口対策だけでは不十分だ。脅威から企業を守るためにも、従業員一人一人のセキュリティ意識の向上が不可欠となっている。

　そこで取り入れたいのが「標的型攻撃メール訓練」だ。これは攻撃を疑似的に体験することで攻撃メールを見破る力を高めていくというもの。ただし訓練は定期的に行う必要があり、さらに適切なフォローも必要となる。例えば、臨床検査業界大手の「ビー・エム・エル」では、訓練メールを開いてしまった従業員に対し、部門長から指導する体制を整備。さらに24時間対応の専門窓口を設置し、速やかな報告を義務付けるなどの対策を行った結果、訓練メールの開封率が激減した。

　訓練以外でも「少し怪しいメールが送られてきたのですが」という相談が増えるなど、従業員のセキュリティ意識向上を実感しているという。本資料では、同社の事例を基に大企業が取り組むべき「標的型攻撃メール訓練」の手法を紹介する。