セキュリティのトビラ (19) 標的型攻撃メール訓練のトビラ(1)

例えば、グループAとグループB、それぞれ100人いる2つのグループが訓練を実施したとします。その結果が以下のようになったとしましょう。

グループA: 100人中1人が開封(開封率1%)

グループB: 100人中10人が開封 (開封率10%)

開封率を下げることによって必ずリスクが低減されるというのであればグループAが良い結果であり、数字だけで判断するならばリスクによるダメージもグループBに比べ低いと言えることになるでしょう。

しかし、もう少し踏み込んで考えてみてください。開封した方の属性が以下の通りだったらどうでしょうか。

グループA: 開封した1人が役員クラスまたはシステム管理者

グループB: 開封した10人すべてが一般社員

アクセスできる範囲はどちらの方が広く、情報の量が多いと言えるのでしょうか。多くの場合はグループAという結果になります。

10人の一般社員よりも、1人の役員やシステム管理者の方が、アクセスできる範囲や閲覧できる情報は多く重要度も高いわけです。これらは容易に想像できますし、実際にそうなっている組織が殆どでしょう。

開封率が下がれば下がるほど、残存するリスクが同じように減っていくのであれば開封率にのみ着眼した訓練は大いに意味のあるものであると言えると思います。