標的型攻撃メール 訓練に投資した成果を定量化し、経営層に対して投資効果を証明することは、継続的なセキュリティ予算確保の鍵になります。本記事では、効果測定の方法論、具体的なKPI設定、経営層への報告資料の作成方法を詳解します。LOCKED ATPのダッシュボードにより、70%の訓練時間削減と同時に、高精度の効果測定が実現できます。
訓練効果を測定するべき理由
経営層への説明責任
セキュリティ予算は、営業、製造、R&Dなど、直接利益を生む部門と異なり、「予防」が目的です。経営層は、投資に対する具体的なリターンを求めます：
- 「訓練投資により、いかほどのインシデント削減が実現したのか」
- 「ROI（投資収益率）はどの程度か」
- 「他社と比較して、セキュリティ成熟度はどの程度か」
データドリブンな報告により、セキュリティへの継続的な投資を正当化できます。
継続的改善の基盤
測定データなしに改善施策は決定できません。訓練効果測定データにより：
- どの部門が特に脆弱か特定可能
- どのシナリオが効果的か特定可能
- 訓練の頻度や内容をどう調整すべきか明確化
フィッシング対策成熟度
フィッシング対策の成熟度を診断。技術対策、従業員教育、インシデント対応の3軸で自社の対策レベルを可視化します。
主要なKPI指標と定義
1. クリック率（Click-Through Rate: CTR）
定義 訓練メール受信者のうち、不正なリンクをクリックした者の割合。
クリック率 = クリック者数 / 受信者数 × 100%
初期値と改善目標
- 初期段階（1回目訓練）：25〜35%
- 3ヶ月後：15〜20%（初期値の50%以下）
- 6ヶ月後：10%以下
解釈 クリック率が低いほど、従業員の脅威認識が高い状態。但し、異常に低い場合（5%以下）は、訓練メールがテンプレート的すぎて、実際の攻撃に対応しない可能性がある。
2. 報告率（Report Rate）
定義 訓練メール受信者のうち、それを不審メールとして報告した者の割合。
報告率 = 報告者数 / 受信者数 × 100%
段階的な目標
- 初期段階（導入0〜3ヶ月）：1〜5%
- 中期段階（3〜6ヶ月）：5〜15%
- 成熟段階（6ヶ月以降）：20〜35%
重要性 報告率の高さは、「セキュリティ文化の成熟度」を示す最高の指標。高い報告率を達成する組織は、心理的安全性が確保され、セキュリティに対する組織全体のコミットメントが高い。
3. 開封率（Open Rate）
定義 訓練メール受信者のうち、実際にメールを開封した者の割合。
開封率 = 開封者数 / 受信者数 × 100%
適正範囲
- 警戒心が高い組織：30〜40%
- 標準的な組織：45〜55%
- 警戒心が低い組織：60〜75%
解釈 開封率が極端に高い（70%以上）場合、訓練メールが本物に見えすぎており、参考情報（訓練は訓練とわかる表示）が不足している可能性。逆に低すぎる（20%以下）場合、訓練メール数が多すぎるか、件名が不自然な可能性。
4. リスク度スコア（Risk Score）
定義 複数の指標から合成した、部門または個人のセキュリティリスク総合スコア。
計算例
リスク度スコア = (クリック率 × 0.5) + (開封率 × 0.2) - (報告率 × 0.3) × 100
スコアが100に近いほど、リスクが高い状態。
活用方法
- リスク度スコアが最も高い3部門に対して、重点的な訓練やセキュリティ研修を実施
- スコア改善速度が遅い部門への経営層からのコミットメント要請
定性的指標の測定
従業員の意識スコア
四半期ごとにアンケート調査を実施：
質問例
- 「フィッシングメールの識別に自信がありますか」（5段階評価）
- 「不審なメールを受け取った場合、セキュリティ部門に報告することは重要だと考えますか」（はい/いいえ）
- 「セキュリティ訓練は役に立つと感じますか」（5段階評価）
目標値
- 質問1の平均スコア：4.0/5.0以上
- 質問2でのポジティブ回答率：80%以上
- 質問3の平均スコア：3.5/5.0以上
インシデント削減率
測定方法 前年同期との比較で、メール経由のセキュリティインシデント（認証情報盗取、マルウェア感染など）件数の増減を測定。
目標値 年間30%以上のインシデント削減
注意点 インシデント発生は多くの要因（ゲートウェイ強化、脅威環境の変化）に影響されるため、訓練単独の効果と断定せず、複合的に分析。
ROI（投資収益率）の計算
コスト要素
年間訓練コスト
- LOCKED ATP等訓練プラットフォームの利用料
- ユーザー数 × 年額/ユーザー
- セキュリティチームの運用工数
- シナリオ確認、ダッシュボード分析など
- 従業員の訓練参加時間
- 訓練メール対応、フォローアップ教育など
例：1,000名企業の場合
- プラットフォーム利用料：150円/ユーザー/月 × 1,000名 × 12ヶ月 = 1,800,000円
- セキュリティ部門運用工数：月40時間 × 12ヶ月 × 5,000円/時 = 2,400,000円
- 従業員時間：1人あたり月10分 × 1,000名 × 12ヶ月 × 2,500円/時 = 5,000,000円
- 合計：9,200,000円/年
効果（削減コスト）
インシデント削減による経済効果
Ponemon Instituteによれば、1件のセキュリティ侵害に対する平均的な対応コストは、日本国内で約360万円です。
年間のメール経由インシデントが30件削減された場合：
- 削減効果 = 30件 × 360万円 = 10,800,000円/年
ROI計算
ROI = (削減効果 - 訓練コスト) / 訓練コスト × 100%
= (10,800,000 - 9,200,000) / 9,200,000 × 100%
= 17.4%
この場合、訓練投資は17.4%のROIを生み出しています。
経営層への報告資料作成
報告資料の構成
1. エグゼクティブサマリー（1ページ）
- 訓練実施期間、対象者数
- 主要KPI（クリック率改善、インシデント削減）
- ROI
2. 詳細分析（3〜5ページ）
- 時系列グラフ（クリック率、報告率の推移）
- 部門別比較表
- 脆弱部門への施策
3. ベンチマーク比較（1ページ）
- 業界平均との比較
- 同規模企業との比較
4. 次期計画（1ページ）
- 改善施策
- 予算要求
効果的なグラフ表示例
時系列グラフ
- X軸：月（1月〜12月）
- Y軸：クリック率（%）
- 赤線：自社のクリック率推移
- 灰色帯：業界平均±1標準偏差
- 黄色点：部門別最高値と最低値
このように、自社の改善傾向と業界水準の両方を同時表示することで、説得力が増します。
LOCKEDの詳細を見る フィッシング対策訓練でお悩みなら、LOCKEDの無料デモをお試しください。 資料請求・デモ依頼はこちら →