原題: Phake phishing: Phundamental or pholly?
フィッシング訓練における失敗と成功を分ける4つのポイント
フィッシング攻撃は依然としてサイバーセキュリティの大きな脅威であり、多くの組織が従業員を対象にフィッシング訓練を実施しています。しかし、その効果は必ずしも期待通りではなく、誤った設計や実施は逆効果を招くこともあります。この記事では、Sophosの研究をもとに、フィッシング訓練の成功と失敗を分ける重要なポイントを解説します。
主要なポイント
- フィッシング訓練の効果は限定的であることが多い
2021年および2025年の研究によると、従来のフィッシングシミュレーションはクリック率の低減にわずかな効果しかなく、年次の意識向上訓練も有意な効果を示していません。 - 誤った訓練は逆効果を生む可能性がある
不適切な設計や実施は、従業員の疲労感や過信を招き、かえってセキュリティリスクを増加させることがあります。 - クリック率ではなく「報告数」と「報告速度」を評価指標とする
Sophosでは、ユーザーが疑わしいメールをセキュリティチームに報告する行動を促進し、その数と速さを主要な評価基準としています。 - ポジティブな行動を促す訓練設計が重要
失敗者を罰するのではなく、報告したユーザーを称賛し、倫理的かつ現実的なシナリオを用いることが推奨されます。
技術的な詳細や背景情報
Sophosは、従来の「クリック率」による評価ではなく、ユーザーが疑わしいメールを簡単に報告できるようにメールクライアントに目立つ「報告ボタン」を設置しています。報告されたメールは自動化された解析プロセスにより、侵害指標（IOC: Indicators of Compromise）の調査や悪意あるドメインのブロック、脅威ハンティングに活用されます。これにより、組織全体のセキュリティ態勢を強化しています。
また、フィッシング訓練の頻度については、週次は多すぎ、年次は少なすぎるため、適切な間隔を模索することが重要です。訓練シナリオは過度に不快感を与えず、現実的な内容であることが求められます。さらに、クリック後のユーザー行動（報告の有無、偽サイト訪問、情報入力の有無）も追跡し、より詳細な分析を行うことが推奨されています。
影響や重要性
フィッシングは依然としてサイバー攻撃の主要な入口であり、組織の従業員は重要な防御ラインです。誤った訓練は従業員の不信感や疲労、セキュリティ文化の悪化を招きますが、適切に設計された訓練は従業員の報告行動を促進し、セキュリティチームの迅速な対応を可能にします。これにより、組織全体のセキュリティ態勢が向上し、攻撃リスクを低減できます。
まとめ
フィッシング訓練は単なる形式的なコンプライアンス活動ではなく、組織のセキュリティ文化を育成し、従業員を重要な防御ラインとして強化するための戦略的な取り組みです。クリック率だけでなく、報告数や報告速度を重視し、ポジティブな行動を促す訓練設計が成功の鍵となります。Sophosの事例から学び、倫理的かつ現実的なシナリオを用いて、適切な頻度で訓練を実施することが推奨されます。
