変化に対応するには、適切な変更管理プロセスを導入し、徹底する必要があります。情報システム（IS）機能のアウトソーシングは、技術変化の速度とは直接関係がありません。一般的なIS部門の従業員は高度な資格と教育を受けており、通常は自分の仕事が危ういとは感じておらず、頻繁に転職する用意があります。ユーザー要件を満たすことは重要ですが、IS環境における技術変化の速度とは直接関係がありません。

IS監査担当者が最も懸念すべき点は、フィッシングシミュレーションテストに不合格となった職員に対するフォローアップ教育の不足です。フィッシングシミュレーションテストは、職員のフィッシング攻撃に対する認識レベルと脆弱性を評価し、セキュリティ行動を改善するためのフィードバックとトレーニングを提供することを目的としています。テストに不合格となった職員がフォローアップ教育を受けなければ、自らの過ちから学ぶことができず、実際のフィッシング攻撃の被害に遭い続ける可能性があり、組織のセキュリティが危険にさらされる恐れがあります。
その他の選択肢は、IS監査担当者にとってそれほど懸念事項ではない。
* テスト結果はスタッフに伝えられませんでした。スタッフは自身のパフォーマンスに関するフィードバックを受け、テスト結果から学ぶべきであるため、これは理想的ではありません。しかし、これは必ずしもスタッフがフィッシング攻撃を回避する方法に関するトレーニングや教育を受けていないことを意味するものではありません。
* スタッフには事前にテストについて通知されていませんでした。これはフィッシングシミュレーションテストでは一般的な手法であり、スタッフがいつフィッシングメールを受け取るか分からないという現実の状況を再現するものです。このテストの目的は、スタッフの準備状況やコンプライアンスではなく、自発的な反応と認識力を測定することです。
* テスト実施前にセキュリティ意識向上トレーニングは実施されませんでした。しかし、このテストは従業員の現在の意識レベルと脆弱性を測る基準値として機能し、テスト結果に基づいて個別のトレーニングや教育を提供する出発点となるため、これは大きな問題ではありません。