【製造業の事例】標的型メール訓練・セキュリティ教育でリスク可視化・運用改善

－どのような課題をお持ちでしたか？－

課題１：個人の判断に左右されないメールセキュリティ対策の強化

　社員のITリテラシーに大きな差があり、それに伴いメール対応の判断にもばらつきやセキュリティ理解・定着に課題を抱えていました。バックオフィス部門ではメール利用が日常的である一方、製造現場では利用機会が限られ、基本操作に不慣れな社員も見られました。

　また、セキュリティ用語や警告表示の意味が十分に理解できない場面もあり、「サイバー攻撃の危険性は認識しているが、具体的にメールのどこを意識して注意すればよいのか判断できない」といった現場の声もよく耳にしていました。情報システム部側も、メールでのサイバー攻撃は年々巧妙化しており、業務に関連した内容やタイムリーなテーマを装ったものは、見分けが難しいケースが増えていると感じていました。

　最近だと、「社長名義でLINEグループに誘導する」などのメールが頻繁に来ることがあり、社員が「業務上必要な対応」と判断して開封する危険性も高い状況に。迷惑メールや不審メールのフィルタリングなど、システム側での対策は十分にしていましたが、最終的なメール開封やクリックなどは個人の判断に依存する部分が大きいです。実務と密接に結びつく内容ほどリスクが高く、技術面の対策だけでは防ぎきれないと感じていました。

課題２：訓練 / 教育 / 改善を継続的に回せる運用

　これまでの実施した他社のメール訓練では、「実施して終わり」という結果の把握にとどまり、訓練後の分析や改善、対策に十分つなげられていない点が課題でした。「どの部門に課題があるのか」「なぜ開封してしまったのか」といった原因の特定や、傾向の整理ができず、次回訓練や実際のメールセキュリティ対策改善の方向性が不明確に。

　訓練後の教育は、Webでのオンライン学習がメインだったので、自主的に学習が必要でした。そのため、個人の学習に差が生まれ、継続的な学習や振り返りの仕組みが不足。結果として、訓練を実施しても行動の変化につながりにくく、組織としてセキュリティレベルを段階的に向上させるサイクルを実現できていませんでした。