ー標的型攻撃メールに対する訓練を強化した背景をお聞かせください。

三宅裕昭様（以下、三宅様）　当社では、5年前からセキュリティ対策の最重要課題として標的型攻撃メールへの対応を位置づけ、社員のセキュリティ意識向上を目的としたメール訓練を継続的に実施してきました。
化学メーカーである当社にとっては、持っている情報が命です。これが外部へ漏れると同じような技術が使われてしまうかもしれません。そこで先代社長の時代から、情報漏えいのリスク対策には真剣に動いてきたのです。

しかし、実施後のアンケート分析や実施結果から、「従来の文字ベースの学習コンテンツが社員に十分に活用されていない」という問題が明らかになりました。
この状況を改善するため、動画やコミック形式など、より効果的な学習コンテンツを一貫して提供できるサービスを探索していました。

ーなぜ、従来の文字ベースの学習コンテンツが十分に活用されなかったのでしょうか。

本間雄也様（以下、本間様）　「取っつきやすさがなかった」のだと思います。以前の学習コンテンツは数十枚におよぶスライド資料で、内容も専門的。情報システム部門メンバーであれば理解できることでも、
他部門のメンバーにとっては難解で、読み込む意欲が起きなかったのでしょう。

金村泰敬様（以下、金村様）　情報漏えいは圧倒的に内部に起因するものが多いです。送信先間違いなどのヒューマンエラーに加え、フィッシングによる被害も高まっています。
情報漏えいは内部からのリスクであり、これを社内へしつこく周知していかなければいけないのですが、なかなか認知されないもどかしさがありました。

三宅様　訓練を行う前から社内掲示板ではセキュリティ対策の重要性を伝えていたのですが、テキストだけのパワーポイント資料はなかなか読んでもらえません。
それまでの訓練がマンネリ化していた面もあり、訓練内容自体もブラッシュアップしていかなければならないと感じていました。

ー「情報漏えい防ぐくん」を導入した決め手をお聞かせください。

金村様　他社サービスと比較し、情報漏えい防ぐくんはコストパフォーマンスが高いと感じました。テンプレートやUIが使いやすく、ドメインも他サービスと比べて選択肢が豊富で、真に迫った訓練を実施できそうだと思いましたね。

学習コンテンツとしては「分かりやすく、短時間で読めるコミック」に魅力を感じました。他社サービスも含めると、訓練後の学習コンテンツとしては「テキスト中心のスライド資料」「アニメーション動画」などもあります。
テキスト中心では、前述の通りなかなか読み込んでもらえません。アニメは一見取っつきやすそうなのですが、登場人物のセリフが途中でスキップできずストレスになる懸念がありました。

どんなに内容が素晴らしくても、離脱されては意味がありません。現状の当社に合った学習コンテンツが用意されているという点も、情報漏えい防ぐくんを選んだ決め手の一つです。

ー実際の訓練実施の流れについても教えてください。

本間様　当社では、定期的な訓練の実施により社員の情報セキュリティへの意識向上を図っており、現在は年1回のペースで行っています。

訓練内容は「情報システム部からの発信を装ったフィッシングメール」などを採用しています。メールには時事的なネタを盛り込んでおり、
直近ではゴールデンウィーク前のタイミングで「連休時にサーバーメンテナンスを行います」という内容で訓練メールを送信しました。リアルな内容で、見抜く難易度がそれなりに高いメール内容を意識しています。

ー直近の訓練結果はいかがでしたか？

本間様　対象者500人のうち、リスクユーザーは約20％となりました。メール内では「ちょっと変な言い回しをする」など、見抜けるポイントを置いていたものの、結果的に私たちの想定よりもリスクユーザーの割合が高くなりました。

金村様　リスクユーザーは、工場に勤務する社員やマネジメント層に多く見られました。工場の場合は日頃PCに接する機会が少ないこと、
マネジメント層の場合はサーバーメンテナンスなど「下に周知しなければいけない内容がある」と感じてリンク先を踏んでしまったのではないかと考えています。責任感が高いがゆえの結果かもしれません。

ー実際に情報漏えい防ぐくんを活用してみて、感想はいかがでしょうか。

本間様　システム面での使い勝手はもちろんのこと、担当者の方によるフォローにも助けられています。必要なタスクに関する連絡を密に行っていただけるので、スケジュール管理がとてもスムーズでした。当社からの細かい依頼にも迅速に対応いただきました。

三宅様　管理者用ダッシュボードによる集計・分析の機能も大いに活用しています。管理画面からはリアルタイムでリスクユーザーの確認が可能なので、経営層への現状報告を円滑に行えました。
経営層は訓練結果を気にしており、訓練実施日の夕方には結果を聞かれることもあります。リアルタイムに確認が可能になり、ストレスなく訓練の進行ができました。

また、ダッシュボードでの結果把握と分析により、「2年連続でリスクユーザーになった人への特別対応」など、新たな施策も打てるようになりました。

ー導入後の効果や変化をお聞かせください。

本間様　社員アンケートでは、半数以上が「セキュリティに対する意識が向上した」と回答しました。全体の学習完了率は約7割、リスクユーザーについては約9割が学習を完了しており、全社の意識向上に大きく貢献したと考えます。

三宅様　訓練継続の成果として、怪しいメールが届いた際には情報システム部門へ相談が来るようになりました。実際は問題ないメールでも相談してもらえるようになり、セキュリティ意識を高く持つ風土の醸成につながっています。基本的には怪しいメールが届かない体制とシステムを整えていますが、「届いてしまった場合にも現場で気づける」風土があることが大切だと、ポジティブに受け止めています。

ー今後の目標や展望を教えてください。

本間様　リスクユーザーには個別連絡を行い、情報システム部作成の情報セキュリティテストを受講してもらいました。まもなくこのテスト受講率は100％になる見込みです。こうしたフォローを強化し、セキュリティへの意識をさらに高めていきます。

金村様　今後は添付型訓練メールを全社員に実施するなど、最新トレンドを踏まえ、さまざまな方式で実施していきたいですね。社内ではSaaS系外部サービスの利用も増えており、こうした変化に対応する訓練も必要だと考えています。

三宅様　引き続き社員のセキュリティ意識向上施策に取り組み、訓練メールを継続していきます。訓練内容を考える体制をより効率化し、運用面での負荷軽減も図りながら、さらに充実した訓練へ進化させていきたいと思います。