<<勤務先における標的型攻撃対策に対する意識・実態調査>>
～全国の情報システム管理者・従業員を対象に調査～
標的型メール訓練の結果、メールやWebを開くまでの時間が増加し、業務生産性が低下したと管理者の約50％が回答
～管理者・従業員が意識せずWebやメールを閲覧できる、セキュリティ対策製品の必要性高まる～

情報セキュリティメーカーのデジタルアーツ株式会社（本社：東京都千代田区、代表取締役社長：道具　登志夫、以下 デジタルアーツ、証券コード2326）は、全国の企業に勤める情報システム管理者330名、従業員1,105名を対象に、勤務先における標的型攻撃対策に対する意識・実態調査を実施しました。

近年、特定の企業・団体等を狙った標的型攻撃は特にメールによる攻撃が増加傾向にあり、2018年に警察庁が観測したサイバー犯罪件数は過去最多を記録、組織にとって情報セキュリティへの脅威は増しています。このような状況から企業における標的型攻撃を想定した対策として、主に標的型メール訓練が実施されており、それらの実施状況と意識について、情報システム管理者と従業員を対象に聴取しました。

今回の調査では、Webとメールの現状について、情報システム管理者の59.1％ が、自社のWebとメールの現状に課題を感じており、そのうち73.8％が「解決をあきらめている」と回答しています。多層防御等のセキュリティ対策を実施したものの課題が解決されないため、社員のセキュリティ意識向上に対策をシフトし、標的型メール訓練を導入しているのではないかと推測されます。

標的型攻撃対策として標的型メール訓練を導入している企業は、71.8％ありました。情報システム管理者・従業員ともに、「導入した製品」よりも訓練メールを含む「社内の教育」の方が対策の効果があったと回答しており、利用者自身の知識により補っていると実感しています。標的型メール訓練をはじめとする社員教育が一定の効果をもたらしていることを表しています。

一方で、情報システム管理者の30.8％が、訓練メールの結果は「評価に影響する」と回答しています。そのため、URL（1つ）・メール（1通）の安全を確認して開封する時間が以前に比べて長くなったと感じる人が約50％、そのうち2～3倍長くなったと感じる人が80％以上いました。これは、訓練メールを徹底したことによる効果と反比例して、業務の生産性が低下しているのではないかと推測されます。また、訓練メールや不審なメールを開封してしまった経験のある従業員は21.0％で、管理者の約3分の1以下という結果であり、教育や注意等がなされていない（認識していない）ため気付いていない可能性が推測されます。

Webとメールの現状について

• 情報システム管理者の59.1％ が、自社のWebとメールの現状に課題を感じており、そのうち73.8％が解決をあきらめている

標的型メール訓練について

• 標的型攻撃対策として標的型メール訓練を導入している企業・団体は、71.8％
• 情報システム管理者・従業員ともに、半数以上は「社内の教育」と認識しており、「利用者自身の知識で補っている」との実感を持っている。情報システム管理者の半数は「製品の効果」も実感
• 訓練メールを開封してしまった場合、該当社員に何らかの教育を課す・注意する等の対応を取る情報システム管理者は半数だが、「評価に該当する」との回答も30.8％と厳しい対応
• 一方、開封してしまった場合の対応について認識していない従業員が32.7％
• 訓練メールや不審なメールを開封してしまった経験のある従業員は21.0％であるが、教育や注意等がなされていない（認識していない）ため気付いていない可能性も考えられる
• 標的型攻撃対策を行う前後で、メールの安全を確認する時間が「長くなった」と回答した人のうち、URL（1つ）・メール（1通）の安全を確認して、開封する時間が「2～3倍長くなった」と感じると回答したのは、管理者で70～80％程度、従業員では80％以上

不審なWebとメールの見分け方について

• 不審なメールを見分ける要素は「送信元のメールアドレス」「件名」とする人が60％以上
• 不審なURL・Webページを見分ける要素は「ドメイン」とする人が60～70％
• 情報システム管理者の半数近くは「周りの人からの情報」も活用
• 不審なURL・Webページを開いてしまった場合の対応について、標的型メール訓練と同様、該当社員に何らかの教育を課す・注意する等の対応を取る情報システム管理者が半数。一方で、従業員が約80％は「特にない／わからない」と回答しており、管理者と従業員との間で認識の相違がみられる