モバイルコンピューティングや、非従来型のエンタープライズコンピューティングが普及しても、フィッシングを食い止める役にはほとんど立ちそうにない。実際のところ、米EMCのセキュリティ部門、RSAの調査によれば、従業員がモバイル端末でフィッシングにだまされる確率は、PCの3倍だった。

　米PhishMeと米Wombat Security Technologiesの2社は、従業員がフィッシングを見抜いて阻止するためのトレーニング製品を開発した。従業員に送信するメッセージはセキュリティチームが選んでカスタマイズする。両社のフィッシング対策ツールはそれに対する従業員の反応をモニターし、どのくらいうまく対応できたかについての報告書をセキュリティ担当者に提供する。組織はこの報告に基づいて問題事例にスポットを当て、さまざまな研修や訓練を通して従業員がどこで失敗したかを学ばせる。従業員の成績に関するデータはグループ化することもでき、セキュリティ担当者はグループや個人に対する研修が必要かどうかを見極めることができる。

　年間を通じてテストの内容をさまざまに変え、従業員が会社のセキュリティポリシーに従っているかどうかを継続的にモニターすることもできる。これにより、フィッシングを通じて悪質なソフトウェアが入り込む確率を減らせるだけでなく、デスクトップPC、ノートPC、タブレット、スマートフォンなど、ユーザーが電子メッセージを受信できるあらゆる端末からもたらされるリスクを軽減できる。

　初期段階の結果は有望だ。Wombatの調査によると、最初のフィッシング攻撃シミュレーションではFortune 50社の従業員のうち約35％がだまされた。しかしフィッシング対策に重点を絞った対話形式のトレーニングモジュールを修了後、2度目の攻撃でだまされた従業員は6％弱に減った。これで被害に遭う確率は84％減ったことになる。

　ただ、そうしたシミュレーション型のフィッシング対策製品やサービスの導入には課題もある。「もし会社がこっそり自分たちをテストしていると知ったら、従業員の信頼が損なわれるかもしれない」とカーペンター氏は言い、会社はその行動の理由を説明して、従業員にそうした対策の必要性を納得してもらう必要があると指摘した。

　米セキュリティコンサルタントThe Ogren Groupの主席アナリスト、エリック・オグレン氏も、「こうしたツールを使う最善の方法は、例えば従業員に会社の電子メールシステムの使い方を教えるような、アプリケーションレベルのトレーニングに取り入れることだ」と話す。

　だが、1回限りのテストでは一時的な結果しか生まれない。効果を出すためには、会社が繰り返し従業員の行動を試す必要があるとオグレン氏。テストはそれぞれ独自性を持つことから、テストを準備する時間と労力を費やす必要がある。研修の取り組みにも同じことがいえる。結果として企業は、こうしたプログラムに予算を費やして維持していくのは難しいと判断するかもしれない。