エンドユーザーによって無視されない、読み取られるITセキュリティに関する電子メールを作成する方法
一部のユーザーがITセキュリティマネージャーから送信されたメッセージを無視しており、システムが「ウイルスを送信しました」という通知を生成していることを確認しました。
問題は、コンピュータに精通しておらず、IT SECに決して敵対しない人々にあるようです。彼らは単に「コンピューター」の人々ではありません。
ITマネージャーとシステム通知が確実に理解され、実行されるようにするためのガイダンスはありますか？私は、ユーザーベース全体に1つのメッセージを作成し、「特別な」人々を手にする責任を負わないようにしたいと思います。
私の希望は、ITセキュリティのユーザー通知を電子メールで送信する目的で、すべてのエンドユーザーと通信するときに使用される電子メールのベストプラクティスのセットを開発できることです。
- メッセージの背後にある考えをどのように説明すればよいですか？
- HTMLメッセージの方が効果的ですか？どうして？
- カットアンドペーストのサンプルはありますか？
- 「差出人」アドレスは重要ですか？
- 被験者は何を言うべきですか？
通知の例には次のものが含まれます（ただし、これらに限定されません）。
- AntigenまたはForefront AVシステムからの自動電子メールメッセージ
- ITセキュリティポリシーの改訂
- 単なる情報である一般的な通知
- 「メンテナンスは午後11時から午前6時に行われます。サービスの中断が予想されます」
- 読んで対処するための一般的な通知。それらはエンドユーザーに適用されます。
- "すべてのアプリケーションを閉じ、パッチを適用するためにログオフします"
- エンドユーザーに適用される場合と適用されない場合があるその他の通知。
- SPAM検疫レポートの電子メール：「同封されているのは、検疫されたメッセージのリストです...」
- "インストールされていない可能性がある古いバージョンのソフトウェアのセキュリティパッチ"
この質問は今週のITセキュリティ質問でした。
詳細については、2011年8月26日ブログエントリをお読みください。または自分で送信今週の質問。
私が何年も前に学んだ小さなトリック-メールを次のようにレイアウトします。
ショートバージョン
- 少数の非常に短い簡潔なポイント
- Xの場合、これを行う必要があります
- それ以外の場合は、それを行う必要があります（または何もする必要はありません）
ロングバージョンまたは詳細
...そして、ここであなたが望むフルバージョンをレイアウトします。
ユーザーの97％が長いバージョンを決して読むことはないので、短いバージョンをカウントしてください。 ただし、ここで重要なのは、ほとんどのユーザーがその間の選択肢を与えられた場合にショートバージョンを読むことですそして長いバージョン。その「Short Version」セクションのヘッダーを挿入すると、短いバージョンを読むだけで「逃げる」ことができるので、彼らにそれを読むように誘います。それは心理学のようなものです。
多くのユーザーは、何をしてもメッセージを読みません。ただし、この方法を使用すると、ヒット率が向上します。
@ gowenfawrが言うように 多くのユーザーは何をしてもメッセージを読みません。
したがって、メッセージが受信トレイだけでなく処理されただけでなく、脳に配信されたことを保証する必要がある場合、必要なのはフィードバックメカニズムです。
これは、ソーシャルアプローチを使用して簡単にすることができます。たとえば、情報を提供しながら、ユーザーに本質的に偽の質問をします。たとえば、特定の問題を処理するためにいくつかの方法を提供している場合、彼らに彼らの仕事に最適な方法を教えてもらうか、都合に応じて注文し、返信を要求するように依頼するかもしれません。返信しない人はおそらくそれを読んでおらず、フォローアップできます。
さらに一歩進んで、実際に彼らが「メッセージを受け取った」ことを証明するために完了する必要がある簡単なテストを作成できます（これは不満を引き起こしますが、効果的であり、経営陣から青信号が出た場合、このアプローチは実際にいくつかの方向を変えることができます）。
私は高い技術力を持っていると私は考えています。そして、通常、私は自分自身をスキミングするか、単にこの種のメッセージを無視しています。しかし、私は最近、次のヘッダーを持つGoogle製品をインストールしていました。
Please read this carefully - It's not just the usual yada yada.
これは気さくな性格なので、ドキュメントをよく読んで自分の仕事でこのテクニックを使い始めました。
Sysadminとユーザーの間に物理的/心理的な接続が確立されると、ユーザーは一般に管理メッセージを読むことがわかりました。これは、Googleの場合、冗談でした。
成功したことが証明された別の方法は、メッセージに対話性を追加することです対話することに対する非常に明確な報酬。たとえば、「このYES | NOに同意しますか？」のような単純なものや、特定のポリシーを高く評価したり低く評価したりすること、および印刷されたクレジットの報酬など。
私の頭に浮かぶいくつかのポイント：
簡潔かつ正確であること。通常、長すぎるメッセージはドロップされます。
トピックを使用してメッセージを分類します：メンテナンス、通知、重要。トピックを明確にします（ただし、短くします）。
可能であれば、デフォルトでメールヘッダーを色分けするようにメールクライアントを設定します。一貫したルールのセットを使用すると、より多くの注目を集めることができます。重要なことは赤で行いますが、乱用しないでください。
最後に、ユーザーをトレーニングします。彼らにどのように反応するかを教えるために啓発セッションを組織します。メンテナンスは重要なメッセージですか？重要な通知を受け取ったときはどうすればよいですか？誰が私に通知を送りますか？
1つのポイントは、電子メールを読むことが重要で重要な場合にのみ送信することです。通常のニュースレターや退屈な情報には使用しないでください。ユーザーはすぐに無視するようになります。
一般的なセキュリティ意識のために、毎回異なるメカニズムを使用し、それを興味深いものにし、その価値があるか、または失敗した場合に価値があるようにします。たとえば、企業の許容される使用ポリシーの毎年の承認など。
@RobertDavidGrahamが言ったように-メンテナンスメールを送信しないでください-これらはいずれにしても運用または変更管理から送信されます。
1つのメールメッセージだけを見ることはできないと思います。私たちのITおよびITSECグループが長年にわたって進化するのを見てきましたが、それらの一般的な認識は、overallメール本文と関係があることに気づきましたほんの数通の素晴らしいメールだけで何も修正されません。
ここにいくつかの全体的な考えがあります：
1つの通信媒体だけを使用しないでください-1つの簡潔な電子メールでこれを解決したいのはわかっていますが、それは実現できない場合があります。何かが重要な場合-複数回メールを送信し、ユーザーに繰り返しを認識させます。電子メールで情報が公開されている場合はいつでも、ユーザーが簡単にアクセスできる社内の社内サイトにアーカイブを用意し、電話サポートを担当している人たちのために山の上に置いておきます。それが絶対的に、出血的に重要な場合は、主要な出口に看板を掲示することを検討してください。
help userspriorizeize-典型的な種類のメッセージのニースコレクションを既にリストしました。これらのいくつかは、デッドデッドマストノウ・ア・ア・デッドラインです（つまり、私たちはあなたのコンピュータを更新しています、あなたが私たちがあなたに言うことをしないなら、それは実行可能なシステムに回復するのに3日かかります）、いくつかそれらに影響を及ぼさないかもしれないマイナーな変更です。大きなものについては、一生懸命打ってください。マイナーなものについては、影響を受けるグループに当てはまるかどうかを判断するためのツールを前もって提供します。つまり、視聴者にベースラインを提供するために、ユーザーとその定義方法を十分に理解する必要があります。
全体的に、ノイズとボリュームの比率に注意してください-毎日のメッセージは、どれほど意味のあるものであっても無視されます。ユーザーはセキュリティについてそれほど気にしません。大きな影響の変化をまとめ、優先度の低いFYIの項目を優先度の低いものとして表示する方法を見つけ、全体として、部門全体で公開する情報量に注意してください。
笑。
まず最初に、ユーザーは通常、すべてのメールを無視することを認識します。この問題を解決できると想像するのはやめてください。
確かに、あなたのメールをもっと多くのユーザーに読ませるためにできることがいくつかあります。
いいえ、HTMLメッセージは良くありません。調査によると、ユーザーはテキストメッセージとHTMLページにもっと注意を払っています。
メールが短いほど良いです。電子メールが長いほど、ユーザーはそれを無視する可能性が高くなります。または、ユーザーがそれを読んだ場合、ユーザーは最初の2つの文だけを読みます。新聞記事の逆ピラミッドを考えてみましょう。最も重要な部分は、最初の文、最初の段落、最初のセクションにあります。記事を下に行くほど、重要な情報は少なくなります。これは、記事を完成させる前に読者が退屈して保釈する可能性があるためです。
彼らに何をすべきかを言うのをやめなさい。 「すべてのアプリケーションを閉じてパッチを適用するためにログオフする」というのは愚かなメールです。より良い方法は、「パッチを適用するためにシステムが再起動されます。アプリケーションを開いていると、データが失われる可能性があります」です。
「メンテナンスは午後11時から午前6時に実施されます。サービスの中断が予想されます」などの不要なメールの送信を停止します。とにかく、99％のユーザーには当てはまらないので、なぜ1％のユーザーに当てはまることでみんなに迷惑をかけるのでしょうか。遅い時間に働いている人々は、混乱はとにかくメンテナンスが原因である可能性が高いことを知っています。
送信するメールが多いほど、無視される可能性が高くなります。送信する数はできるだけ少なくしてください。
たとえば、パッチをインストールする必要があることをユーザーに伝えることで、ユーザーのフィッシングを阻止します。このようなメールを合法的に送信すると、送信したメールと同じに見えるが、誤ったパッチを指し示すフィッシング攻撃の被害を受ける可能性が高くなります。
はい、FROMアドレスは重要です。はい、件名は重要です。あなたは彼らが件名を読んだと仮定することができます-そしてそれは通常彼らが読んだ唯一のものです。もちろん、電子メール全体を件名行に入れようとすると、OR MAKE IT ALL CAPS、それはおそらく無視されます。
観察：
一部のユーザーは、あなたのメッセージが重要であることを理解しているが、「後で残しておく」か、それは良い参照だと思うが、「何か悪いことが起こった」ときのために脇に置いているかもしれません（それは私たちの認識メッセージでよく起こります）。
私はまた、組織の内部に宛てられたすべてのメッセージが特定の公式のスタイルに従うべきであるという中間レベルのマネージャーの主張に直面しなければなりませんでした、それらを読み始めるすべてのユーザーに対して確実にオフにしてください。
だから、私の2つの提案：
あなたの聴衆について考えてください。彼らの興味を引くもの、彼らの注意を引くもの、彼らがあなたのメッセージを最もよく受け取る方法。結局のところ、彼らはあなたの同僚です。
重要なメッセージに集中してください。それらは、認識トレーニングまたは自動通知です。それらが本当に重要な場合は、それらを「魅力的」にするスタイルで作成します。
いくつかのヒント（主に認識メッセージに役立ちます）：
公式組織の専門用語を削除し、法律家を削除し、個人的なものにします。
ユーザーのように考えて、仮定の質問をして、「もしも」を考えさせるようにします。セキュリティトークをエキサイティングに！また、自分の個人データの安全性について少し心配させてはどうでしょうか。悪用されたシステムは、個人データおよび企業データを盗むために使用される可能性があります。追加ボーナス：彼らはレッスンを家に持ち帰ります。
メッセージを要約する（カラー）テキストボックスを使用します。彼らの目は彼らをそこに連れて行くでしょう。
組織における彼らの責任についてのヒントを残します。
ユーザーの操作が必要なことで成功した1つのトリックは、会議出席依頼を送信することです。トリックはいくつかの理由で機能します：
- 人々は会議出席依頼に応じる傾向があります。
- ユーザーのアクションが必要なイベントの前にリマインダーを作成できます。
- 実際に、予定されたダウンタイムなどを人のカレンダーに入れます。
私はそれが自滅するかもしれないのですべてのためにそれをするつもりはありませんが、十分に重要なもののためにそれは理にかなっています。
問題は、コンピュータについてあまり知らないユーザーは、理解できない電子メールについてはあまり気にしないということです。また、2番目のポイントとして、人々は頻繁に送信される同様の電子メールに慣れ、それらを読まないようになります。
あなたはそれに対して何かをすることができます...おそらくそれほど多くはありません。
メールにカテゴリとしてタイトルを付けることをお勧めします。カテゴリーごとにカラーコードを作ることをお勧めします。本文の最初に短いステートメントを書き、短いステートメントの直後に詳細な情報を書くことをお勧めします。
また、使用する単語に注意し、コンピュータの専門用語に慣れていない人もいることを理解してください。それらを使用しないようにするか、使用する場合は定義してください。
あなたがウイルスについて彼らに警告するとき、非技術者がどう思うかを考えてください？彼らは機械に獣がいると思っている...そして他には何もない。
彼らと教育的であれ。彼らが知っている言葉を使う。彼らが何をすべきかを明確にしなさい。
ウイルス警告メールの場合、メッセージの内容を変更するだけでなく、メッセージのFrom：ヘッダーがユーザーのラインマネージャーからのものであることを確認してください。その人もCCします。それはごまかしではありませんか？いいえ。ポリシーが確実に配布され、その後レポートが続くことを確認するのはラインマネージャの責任です。そのため、あなたは彼らに代わってメッセージを送信します。
ダウンタイムとメンテナンスの通知には、2つの要因があります。1つは、ユーザーによるメンテナンスの中断を回避することです。 2つ目は、ブロードキャストシステムまたは今日のメッセージシステムを介してユーザーに通知することを検討する必要があることです。これは、電子メールは適切な媒体ではないためです。
本当に言いたいことがある場合（「混乱を予期する」タイプの電子メールではない）、件名の受信者名。はい、これはスパマーが通常行うことです。
リチャードのような件名、見てくださいすぐに注意を払い、約10秒で 問題を簡潔に表現します （つまり、変更されたポリシー、ソフトウェアの更新などについて説明します）。
決してこれを任意の自動生成メッセージに使用してください。
そして、すべてのコンピュータで差出人アドレスがホワイトリストに登録されていることを確認します。
組織の階層に応じて、いくつかのことが非常に効果的であることがわかりました。
他のユーザーのマネージャーまたはスーパーバイザーにメールを送り、彼らが短い「 "あなたの仕事が必要な場合はこれを読んでください"」と一緒に転送します（通常は大雑把ではありませんが、要点はわかります）。ユーザーの70％が、送信された重要な掲示を読み込もうとしています。
次に、注意を引く件名を使用します。以下にいくつかの例を示し、技術面について簡単に説明します。
Subj：悪いニュースの電子メールには、悪いニュースと見なす可能性のある性質が含まれますが、ユーザーは気付かないかもしれませんが、「何をして報酬を得ているか」を理解するのに苦労している個人が少ない場合に備えて、「何をすべきか」を文書化する必要があります。 「自分たちの目で、私たちが「彼らに警告した」どんな問題にも挑戦します
Subj：コンプライアンスの問題またはコンプライアンスの監査人々はメッセージの本文を読まないため、通常は電話が鳴りますが、それは通常、暗号化サービスの更新に沿ったものですが、私の件名がそうだとすると、それまでは無視されます適時の支払いがないため、サービスは停止されます。その後、追加の報酬/残業なしで通常の営業時間外に仕事をしなければなりません。
Subj：緊急！ （Xの問題）これを使用する場合、これは最後の手段です。たとえば緊急！クライアントシステムは、ライセンスが更新されるまで停止します。 （おそらく、私の会社はすべてを最後の2番目に支払うのが好きだと言うことができます。もちろん、仕事を私に任せて「修正」します私たちのシステムで作業できないオフィス？！ダウン/壊れています」と私が答えるのは、あなたが主張するほど緊急である場合は、状況を回避するために期限内に更新料を支払うことです。これが発生したら（6〜12か月ごとに）ライセンスを再購入するためのクレジットカードを持っています。
Subj：システムダウンこれを使用して、特定のシステムがメンテナンスまたは更新/アップグレードのために特定の時間ダウンするようにスケジュールされることを通知します。
最後に、私は最初にこれはあなたが必要以上に電子メールを送信しないことであり、写真が注目を集めているようだと言ったはずです（電子メールクライアントがそれらを表示するように構成されている場合）。質問に答えない限り、私はほとんどの管理職に週に数回だけメールを送るので、私のメールは、以前使用していた他の管理者よりも重要度が高くなっています。残念ながら、何かが壊れていない限り、誰かがあなたの地面がかなりしっかりしていると通知されたという証拠を文書化している限り、ほとんどのユーザーはまだ読んでいません。私はいつも「最初に彼らがあなたが言っていることを理解していない場合、あなたの期待を低くしなさい」と言います。 ;-)
[〜＃〜] rare [〜＃〜]の場合本当にユーザーの注意および/または応答が必要な場合、ここに多くの優れた答えがあります。 、多くの電子メールクライアント（Outlookなど）では、送信者がリマインダーの日付/時刻を指定できるため、クライアントは実際にリマインダーメッセージボックスをポップアップします。
非常に煩わしいので、控えめに使用してください。必要な場合は非常に役立ちます。 （それを使いすぎると、上書き/無視されます）。
実際にメールだけで物事を成し遂げる唯一の方法：
- 件名で必要なアクション
- 彼らがそれを読んだり、要求されたアクションを実行したことを示す何らかの方法。
- そうでない場合はマネージャーにエスカレーションします。
- それでも変わらない場合は、マネージャーのマネージャーにエスカレーションします。
電子メールで何をしても、かなりの割合で開封することはできないからです。