標的型メール訓練は自作できる？委託と比べた手間と費用の違いを整理

標的型メール訓練は自作できます。ただ、手間の中心は文面ではなく、配信の設定と集計、報告の受け付けにあります。

今日やることは2つです。訓練の目的を1つ⁠に絞ることと、社内のメールの管理者が配信の除外設定を行えるかを確かめることです。後者ができなければ、訓練メールが社員に届かないおそれがあり、自作の判断を変えることになります。

訓練は何のためにする？

開封率を下げることだけが目的ではありません。IPAの解説（2017年）⁠は⁠、目的の例を3つ⁠に整理しています。

• 組織の耐性を測る：ばらまき型に似せたメールの開封率を見る
• 対処の速さを測る：開封後に担当部門へ報告が届くまでの時間を見る
• 対応の問題を洗い出す：報告が多数来たときの作業の流れを確かめる

目的によって、作るものが変わります。開封率を測るだけなら、自作でも手が届きやすいです。報告が届くまでの時間を測るなら、報告先と記録の方法まで用意します。IPAの情報セキュリティ10大脅威2026でも、組織の脅威として機密情報を狙った標的型攻撃が5位⁠、ビジネスメール詐欺が10位⁠に入っています。訓練で確かめたいのは、見破る力だけでなく、開いたあとに社内で動けるかどうかでもあります。

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版も、インシデント対応の教育と訓練を行い、実施状況を記録して定期的に内容を見直すよう求めています。1回⁠で終わらず、記録を残して続けることが前提です。

自作に必要な作業は何？

手間を見積もる材料として、訓練サービスのサギトレの料金ページには、100名⁠の会社の例で合計12時間という内訳が出ています。企画と設定が2時間⁠、メール作成が3時間⁠、配信準備と実施が2時間⁠、集計が3時間⁠、レポート作成が2時間です。これは売り手の試算なので、そのまま自社の数字にはなりません。ただ、文面作りは全体の4分⁠の1で、残りが準備と後処理という配分は見積もりの参考になります。

自作で気をつける点は？

実在の組織名を使わない

もっとも大きな落とし穴です。IPAの解説は、実在または酷似する組織やドメインを使うと、受信者がその組織へ問い合わせて相手が事実確認に追われることや、SNSへの投稿で風評被害が起きることを挙げています。場合によっては訴訟に発展する可能性もあるとして、そうした訓練は実施しないよう呼びかけています。独立行政法人を名乗ると、通則法違反で罰則の対象になる可能性にも触れています。

取引先の社名を使うと臨場感は出ますが、同じ理由で避けます。自作の担当者が文面を考えると、ここを踏みやすいです。

配信の除外設定を確かめる

訓練メールは、攻撃に似せたものなのでフィルターで止まることがあります。止まれば結果が測れません。Microsoft 365には、Microsoft以外のフィッシングシミュレーションを扱う高度な配信ポリシーという設定があります。送信元のドメインとIPアドレスを、少なくとも1つずつ登録します。

Google Workspaceでも、訓練サービス各社が管理コンソール側の許可設定の手順を出しています。Trend Microの手順書⁠は2023年11月時点の内容と明記したうえで、訓練の期間中だけ有効にするよう勧めています。除外は、守りの設定を一部ゆるめる作業です。期間と範囲を決め、終わったら元に戻します。

報告先と、開いた人への対応を先に決める

メールを開いた人を責める形にすると、次から報告が来なくなるおそれがあります。IPAの解説も、対処や報告ルートが適切でなかった受信者へのフォローを検討するよう書いています。報告を受ける窓口と、訓練だと伝えるタイミングは配信前に決めます。

費用はどれくらい違う？

委託やサービスの価格は公開されているものがあります。2026年11月⁠に確認した例です。

50名⁠で計算すると、dmtは月額150円×50×12か月⁠で年9万円です。サギトレは月額5万円（税抜）⁠で⁠、最低利用の6か月なら30万円（税抜）⁠で⁠す⁠。サービスごとに含まれる内容が違うので、金額だけでは比べられません。業務委託型は見積もりが中心で、各社の範囲を確かめる必要があります。

自作の費用は、担当者の時間に置き換えて計算します。先の12時間⁠に自社の時間単価と年間の回数を掛けます。ここに除外設定を行う管理者の時間と、送信の仕組みの費用を足すと、サービスの年額と比べられます。少人数かつ年1回なら、自作の方が安く収まることがあります。回数が増えるほど、人の時間の差が開きます。

どちらなら続けられる？

判断の軸は金額よりも「同じ担当者が来年も回せるか」⁠で⁠す⁠。

自作を選ぶなら、手順を文書に残します。担当者が異動すると止まりやすいのが、自作の最大の弱点だからです。

たとえば、工場の現場に共用のメールアドレスがある製造業の場合です。共用アドレスでは誰が開いたかが分かりません。どの方式でも、対象者のリストを整えるところから始まります。最初は、取引先とのやり取りが多い営業、購買、経理に絞ると、準備の負担を抑えられます。全社配信は仕組みが固まってからで間に合います。

訓練だけで防げるとは考えないほうが安全です。届くメールを止める設定と組み合わせて考えます。標準機能の範囲はメールセキュリティ製品の比較の見方⁠にまとめました。訓練は教育の一部なので、セキュリティ教育サービスの比較でeラーニングと合わせて見ると、配信の手間と教育の範囲を一度に確かめられます。訓練サービスの違いは標的型メール訓練サービスの比較に、メールの対策全体はメールのセキュリティ対策⁠とメールセキュリティ製品の比較にあります。