標的型メール訓練、「開封率」だけ見ていると、ちょっともったいない

標的型メール訓練（本物そっくりの怪しいメールを社員に送って、どう反応するかを確かめる訓練）の結果を見せていただくと、だいたい最初に「開封率」が書いてあります。

「今回は開封率15%でした。前回より下がりました」

もちろん、下がるのは良いことです。ただ、訓練の数字を見ていて、私がいつも一番先に探すのは、別の数字です。

開封率は、ゼロにはならない

まず前提として、開封率はゼロにはなりません。

最近のだましメールは、本当によくできています。取引先の名前、実際にありそうな請求書、宅配の不在通知。忙しい月末に届いたら、誰だって一度は開いてしまいます。

なので、「開封した人をゼロにする」を目標にすると、訓練はだんだん、開いてしまった人を責める場になっていきます。そうなると、開いても黙っている人が増えます。これが一番まずい状態です。

見てほしいのは、この2つ

報告率

怪しいメールが届いたとき、「これ、怪しいです」と情シスやセキュリティ担当に報告してくれた人の割合です。

報告が上がれば、同じメールが届いているほかの社員に「開かないで」と知らせることができます。1人の報告で、会社全体を守れるわけです。

最初の報告までの時間

メールが届いてから、最初の1人が報告してくれるまでの時間です。

本物の攻撃では、ここが早いほど被害は小さくなります。50人に同じメールが届いても、最初の5分で誰かが気づいて報告してくれれば、残りの人が開く前に止められます。

私の感覚では、この数字が10分を切ってくると、その会社はかなり強いです。

「開いてしまった」も、報告していい

ここが、訓練でいちばん伝えたいことです。

• 開いてしまった
• リンクを押してしまった
• パスワードを入れてしまったかもしれない

これらも、すぐに報告してもらえれば、まったく問題ありません。 むしろ、正直に早く言ってくれた人こそ、ほめられるべきだと思っています。

報告のハードルを下げるために、次のような工夫が効きます。

• 報告先を1つに決める（メールアドレスか、チャットのチャンネル）
• 報告ボタンをメールソフトに付けておく
• 報告してくれた人に、短くお礼を返す

最後のひとつ、意外と大事です。「報告してよかった」と思える経験が、次の報告につながります。

訓練の結果は、こう使う

訓練が終わったら、結果を全社にこう共有するのがおすすめです。

• 開封率：〇%（参考）
• 報告率：〇%
• 最初の報告：メール到着から〇分後
• 「早く報告してくれた方、ありがとうございました」

開いてしまった人の名前を出す必要はありません。

おわりに

訓練の目的は、ひっかかる人を見つけることではなく、怪しいと思ったら、すぐに声を上げられるチームをつくることだと思っています。

次の訓練では、ぜひ報告率と、最初の報告までの時間を見てみてください。数字の見え方が、少し変わるはずです。