なぜクリック率重視の訓練は意味を失ったのか

標的型攻撃メール訓練は、日本企業において広く普及した施策であり、公的機関のガイドラインや業界実務に
おいても「実施されていること」が前提条件として扱われている。一方で、多くの組織では訓練成果の評価指
標として、依然としてクリック率や開封率が中心に据えられている。 しかし近年のサイバー攻撃は、単一の誤
操作を誘発するものから、複数の判断や行動の連鎖を突く構造へと変化している。メールは攻撃の入口の一つ
に過ぎず、チャット、クラウドサービス、電話連絡など複数の接点を横断しながら、受信者の判断を誤らせる
手法が一般化している。この環境下では、クリック率の低下がそのまま実効的な防御力の向上を意味するとは
限らない。 本ホワイトペーパーでは、標的型メール訓練を否定するのではなく、その評価軸と位置付けを再考
することを目的とする。クリック率中心の評価モデルが抱える構造的限界を整理した上で、判断と行動の連鎖
に着目した新たな評価視点、ならびにSOCや運用体制と接続した訓練設計の方向性を提示する。 結論として、
クリック率は今後も参考指標の一つとして一定の役割を持ち続けるが、訓練の中心的な成果指標ではなくな
る。今後求められるのは、従業員が不確実な状況下で適切に判断し、組織として機能する行動につなげられる
かを検証する訓練である。本稿は、その再設計に向けた検討材料を提供するものである。

標的型メール訓練は「前提条件」として位置付けられている

日本企業において、標的型攻撃メール訓練は、もはや一部の先進的な組織のみが実施する施策ではない。企業
規模が大きいほど導入率は高く、従業員1,000名以上の組織では、約76%が年1回以上の標的型攻撃メール訓練
を実施しているとの調査結果が報告されている[1]。この数値は、標的型メール訓練が例外的な取り組みでは
なく、一定の標準施策として定着しつつある現状を端的に示している。
この背景には、公的機関による継続的な整理と推奨が存在する。IPAは、標的型攻撃メール訓練を“適切な対処
が行えるかを確認する目的で実施する”ものと位置付け、体制改善まで含めた実施設計を解説している。[2]。
ここでは、訓練が単なる注意喚起や教育イベントではなく、実運用を確認するための実践的手段であることが
強調されている。

また金融分野においては、金融庁が公表する「金融分野におけるサイバーセキュリティに関するガイドライン」
において、標的型メール訓練における「報告率」がKPIの例として示されている[3]。この点は、訓練が実施
されているか否かではなく、その結果として従業員の行動や組織内の連携がどのように機能したかを評価対象
とする考え方が、すでに制度文書の中に組み込まれていることを意味する。
これらの公的資料に共通しているのは、標的型メール訓練の是非を論じる記述がほとんど見られない点であ
る。訓練は「実施されていること」を前提とした上で、設計方法や評価観点、運用上の留意点が整理されてい
る。言い換えれば、標的型メール訓練は、すでに議論の対象ではなく、組織が備えるべき基礎的な対策の一部
として扱われていると解釈できる。

なぜ「クリック率」重視の訓練は意味を失ったのか

この前提に立つと、訓練を実施していない、あるいは体系的に運用していない状態は、現在のガイドラインや
実務整理が想定する水準から外れている可能性がある。もちろん、訓練の実施有無のみで組織の防御力を断定
することはできない。しかし少なくとも、訓練が前提条件として扱われている環境下において、未実施である
ことは、他の対策や運用設計を議論する以前の段階に留まっていることを示唆する。
もっとも、訓練を実施しているからといって、それだけで十分な防御力が確保されるわけではない。実際、多
くの組織では、訓練の成果指標として開封率やクリック率が用いられてきたが、これらの数値が実際の被害抑
止や判断品質をどこまで反映しているのかについては、慎重な検討が必要である。次章では、近年の攻撃構造
の変化を踏まえ、この評価軸に疑問が生じている理由を整理する。

Key Findings
01 — 標的型メール訓練の前提条件化。日本企業において標的型メール訓練は標準施策として定着しており、
従業員1,000名以上の組織では約76%が実施。公的機関のガイドラインでも「実施されていること」が前提と
なっている。
02 — 攻撃構造の多段階化へのシフト。近年の攻撃はメール単体ではなく、チャットや電話など複数チャネル
を横断する「判断の連鎖」を突く構造へ変化。クリック率だけでは実効的な防御力は測れない。
03 — 判断と行動の連鎖による評価。実効的な防御力は「気づいた後にどう行動し、組織としてどう対応でき
たか」に依存する。開封したかやクリックしただけでなく、被害前に違和感に気づき、組織内にそれを共有で
きたかを評価していく必要がある。