標的型攻撃メール訓練サービスを比較する

標的型攻撃メールとは「1つの組織にターゲットを絞ってメールを送信し、思わず添付ファイルを開いてしうような文面を送ってくる」手法です。標的型攻撃メール対策は従来のウイルスソフトでは検知しにくいため、標的型攻撃メール訓練サービスの需要が高まっています。

標的型攻撃メール訓練サービスでは、標的型攻撃メールを疑似体験する訓練や、従業員に対して標的型攻撃に関する教育コンテンツ配信を行って、標的型攻撃メールによる情報漏えいのリスクを抑制することが狙いです。

標的型攻撃メール訓練の重要性

標的型攻撃メールは従来の無差別にばらまかれていたウイルス付き迷惑メールとは違い、対象組織の機密情報を盗み出すことなどを目的としています。従業員が業務に関係のあるメールと思って開封し、ファイルをダウンロードしてしまうような巧妙な偽装が特徴です。

さらに標的型攻撃メールに仕込まれたウイルスは、セキュリティソフトで検出できないタイプが多く、技術的対策では完全には防ぐことは困難です。このような状況から、IPA(独立行政法人情報処理推進機構)が公開した「情報セキュリティ10大脅威 2022」でも第2位に「標的型攻撃による機密情報の窃取」がランクインするなど、標的型攻撃の脅威は増しています。

従業員を直接訓練して、標的型攻撃メールを開かせないようにすることが情報セキュリティ対策として重要です。

関連記事：標的型攻撃メールの被害事例を紹介。攻撃の特徴と取るべき対策も解説|ミツモア

標的型攻撃メール訓練の主な目的

• 従業員が標的型攻撃メールに騙されないようにする

訓練用の標的型攻撃メールを送って、どのような内容で送られてくるか事前に経験することで、実際に怪しいメールが送られてきた際に「添付ファイルを開かない」や「メール内のURLにアクセスしない」など、従業員が判断できるようになることを目指します。

• 従業員が管理部門に速やかに報告できる体制を構築する

訓練メールの配信や情報セキュリティ教育で研修を行うことで、従業員が標的型攻撃メールの受信、あるいはウイルスの感染に気づいた場合に、速やかに管理部に報告される状態を構築します。報告を受けた管理部は全社的な警戒を通告して被害を予防できる、もしくはウイルス感染への初期対応を行って被害を最小限にとどめられるでしょう。

おすすめの標的型攻撃メール訓練サービスの料金と機能を比較しました(比較表は右にスクロールできます)。

製品

ロゴ

初期費用

料金

料金プラン

無料トライアル期間

メール送信

テンプレート

カスタマイズ 項目

統計レポート

eラーニング

コンサル ティング

提供形態

実績

セキュリオ

110,000円～

165円/人～

3種類

14日間

○

数十種

本文

○

○

○

クラウド

1,200社以上

GSX標的型 メール訓練 サービス

要問合せ

要問合せ

4種類

14日間

○

○

本文 開封時警告文

○

○

○

クラウド

11,000社以上

標的型攻撃 メール訓練 T3

要問合せ

要問合せ

2種類

○

○

54種

本文 開封時警告文 配信間隔

○

－

○

クラウド

－

NTT東日本 標的型攻撃 メール訓練

0円

550円/人～

2種類

－

○

○

本文 開封時警告文 配信間隔

○

－

○

クラウド

－

MudFix

0円

165円/人～

1種類

－

○

○

本文 開封時警告文 配信間隔

○

－

－

クラウド

－

標的型メール訓練サービス(JRシステム)

要問合せ

132,000円～/回

2種類

－

○

ベンダー側で最適化して提供

ベンダー側で最適化して提供

○

－

○

サービス

－

メル訓 クラウド

0円

350円/通～

5種類

1カ月

○

20種以上

本文 開封時警告文 配信間隔

○

○

○

クラウド

－

標的型攻撃 メール対応 訓練サービス

要問合せ

550,000円～/回

2種類

－

○

ベンダー側で最適化して提供

ベンダー側で最適化して提供

○

他サービスと連携

○

サービス

－

※「－」はホームページに記載なし

※ ミツモア調べ(2023年2月時点)

「製品や機能が多く、どの標的型攻撃メール訓練サービスがよいかわからない・・・」そんな方は、ぜひミツモアをご利用ください。欲しい機能などの項目を画面上で選択するだけで、希望条件に沿った製品を最短1分で自動診断。ぴったりの標的型攻撃メール訓練サービスがすぐに見つかります。

セキュリティ教育まで行えるか

標的型攻撃メール訓練サービスには「訓練メール配信とレポート作成に特化している製品」と、「訓練メールに加えてeラーニングを実施できる製品」があります。

例えば導入実績1,000社超の「Seculio」では、従業員のセキュリティリテラシー向上のための標的型攻撃メール訓練に加えて、eラーニングやニュース配信、セキュリティテスト、アンケート調査、ソフトウエア管理サービス、安否確認サービスまで付いていて、企業全体のセキュリティレベルを底上げできます。

主要製品のeラーニング対応比較表(表は右にスクロールできます)

※「－」はホームページに記載なし

テンプレート数や配信形式のカスタマイズ性

豊富なテンプレートから選択してカスタマイズできる製品であれば、実際に自社に届くような標的型攻撃メールを再現できるでしょう。また配信タイミングを段階的に設定できる製品であれば、管理部からの共有訓練や、感染してしまった場合の対応力の向上など、目的やレベルに合わせたメール訓練を実施できます。

「標的型攻撃メール訓練 T3」はテンプレートが54種と多く、配信内容カスタマイズの自由度も高くおすすめです。またJRシステムが提供している「標的型メール訓練サービス」では、ベンダー側で自社の目的やレベルに最適化した内容を配信してくれます。

主要製品の配信カスタマイズ比較表(表は右にスクロールできます)

※「－」はホームページに記載なし

コンサルティングサービスの有無

標的型攻撃メール訓練の効果を高めるには、「どのような訓練計画」で「どのような文面のメールを送るか」が重要です。社内にセキュリティ訓練の知識を持った社員がいない場合は、訓練内容のコンサルティングオプションがあるサービスを選ぶと良いでしょう。

例えば「標的型攻撃メール訓練 T3」は専門知識をもった提供会社の社員が自社の環境や業務内容に応じたメール訓練内容の構築を支援するプランがあります。

主要製品のコンサルティング対応比較表(表は右にスクロールできます)

※「－」はホームページに記載なし

予算に見合っているか

標的型攻撃メール訓練サービスの料金体系は、1アカウント当たり月数百円、もしくは1通ごとに数百円です。教育プランや委託プランがオプションサービスの場合は、別途料金が発生します。標的型攻撃メール訓練は1回で終了するものではありません。

継続的に実施するため、従業員数と訓練回数を計算し、年間で予算を組みましょう。例えば「MudFix」は1人当たり月165円と比較的安価に訓練を実施できます。「メル訓クラウド」は年額45万円でアカウント数とメール件数が無制限で利用できるので、従業員が大奥、中長期的な訓練が必要な企業におすすめです。

主要製品の料金比較表(表は右にスクロールできます)

※「－」はホームページに記載なし

標的型攻撃メールの脅威を疑似体験できる

標的型攻撃メールの特徴はターゲットを絞っていることです。標的にされた企業の従業員が怪しまないように、差出人と件名が取引先になっているなど巧妙に偽装したメールが届きます。そのため従業員が通常業務の一環として開封してしまう可能性が高いです。

さらに本文にあるURLをクリックしたり、添付ファイルを開いてしまったりすると、ウイルスに感染する確率が格段に上がってしまうでしょう。

標的型攻撃メール訓練サービスでは従業員が不用意なアクションをしたときには、標的型攻撃メールのリスクが書かれた啓発ページを表示し、今の行為に問題があったことを指摘してくれます。

従業員が標的型攻撃メールを疑似体験することで「日本語の一部がおかしいメールだからURLは開かない」や「不審なメールが来たときは情報システム部に連絡する」といったセキュリティ教育が実現できて、社内全体のリスクが軽減されるでしょう。

• 訓練メール配信機能

標的型攻撃メール訓練サービスでは、従業員に抜き打ちで実際の標的型攻撃メールを模した訓練メールを送り、メール開封率や本文内にあるURLのクリック率などを自動集計できます。訓練メール後の種明かしメール、アンケート調査、通常のメール連絡も配信可能です。

• 訓練メール形式カスタマイズ

訓練メールは「文章型、URLリンク型、添付ファイル型」から選べます。文章型は開封率のみを確認し、文中に訓練メールであることを伝えるタイプが多いです。

URLリンク型は本文にURLリンクを載せて、URLをクリックした割合も計測、添付ファイル型はメールにファイルを添付してダウンロード率を計測します。

全従員のセキュリティリテラシーを可視化できる

標的型攻撃メール訓練サービスでは、訓練メールの開封率、URLのクリック率、添付ファイルの保存率などを自動で集計可能です。

訓練メールの開封率を「営業部70％、企画部50％、総務部10％」というように部署ごとに把握したり、個人別の成果を追えたりするため、全従業員のセキュリティリテラシーを可視化できます。

• 訓練結果レポート

訓練メールの開封率、URLや添付ファイルを開いた人の割合がわかる機能です。個人別の開封状況だけでなく、部署別、役職別、時期別にまとめることもできます。また訓練結果レポートをCSVファイルに出力できる機能があると、社内への報告書も作りやすいです。

情報セキュリティの強化を手軽に実施できる

訓練メールは1から作る必要はありません。標的型攻撃メール訓練サービスには複数のテンプレートが用意されており、カスタマイズをして従業員に送信できます。自社の業務に関連する件名や本文であるほど開封率が高まるため、徐々に難度を上げていくことも可能です。また訓練メールの配信リストも調整できます。

加えてセキュリティリテラシーが低い従業員には、セキュリティ対策の基礎知識や標的型攻撃の事例といったeラーニングも用意されています。

• メールテンプレート

擬似攻撃メールのテンプレートが複数用意されています。例えば「貴社の製品へのクレーム」「新聞社からの取材」「情報セキュリティ協会からの注意喚起」などです。

テンプレートは差出人、件名、本文を編集できるため、業種や職種に合わせて意図的に難易度をコントロールできます。実際に訓練で使う文例は下記の通りです。

• 教育コンテンツ

訓練メールは配信して終わりではありません。各従業員のセキュリティリテラシーが低い時は、フォローアップ研修が必要です。標的型攻撃メール訓練サービスでは情報セキュリティのeラーニングができるタイプもあり、従業員の知識を向上させます。

無料の訓練用メールのテンプレートを使う

Webで公開されている訓練用メールのテンプレートを用いて、自前で社内訓練を行います。その際に添付するWordファイルなどに標的型攻撃メールの訓練であることを記載し、「不審なメールは開かないこと」といった簡単な教育コンテンツを盛り込むだけでも、一定の効果がある社内訓練になるでしょう。

さらに開封率やクリック率を測定できるメール配信システムを導入している場合は、そちらを活用すると自社のセキュリティレベルの可視化まで行えます。また小規模でテストを行う場合は「Seculio」などトライアルプランがある製品の利用もおすすめです。

• 標的型攻撃メール訓練を自前で行う場合の注意点

無料で標的型攻撃メール訓練を実施する場合は、訓練結果の集計を自社で行う必要があります。小規模組織であればそこまで大きな手間にはなりませんが、50人以上の規模では実施者の負担が大きくなるため有料の標的型攻撃メール訓練サービスを利用するべきでしょう。

また訓練結果を受けての対策も社内で考えなければなりません。中小企業では社内にセキュリティ知識を持った社員がいない場合も多く注意が必要です。

公的機関が提供する無料の教育コンテンツを使う

IPA(独立行政法人情報処理推進機構)などの公的機関が提供する無料のセキュリティ教育コンテンツを利用する方法です。従業員には自分で当該教材を視聴するように通達し、動画視聴後に理解度テストを受験してもらいます。進捗や理解度テストの結果はスプレッドシートやエクセルで管理する方法が一般的です。

参照：映像で知る情報セキュリティ ～映像コンテンツ一覧～｜IPA 独立行政法人 情報処理推進機構

標的型攻撃メールは何度も自社に送られてきます。内容も進化し続けており、一般的なセキュリティソフトでは防ぎきれないため、定期的に標的型攻撃メール訓練を実施し、従業員のセキュリティリテラシーを高める企業が増えました。

ただし、すべての標的型攻撃メール訓練サービスがセキュリティ課題に効果的というわけではありません。標的型攻撃メール訓練サービスには、数十種類のテンプレートを用意しているタイプから、従業員のeラーニングがかなり充実しているタイプまで、さまざまな製品とプランが存在しています。

その中から最適な標的型攻撃メール訓練サービスを選ぶためにも、平均2分でできる自動診断を試してみましょう。従業員数や業種などの簡単な質問に答えるだけで、自社の条件にマッチする標的型攻撃メール訓練サービスと料金プランがわかります。もちろん無料で利用できます。