聖心女子大学様｜標的型攻撃メール訓練サービスと研修により情報セキュリティ意識を醸成

アイテック阪急阪神の標的型攻撃メール訓練サービスを導入した経緯と効果について、聖心女子大学 管理部次長 兼 情報企画推進課長 鈴木広司様（以下、鈴木様）、同部同課課長代理 今西淳也様（以下、今西様）にお話を伺いました。

背景

はじめに、学内の情報セキュリティ教育の体制や、標的型攻撃メール訓練サービスを導入する前の情報セキュリティ課題についてお聞かせください。

鈴木様：

私が本学に着任した当時、情報セキュリティに関する主管部門が明確になっていませんでした。ネットワークセキュリティやアカウント管理は行っていたものの、教職員向けの情報セキュリティ教育は十分とはいえませんでした。

その後、外部の有識者を招き情報セキュリティに関する研修を実施し、不審メールに関する注意喚起も行いましたが、実践的な訓練は実施できていませんでした。

昨今では、教育機関に対するサイバー攻撃や情報漏えいのニュースが多く報道されています。本学に届く不審なメールの件数は余り多くない印象でしたが、だからこそ教職員は標的型攻撃メールに対しての免疫がないのではという危惧がありました。そのため、先手を打つ形で情報セキュリティ教育への取組を強化しようと検討を進めました。

eラーニングによる教育についても調査しましたが、教職員が実践的なスキルを身につけるには十分ではないと考えた結果、本学では2024年度の新たな取組として、標的型攻撃メールを想定した実践的な訓練を実施することにしました。

管理部次長 兼 情報企画推進課長 鈴木広司様

選定

標的型攻撃メール訓練サービスの導入を検討するにあたって、求めていた要件や重視していた点はありましたか？

今西様：

情報セキュリティ意識の不足を懸念していたこともあり、単発だけの訓練で終わるのではなく、訓練の結果を踏まえた研修も行えることを重視しました。

また、研修内容が本学のニーズに合っているかどうかも重要であり、大学特有の環境や教職員のICTリテラシーレベルに応じた、適切な難易度の研修内容であることを重視していました。最後は、コストパフォーマンスです。訓練と研修を含めた包括的なサービスであり、かつ予算内に収まることを条件としました。

他社のサービスとの比較検討を行った結果、アイテック阪急阪神を選んだ決め手を教えてください。

今西様：

研修に関しては基礎レベルの研修内容を希望しており、いくつかのサービスを比較検討しましたが、他社が提案した研修の内容は応用レベルのものも含まれており、現段階では合わないと判断しました。まずはICTリテラシーを高めたり、基本知識を向上させたりするサービスが必要だと考えたからです。

アイテック阪急阪神さんは本学からのリクエストに合わせて研修内容を調整していただけました。本学に寄り添った研修内容で、訓練と研修を一体にした実践的な情報セキュリティ教育を実施できる点に魅力を感じました。 最終的にはサービスの金額が予算内に収まるコストパフォーマンスの良さが、選定を後押しすることになりました。

管理部　情報企画推進課　課長代理 今西淳也様

訓練の実施

標的型攻撃メール訓練の文面を作成する際に苦労した点や、工夫したポイントがあれば教えてください。

鈴木様：

訓練用の攻撃メールの文面作成には、アイテック阪急阪神さんから提供してもらった事例をベースに、本学独自の環境や教職員の職業的な特性に合わせて内容を調整しました。たとえば大学の内部事情を記載すると不自然さが出てしまうので、大学内部を知らない人でも書けそうな内容を意識しました。また、過度に開封を誘導するような内容は避けつつ、かつ訓練として適切な内容にするというバランスを取ることも重視しました。

訓練の実施に際しては、メール文面の作成を除いてほとんどをアイテック阪急阪神さんに任せることができ、運用負担を軽減できた点が非常に助かりました。

実際に訓練を実施した効果をお聞かせください。また、その結果をどのように受け止めていますか？

今西様：

2024年6月に実施した1回目の訓練は、本学として初めての訓練でしたが、想定していた開封率を上回る結果となりました。しかし、これまで定量的な現状把握ができていなかったので、まずは具体的な数値を確認できよかったと考えています。

2024年9月に実施した研修は、注目度が高かったように感じます。特に開封率に関しては受講した教職員も興味を示していました。まずは今回の研修を通じて標的型攻撃メールの見分け方や対応方法を周知できたという点は大きな収穫だと思っています。

研修の様子

今後について

今後の情報セキュリティ教育についての展望をお聞かせください。

今西様：

今回は教職員の一部を対象にしましたが、今後は段階的に対象者を広げていく予定です。また、訓練の実施方法についても、今回は事前に実施時期を告知しましたが、より実践的な効果を得るため、次回からは抜き打ちでの実施も検討しています。

鈴木様：

今後も引き続き標的型攻撃メール訓練サービスや研修などを実施し、大学全体の情報セキュリティ意識の向上を目指していきます。

組織概要・導入サービス

注釈・補足

• 本ページの掲載内容は取材当時のものです。