フィッシング訓練の重要性

サイバー攻撃の90%以上がメールを起点としています。技術的なメールフィルタリングだけでは防ぎきれないため、最後の防壁である「人」の対応力を高めることが不可欠です。定期的なフィッシング訓練により、従業員が不審なメールを見分け、適切に報告する習慣を身につけられます。

訓練の計画

項目内容
目的従業員のフィッシングメール識別能力の向上、報告率の改善
対象者全従業員（経営層含む）
頻度四半期に1回（年4回）が推奨
KPI開封率、リンククリック率、情報入力率、報告率
目標クリック率5%以下、報告率70%以上

訓練メールの設計

難易度テンプレート例使い所
初級「アカウントが停止されます」（明らかに不審なURL）初回訓練、新入社員
中級「請求書を添付しました」（取引先を装うメール）2回目以降の訓練
上級「社長からの緊急依頼」（BEC風、社内ドメインを模倣）訓練実績のある組織
  • 送信元アドレスは似せるが微妙に異なるドメインを使用
  • 社内の実際のイベント（年末調整、人事評価等）に便乗したテーマが効果的
  • 訓練であることを悟られない自然な文面にする

ツール選定

ツール特徴価格帯
Microsoft Attack SimulationM365 E5/Defender for O365 P2に含まれる標準機能追加費用なし（ライセンスに依存）
KnowBe4世界最大手、テンプレート豊富、教育コンテンツ充実月額数百円〜/人
Proofpoint Security Awareness高度な分析、カスタマイズ性要見積もり
SELPHISH（セルフィッシュ）日本製、日本語テンプレート充実要見積もり

実施手順

  1. 経営層の承認を取得（訓練の目的と方法を説明）
  2. 訓練メールの作成（難易度を設定、ランディングページを準備）
  3. 送信（業務時間内に実施、全員同時 or 部署別に段階的送信）
  4. 結果収集（開封率、クリック率、入力率、報告率を集計）
  5. フィードバック（クリックした人への即時教育、全社への結果共有）
  6. 改善（次回訓練の難易度調整、教育プログラムの強化）
⚠️ 注意点

訓練は「犯人探し」が目的ではないことを全社に周知してください。クリックした従業員を非難するのではなく、学習の機会として捉えることが重要です。心理的安全性を確保しないと、報告文化が育ちません。

効果測定

指標初回目安目標値
メール開封率50〜70%参考値のみ（開封だけでは問題なし）
リンククリック率20〜30%5%以下
情報入力率10〜15%1%以下
報告率5〜10%70%以上

BTNコンサルティングの支援

フィッシング訓練の企画・実施、セキュリティ教育プログラムの策定、訓練結果の分析レポート作成を支援します。

💡 あわせて読みたい

→ 中小企業のメールセキュリティ対策
→ 中小企業のセキュリティ対策5選

まとめ

フィッシング訓練は四半期に1回、「計画→メール作成→実施→フィードバック→改善」のサイクルで継続的に実施します。クリック率5%以下・報告率70%以上を目標に、従業員の「気づく力」と「報告する文化」を育てましょう。

高度なフィッシング手口への対策

手口特徴見分け方
AiTM（Adversary-in-the-Middle）MFAをバイパスするリアルタイム中間者攻撃URLの確認、FIDO2セキュリティキーの使用
ディープフェイク音声経営者の声を模倣した電話でなりすましコールバック確認、二重承認プロセス
OAuth フィッシング不正アプリへのアクセス許可を求める不審なアプリ権限要求への警戒
参考リンク
IPA 情報セキュリティ ↗NISC サイバーセキュリティ ↗
E

BTNコンサルティング 編集部

株式会社BTNコンサルティング｜情シス365 運営

Microsoft 365・Google Workspace導入支援、IT-PMI（M&A後のIT統合）、セキュリティ対策を専門とするITコンサルティング企業。中小企業の「ひとり情シス」を支援し、ITの力で経営課題を解決します。