「メール訓練は意味がない」は本当か｜大規模研究から考える効果測定と設計の見直し

大規模研究が示した「メール訓練の効果は限定的」という結果

論文で紹介された研究では、米国の医療機関に所属する19,500人以上の従業員を対象として、8か月間にわたるフィッシングメール訓練が行われました。

対象者は、訓練を実施しないグループを含む5つのグループに分けられました。訓練メールのリンクにアクセスした後に表示する教材についても、フィッシングの基礎知識を説明するもの、訓練メールの内容に合わせたもの、閲覧型、クイズなどの参加型など、複数のパターンが用意されました。

研究では、主に次の観点から訓練の効果を検証しています。

• 訓練メールのリンクへのアクセス率
• アクセス後に表示される種明かしページの滞在時間
• 年次セキュリティ研修の受講から経過した時間

その結果、次の3点が示されました。

1. 訓練メールの文案によってアクセス率は大きく変動する

2. 毎月訓練を繰り返しても、教材ページを表示したグループのアクセス率の改善はわずかだった

3. 種明かしページによる教育効果は限定的だった

毎月の訓練による改善率は1.7％にとどまり、年次のセキュリティ研修についても、アクセス率への明確な効果は確認されませんでした。

また、アクセスした従業員の過半数は10秒以内に種明かしページを閉じており、閲覧型教材の効果は特に薄いという結果でした。クイズなどの参加型教材も、実質的な効果は限定的とされています。

研究では、メール訓練に過度な期待をせず、ユーザーの判断に依存する対策よりも、技術的対策に投資することが提言されています。

アクセス率を操作できることは、「訓練に意味がない」ことを示すのか

訓練メールの難易度を変えれば、アクセス率は変動します。

たとえば、業務との関連性が低く、不自然な表現や明らかに怪しいURLが含まれるメールであれば、多くの従業員がフィッシングメールだと判断できます。

一方、社内手続き、健康診断、休暇申請、利用中のクラウドサービスなど、従業員の業務や関心に近いテーマを用いれば、アクセス率は高くなる可能性があります。

つまり、アクセス率は、従業員のセキュリティ意識だけで決まる指標ではありません。訓練メールのテーマ、文面、送信元、URL、配信時期など、訓練を設計する側の工夫によって大きく変わります。

したがって、「アクセス率が下がらなかった」という結果だけで、メール訓練全体に効果がないと判断するのは早計です。

むしろ問題なのは、難易度が異なる訓練のアクセス率を単純に比較し、アクセス率の低さだけを訓練の成功指標としていることではないでしょうか。

アクセス率0％を目指すことが、訓練の目的ではない

メール訓練を実施する企業の中には、「アクセス率は低いほどよい」「最終的には0％を目指す」と考えている組織もあります。

しかし、アクセス率だけを下げようとすると、従業員が容易に見抜ける、難易度の低い訓練を繰り返すことになりかねません。これでは、訓練結果としては良い数字が出ても、実際のフィッシング攻撃に対応する力を養えません。

メール訓練は、従業員を評価したり、アクセスした従業員を責めたりするためのものではありません。実際の攻撃を疑似体験し、自分がどのような状況で判断を誤る可能性があるかを理解するための教育機会です。

特に、入社直後の従業員や中途入社者、新たに業務へ加わった派遣社員・委託社員などは、社内で使われるメール、申請手続き、システム通知の特徴を十分に理解していない場合があります。

このような対象者には、まず比較的分かりやすい訓練から始め、基本的な注意点を身につけてもらうことが有効です。その後、アクセス率が低下してきたら、実際の業務や最新の攻撃手法に近い、難易度の高い訓練へ移行します。

一定数がアクセスする難易度を維持しながら、「なぜ判断を誤ったのか」を学ぶ機会を継続的に設けることが重要です。

「アクセス率」だけでなく、「報告率」を見る

メールゲートウェイをはじめとする技術的対策は重要です。しかし、すべてのフィッシングメールを技術だけで防ぐことは困難です。

メールゲートウェイをすり抜けた不審メールが従業員のメールボックスへ届いた場合、被害を防ぐためには、受信した従業員が不審メールに気づき、セキュリティ担当者へ迅速に報告する必要があります。

そこで、メール訓練ではアクセス率だけでなく、次の指標を確認することが重要になります。

アクセス率

訓練メール内のフィッシングURLへアクセスした従業員の割合です。

従来から広く利用されている指標ですが、訓練メールの難易度によって大きく変動するため、この指標だけで組織の対応力を判断することはできません。

報告率

フィッシングURLへアクセスせず、訓練メールを不審メールとして報告した従業員の割合です。

報告率が高ければ、不審なメールが届いた際に、セキュリティ担当者が攻撃を早期に把握できる可能性が高まります。

フィッシング耐性指数

フィッシング耐性指数は、報告数をアクセス数で割った値で、組織のフィッシング耐性を把握するための指標として注目されています。

アクセスした人の数だけを見るのではなく、それに対してどれだけ多くの従業員が適切に報告できたかを見ることで、組織全体の対応力を評価します。

訓練を通じて従業員に覚えてもらうべき行動は、「怪しいメールを開かない」だけではありません。

判断に迷った場合に放置せず、速やかに報告することまでを含めて訓練する必要があります。これを繰り返すことで、「不審メールを報告する文化」を組織に根付かせることができます。

種明かしページだけでは、十分な教育にならない

訓練メールへアクセスした直後に、フィッシングの特徴や注意点を説明する種明かしページを表示している企業は多いと思います。

しかし、研究では、種明かしページの滞在時間が非常に短いことが確認されています。アクセスした直後の従業員は、「訓練だった」と分かった時点でページを閉じてしまい、説明を十分に読まない可能性があります。

つまり、種明かしページに多くの情報を掲載するだけでは、教育効果を期待しにくいということです。

重要なのは、訓練後に従業員が主体的に振り返る時間を設けることです。

アフターフォローの方法としては、次のようなものがあります。

• アンケート
• 個別面談
• eラーニング
• 全従業員向けのセキュリティ研修
• アクセス者向けの専用セミナー

アンケートは低コストで実施できますが、設問へ形式的に回答するだけになりやすく、十分な振り返りにつながらない可能性があります。

個別面談は、本人の行動を具体的に振り返ることができますが、対象者が多い場合は事務局の負荷が大きくなります。

そこで、アクセス者が多い場合には、アクセス者向けの専用セミナーを開催し、訓練メールのどこに注意すべきだったか、実際の攻撃ではどのような被害につながるのか、次に同様のメールを受け取ったらどう行動すべきかを解説する方法が考えられます。

効果的なメール訓練に必要な4つの見直し

ここまでの内容を整理すると、メール訓練の効果を高めるには、次の4点が重要です。

1．対象者に応じて訓練の難易度を変える

全従業員に同じメールを送り続けるのではなく、新入社員、一般従業員、過去にアクセスした従業員など、対象者の状況に応じて訓練内容を設計します。

2．アクセス率を下げることだけを目的にしない

簡単な訓練で良い数字を出すのではなく、難易度を段階的に高め、実際の攻撃を疑似体験する教育機会として活用します。

3．報告行動を訓練する

不審メールを見つけた際の報告手段を分かりやすくし、訓練の中でも報告操作を繰り返します。アクセス率に加えて、報告率や組織のフィッシング耐性を評価します。

4．訓練後のアフターフォローを行う

種明かしページだけで終わらせず、アクセス者が自分の判断を振り返る場を設けます。対象者数や運用負荷に応じて、個別面談やアクセス者向け専用セミナーなどを組み合わせます。

まとめ：見直すべきなのは、メール訓練の「有無」ではなく「目的と設計」

研究結果が示しているのは、「あらゆるメール訓練に意味がない」ということではありません。

開封率やアクセス率を下げることだけを目的とし、同じような訓練を繰り返し、アクセス後は種明かしページを表示して終わる。このような従来型の訓練だけでは、十分な効果を期待できないということです。

企業が見直すべきポイントは、メール訓練を実施するか、廃止するかという二者択一ではありません。

• 誰に、どのような難易度の訓練を行うのか
• アクセス率以外に何を評価するのか
• 不審メールをどのように報告してもらうのか
• 報告されたメールをどのように分析・対処するのか
• 訓練後にどのような振り返りを行うのか

これらを一連のプロセスとして設計する必要があります。

「アクセスしない従業員」を増やすだけでなく、「不審メールに気づき、迷わず報告し、組織として迅速に対処できる状態」をつくる。

メール訓練の目的をそこまで広げることで、訓練は単なる年中行事ではなく、フィッシング攻撃に強い組織をつくるための実践的な取り組みになります。