標的型メール訓練を自社でやる手順｜目的・告知・結果の扱いとやってはいけないこと

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

担当者のあなたにとって

訓練は、担当者が一人で抱えると「社員をだました人」に見られがちです。先に決めごとを文書にしておくと、判断を会社の決定として示せます。

年間の教育計画の中で訓練をどう位置づけるかは、社員教育と標的型メール訓練の年間計画にまとめています。この記事は、1回の訓練を自社で回す手順に絞ります。

訓練の目的を1つに決める

最初に「この訓練で何を確かめるか」を1つに決めます。情報処理推進機構（IPA）は2017年7月の注意喚起で、訓練は実施目的を明確にするよう求めています。目的によって、測る数字も対象者も変わるためです。下の3つは、同じ注意喚起が挙げる例です。

初めての会社には、2つ目の「報告までの時間」をおすすめします。IPAが2026年8月に公開した資料も、訓練は報告を手順どおりに行うところまで演習するよう書いています。開封の割合だけを見ると、文面の難しさで数字が上下するためです。

対象者は、初回なら役員と派遣社員を含む全員にすると、報告の流れの抜けが見つかります。

告知するかどうかを決める

告知には「訓練をすること」と「いつ送るか」の2段階があります。米国国立標準技術研究所（NIST）のSP 800-50 Rev.1（2024年9月）を見てみます。訓練を行うことと、結果を学習に使うことを社員に伝えるよう勧めています。

日時まで伏せても、事前に知らせておく人はいます。知らない人が本物の事故と思って動くと、業務が止まるためです。

英国の国家サイバーセキュリティセンター（NCSC）の指針は、訓練が法的なリスクを生むことがあると書いています。事前に人事と確かめるよう勧めています。日本の会社でも、就業規則や労務の扱いは人事・労務の担当に確かめてください。

実施の流れ：4週間前から翌月まで

初めての訓練は、準備に4週間ほど見ておくと落ち着いて進められます。おおまかな流れは次のとおりです。

1. 報告先を先に整える：窓口のアドレスか、メールソフトの報告ボタンを用意します。
2. 報告の書式を決める：IPAの2026年8月の資料は、書式に入れる項目を挙げています。下の図の4つです。
3. 届くかを確かめる：迷惑メール対策で止まることがあります。配信前にメールの管理者や保守会社と確かめます。

4. 中止の条件を決める：本物の攻撃や大きな障害が重なったら、訓練を止めて種明かしします。止める判断をする人も決めます。
5. 当日の問い合わせに備える：「これは訓練ですか」と聞かれても、いつもどおり報告するよう案内します。
6. 送って記録する：配信の時刻、最初の報告の時刻、報告の数を記録します。

訓練メールの作成と配信、集計は、外部のサービスに任せることもできます。

IPAの注意喚起も、セキュリティ企業のサービスで訓練を行う組織が増えていると触れています。外部に任せても、目的と結果の扱いを決めるのは自社です。

結果の扱い：開いた人を責めず、報告した人を評価する

NCSCの指針は、リンクを押した人を責めても効果はないとしています。仕事を失うことを恐れる人は、間違いを報告しなくなるからです。NISTの文書も、訓練は罰を与える場にせず、誰かを名指ししないよう書いています。

評価するのは「報告したこと」です。NCSCの指針は、何人が押したかと並べて、何人が報告したかに注目するよう勧めています。開いたあとに報告した人も、報告した人として数えます。

指標の選び方や、社長への報告の書き方は訓練の効果の測り方で扱っています。ここでは、結果を社内に返す順番だけを示します。

IPAの2017年の注意喚起は、開いた後の対処や報告ルートが適切でなかった人へのフォローも必要としています。個別に声をかけるときは、責める場ではなく、報告先の確認の場にします。

記録の残し方

記録は、次回の比較と、取引先のチェックシートへの回答の両方に使います。下のひな形を1回ごとに埋めて保管します。

■標的型メール訓練 実施記録
実施日：〇年〇月〇日（配信 〇時〇分）
承認者：（社長名）　担当：（担当者名）
目的：（例：最初の報告までの時間を確かめる）
対象：〇人（役員・派遣社員を含む／含まない）
告知：〇月〇日に全員へ予告（日時は伏せた）
訓練の型：ばらまき型を想定／標的型を想定
配信の方法：自社で配信／外部のサービス

■結果
配信数：〇通　届かなかった数：〇通
報告した人：〇人（うち開いた後の報告：〇人）
最初の報告：配信から〇分後
開いた・押した人：〇人（個人名は記録しない）
当日の問い合わせ：〇件

■気づいたこと・次回変えること
・
・
共有日：〇月〇日（全員へ）

個人名を残すかは、社内で先に決めておきます。フォローに使う場合も、閲覧できる人を担当者と承認者に絞ります。

訓練の難しさが毎回違うと、数字を並べても比べにくくなります。NISTは訓練メールの見抜きにくさを評価する方法（2023年11月）を公開しています。少なくとも「想定した型」は毎回記録しておきます。

やってはいけないこと

訓練は、やり方を誤ると社外に迷惑をかけ、社内の信頼も失います。公的な資料が注意している点を中心に並べます。

1. 実在の会社・団体・取引先の名前を使わない：IPAをかたる不審メールの相談の多くが、訓練メールだったとIPAは紹介しています。

2. 公的な組織を名乗らない：独立行政法人でない組織が独立行政法人を名乗ると、法律の罰則の対象になりえます。同じ注意喚起が注意している点です。
3. 結果で個人を罰しない：NCSCの指針は、自分で送ったメールで罰するのは「わな」に近いと書いています。

4. 報告先がないまま送らない：報告の練習ができず、開いた人の数を数えるだけになります。
5. 本物との区別を担当者任せにしない：訓練メールの送信元などの見分け方は、メールの管理者と承認者も持っておきます。

それでも開いてしまった本物のメールへの対応は、フィッシングのリンクを開いてしまったときにまとめています。手口そのものは標的型攻撃とはで扱っています。

よくある質問

この記事のまとめ

• 目的は1つに決め、初めてなら「最初の報告までの時間」を確かめる形にする。
• 訓練をすることと結果の使い道は全員に伝え、日時は伏せても関係者には先に伝える。
• 開いた人を責めず報告した人を評価し、実施記録を1回ごとに残す。実在の名前は使わない。

参考にした資料

1. IPA 安心相談窓口だより「組織における標的型攻撃メール訓練は実施目的を明確に」（2017年7月）
2. IPA セキュリティセンター「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）
3. NIST「SP 800-50 Rev. 1 Building a Cybersecurity and Privacy Learning Program」（2024年9月）
4. NCSC（英国）「Phishing attacks: defending your organisation」（2018年2月公開、2024年2月見直し）
5. NIST「TN 2276 NIST Phish Scale User Guide」（2023年11月）