標的型メール訓練の進め方は？開封率だけを見ない中小企業向けの手順

標的型メール訓練は、開封率で社員を比べるのをやめ、怪しいと思ったメールを報告できた率と、報告までの時間を指標にして進めます。開いてしまった後でもすぐ報告できれば、被害を抑える時間を作れるからです。

今日やることは、「怪しいメールはここへ」⁠の報告先を1つ決めることです。アドレスでもチャットでも内線でも構いません。報告先が決まっていない会社の訓練では、測るものがありません。

この記事は公開情報を整理したものです。私たちが各サービスを導入や検証したわけではありません。メールの守り全体はメールセキュリティのカテゴリから見られます。

なぜ開封率だけでは足りない？

開封率は、メールの難しさで大きく動きます。簡単な文面で下がっても、社員が強くなったとは言い切れません。米国NISTはPhish Scaleという評価の方法を2020年⁠に示し、数字だけでは全体が分からず、メールが対象者にとって見抜きやすいかどうかで、クリック率の高低を説明する必要があるとしています。

開封率だけを追うと、別の問題も起きます。英国NCSCのフィッシング対策の指針は、すべてのフィッシングメールを見抜くことはどの研修でも教えられないとし、開いた人を責めても効果がないと説明しています。職を失うことを恐れる社員は、ミスを報告しなくなるとも書いています。指標としては、クリック数に加えて報告した人数を重視するよう挙げています。

日本でも同じ方向の資料があります。

• IPAの事例紹介には、開封率だけでなく報告率も測り、報告が遅い傾向には原因を調べて個別に伝え直す会社の取り組みがあります。周知の言葉も「開封しない」ではなく「開封した場合は報告する」⁠で⁠す
• IPAの2026年8月の資料は、訓練では不審メールの報告を手順どおりに行うところまで演習するとしています。フィルタをすり抜けたメールを社員が報告することも、検知の一環としています
• 総務省の国の行政機関の調査（令和2年11月）⁠で⁠は⁠、21府省庁のうち、報告までを訓練に位置付けているのは約4割でした

何を測る？

計測する項目を、実施前に決めておきます。計算の式はこの形です。

部署の比較は慎重に行います。IPAの事例では、開封率が高くても報告率が高い部署と、開封率が低くても報告率が低い部署があり、後者にも適時の報告を周知しています。開封率だけなら後者が優秀に見えるところです。

人数の少ない会社では、割合が1人⁠で大きく動きます。10人⁠の部署で1人⁠の差は10ポイントです。数字を人事評価につなげず、窓口の改善に使います。

どう進める？

1. 目的を1つに絞る

IPAの訓練の留意点（2017年）⁠は⁠、目的を決めてから内容を決めるよう求め、例として不審メールへの耐性の計測、報告までの時間の計測、担当部署の対応の問題の洗い出しを挙げています。

初回は「報告先を知っていて、実際に報告できるか⁠」⁠に絞ると、準備が簡単になります。

2. 報告と初動の手順を先に作る

IPAの2026年8月⁠の資料は、報告先と報告の書式を定めるよう求めています。書式の項目は、受信日時、送信元、URLや添付の有無、クリックや開封の有無です。添付を開いた場合はパソコンをネットワークから切断する、など初動も定めます。

報告は30秒⁠で済む形にします。NCSCも、報告の手順が明確で簡単で速いか、報告した人へすぐに返事をしているかを問うています。製造業なら、たとえば工場で共有パソコンのメールを見る人がいる場合を考えます。メールの転送だけでなく、内線や班長への声かけでも報告に数えるなど、現場の動きに合わせます。

報告を受ける担当者も兼任のはずです。不在の時の代わりと、見て何をするかを1枚⁠に書きます。

3. 人事と経営者に先に話す

NCSCは、開いたことを罰すると、わなにかけるのに近くなるとして、実施前に人事部門と確認するよう書いています。社長から「開いても責めない。報告を評価する⁠」⁠と伝えてもらい、就業規則や評価と結びつけないことを確かめます。

4. 文面を決める

実在の組織の名前は使いません。IPAは、受信者が実在の組織へ問い合わせて相手の業務に影響したり、SNSで広がって風評被害が起きたりする懸念を挙げ、実在または酷似する組織名を使わないことが賢明としています。取引先や官公庁を名乗る文面も同じです。架空の社名とドメインで作ります。

難しさは段階を付けます。初回は見抜きやすいものにして、2回目以降で業務に近づけます。結果の差が社員の成長なのか、文面の差なのかを読めるように、回ごとの文面と難しさを記録します。

5. 送って、すぐ返す

報告してくれた人には当日中に返事をします。開いた人の画面には、責める言葉ではなく、見分けの点と報告の手順を出します。同時に多くの報告が届いても回せるよう、対応の手を空けておきます。

6. 結果を伝える

全社には、個人名を出さず、報告数と報告までの時間、良かった報告の例を伝えます。「報告が1通目でも来れば、全員を守る動きが取れる」⁠と⁠い⁠う話が社員には伝わりやすいでしょう。

年間ではどう組む？

回数の基準は確かめられませんでした。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、意識向上の教育を定期的に行い、記録を保管し、結果を踏まえて改善するよう求めていますが、頻度は各社で定める形です。次は私たちが考える兼任の担当者向けの一例です。

予告なしは驚きが残るので、初回の後に「今年度中にまた行う」⁠とだけ伝えておく方法もあります。

訓練で足りないものは？

訓練だけでは攻撃メールを防げません。IPAの情報セキュリティ10大脅威 2026⁠の組織編では「機密情報を狙った標的型攻撃」⁠が5位⁠、「ビジネスメール詐欺」⁠が10位です。解説書にあるとおり、順位は危険度を表すものではないので、どちらも対策の対象として考えます。

NCSCも、訓練に頼りすぎず、受信前の対策や、開いても被害が広がりにくくする対策と重ねるよう示しています。受信の製品はメールセキュリティの比較で、自社の名前を騙られにくくする設定はDMARCの設定とDKIMの設定⁠で確かめられます。パスワード付きZIPが普通に届く職場では偽物も紛れやすいので、PPAPの替え方⁠も合わせて進めます。

サービスに頼むなら、見るのは次の点です。報告率と報告までの時間を測れるか、報告ボタンがあるか、訓練後の教材を選べるか、実在の社名を使わない文面にできるかを聞きます。比較は標的型メール訓練サービスの比較と、日常の研修を含むセキュリティ教育サービスの比較で見られます。