効果はありますが、目的は「開いた人を見つけること」ではなく「開いたあとにすぐ報告できること」です。評価は開封率だけでなく、報告率と報告までの時間で見ましょう。現実の攻撃では、誰か1人は必ず開いてしまうため、早く報告されることのほうが被害を小さくするからです。
実施の手順
- 目的と評価の指標（報告率・報告までの時間）を決める
- 実際の手口に近い文面を用意する（請求書、宅配、社内通知など）
- 予告なしに送信する（経営層・情報システム担当にも）
- 開いた人には、その場で解説ページを表示する
- 結果を共有し、報告した人を評価する
注意点
- 開いた人を名指しで責めない（報告しなくなる）
- ボーナスや災害など、社員の不安をあおりすぎる文面は避ける
- メール以外（SMS、チャット、電話）の手口も教育で扱う
出典：IPA「中小企業の情報セキュリティ対策ガイドライン」、内閣サイバーセキュリティセンター「みんなでしっかりサイバーセキュリティ」