Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第7部 7-10

社員のセキュリティ教育と標的型メール訓練のやり方｜年間計画と測り方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 社員教育や標的型メール訓練を始めたいとき
  • 取引先のチェックシートで「従業員への教育を年1回以上実施していますか」と聞かれたとき
  • 訓練をしてみたが、開封率の数字だけで終わっているとき

読み終えたあと、社内でこう言えます

「社員教育と訓練メールの年間計画を、測り方まで決めました」

結論：セキュリティ教育とは、社員が危ない場面に気づき、決めた行動をとれるようにする継続的な取り組みです。中身は「入社時・年1回・月1回の短い話題」の3段で組むと、小さな会社でも続きます。標的型メール訓練は、ひっかかった人を探すためではなく、「怪しいと思ったらすぐ報告する」流れを練習するために行います。効果は開封率だけでなく、報告した人の割合と報告までの時間で測ります。訓練の結果で個人を責めないことが、報告を増やすいちばんの近道です。

セキュリティ教育は入社時・年1回・月1回の3段で組み、標的型メール訓練は報告率と報告までの時間で効果を測る

意識づけ・訓練・教育の違いは？

「教育」とひとまとめに呼ばれがちですが、目的が違う3つの層があります。米国国立標準技術研究所（NIST）の SP 800-50 Rev.1（2024年9月）は、意識づけ（awareness）、訓練（training）、教育（education）を組み合わせた学習の仕組みを作るよう求めています。

層ねらい中小企業での例
意識づけ危ないものに気づく。全員が対象朝礼での1分の話題、ポスター、社内チャットでの注意喚起
訓練決めた行動を体で覚える標的型メール訓練、パスワードの再設定の手順を実際にやってみる
教育（役割別）役割に必要な知識を深める経理に振込先変更の確認手順、管理者にアカウント管理とログの見方

同じ文書は、特別な権限を持つ人（システム管理者など）には、役割に合わせた訓練（role-based training）を別に行うよう書いています。全員向けの研修だけでは、管理者や経理のような狙われやすい役割の人に必要なことが足りません。

年間の教育計画はどう立てる？

年に1回だけ長い研修をしても、半年たつと忘れます。短い回数を重ねるほうが効きます。次の5つを年間の予定に入れると、抜けがなくなります。

  1. 入社時：社内ルール（持ち出し、パスワード、私物の機器）と報告先を説明し、誓約書をもらう。派遣社員や委託先の常駐者も対象にする。
  2. 年1回・全員：30〜60分の研修。直近の手口と、自社のルールの変更点を伝える。受講記録を残す。
  3. 月1回・短い話題：5分で読める注意喚起。実際に届いた怪しいメール（個人名は伏せる）を教材にすると身近になる。
  4. 役割別：経理・総務・管理者など、狙われやすい役割に年1回、専用の内容を行う。
  5. 訓練：標的型メール訓練を年1〜2回。結果を全員に返し、次の月の話題につなげる。

たとえば社員30人の卸売業では（架空の例）

総務の1人がセキュリティを兼務している、社員30人の卸売業を考えます。かけられる時間は月に数時間です。この会社なら、年間の予定は次のようになります。

時期内容手間
4月新入社員の入社時説明。全員研修（無料の映像教材＋自社ルールの説明）準備3時間
毎月社内チャットで5分の注意喚起を1本月30分
7月経理2人に、振込先変更の確認手順を確認する短い勉強会1時間
10月標的型メール訓練。翌月に結果と見分け方を共有準備半日
3月受講記録と訓練結果をまとめ、翌年の計画を直す2時間

年間計画を見直す流れは、PDCAで規程を見直すの節と同じ考え方です。教育の記録は、取引先のチェックシートに答えるときの根拠にもなります。

標的型メール訓練はどうやって進める？

標的型メール訓練とは、業務に見せかけた訓練用のメールを社員に送り、気づいて報告できるかを確かめる練習です。手口そのものは標的型攻撃の節で扱っています。ここでは、訓練を「会社の仕組み」として進める順番を示します。

  1. 目的を決める：「報告の流れを確かめる」など、何を見るかを先に決めます。ひっかかった人の名前を出すことは目的にしません。
  2. 報告先を用意する：「怪しいメールはここへ転送」という窓口や、メールソフトの報告ボタンを先に整えます。報告先がないまま訓練をしても、練習になりません。
  3. 社内で合意を取る：社長と、人事・労務の担当に内容を確認します。NISTの文書は、実在の会社名や団体名を訓練メールに使わないよう、法務も交えて設計するよう勧めています。
  4. 予告する：日時は伏せても、「今年は訓練を行う」「結果は学習に使う」ことは全員に伝えます。
  5. 送って記録する：開いた人の数に加え、報告した人の数と、報告までにかかった時間を記録します。
  6. 結果を返す：全員に結果と見分け方を共有し、早く報告した人を名前を出さずにほめます。

訓練メールの配信は、市販の訓練サービスを使う方法と、自社で用意する方法があります。どちらでも、本物の攻撃と区別できるように運用担当が記録を残すことが大事です。訓練中に本物の攻撃メールが届くこともあるためです。

ひっかかった人を責めないのはなぜ？

英国の国家サイバーセキュリティセンター（NCSC）の指針は、怪しいメールを見抜けない人を叱らないよう勧めています。仕事を失うことを恐れる人は、間違いを報告しなくなるからです。NIST SP 800-50 Rev.1も、訓練は罰を与える場にせず、誰かを名指ししないよう書いています。実際の事故では、開いてしまった人が5分後に報告してくれるかどうかで被害の広がりが変わります。開いてしまった後の動き方はフィッシングのリンクを開いてしまったときにまとめています。

訓練の効果は何で測る？開封率より報告率

総務省が国の行政機関を対象に行った調査（2020年11月）では、訓練をしていた21府省庁の多くが開封率やクリック率を注視していました。一方、受信後に必要な報告をしたかまで訓練に含めていたのは約4割でした。開封率は文面の出来で大きく変わるため、年ごとの比較には向きません。

指標分かること使い方の注意
開封率・クリック率どれだけ気づけなかったか文面の難しさで上下する。単独で評価しない
報告率決めた行動がとれたか開いた人の報告も数える。いちばん大事な指標
報告までの時間全員に注意を出せる速さ最初の報告が何分後かを記録する
研修の受講率教育が届いているか派遣社員・役員も分母に入れる
確認テストの正答率内容が理解されたか同じ問題を毎年使い回さない

NCSCの指針も、何人がクリックしたかより、何人が報告したかに注目するよう例を挙げています。社長への報告では「報告率が前回より何ポイント上がったか」を中心に書くと、取り組みの成果が伝わります。

無料で使える教材はある？

教材を一から作る必要はありません。情報処理推進機構（IPA）が中小企業向けの教材を公開しています。自社のルールの説明だけを足せば、研修の形になります。

教材向いている使い方
映像で知る情報セキュリティ年1回の全員研修。標的型攻撃メールや内部不正（「今、そこにある脅威」2024年3月公開、約18分）など、10〜20分の作品が多い。YouTubeのIPA Channelで再生して社内研修に使え、事前申請は不要とされています
5分でできる！情報セキュリティポイント学習月1回の短い話題。1テーマ5分で、経営者・管理者向け、従業員向けなどのコースがある。無料のPDF版で提供（オンライン版は2024年7月に公開停止）
中小企業の情報セキュリティ対策ガイドライン 付録4「情報セキュリティハンドブック（ひな形）」入社時の説明資料。自社のルールに書き換えて配る
5分でできる！情報セキュリティ自社診断研修の前後に全員で答え、理解度と手薄な所を見る

自社診断を毎月の点検に使う方法は月1回のセルフチェックで説明しています。内部不正の映像は、内部不正を防ぐ仕組みの教育にも使えます。

チェックシートではこう聞かれる

よくある設問答え方の例
全従業員に情報セキュリティ教育を定期的に実施していますか。はい。入社時と年1回、派遣社員を含む全員に研修を行い、受講記録を保管しています。
標的型攻撃メールへの訓練を実施していますか。はい。年1回訓練を行い、報告率と報告までの時間を記録して、翌月に全員へ結果を共有しています。
不審なメールを受け取った際の報告手順は定められていますか。はい。転送先の窓口を決め、入社時の説明と社内ポータルで周知しています。
委託先の作業者にも教育を求めていますか。いいえ。現在は契約で秘密保持のみ求めています。〇月までに、常駐者には自社研修の受講を求める予定です。

「定期的に」と聞かれたら、頻度・対象・記録の3つを書くと根拠になります。書き方はチェックシートの回答の書き方を参考にしてください。

試験ではここが問われる

SG・SPREAD・支援士・Security+ 5・CISSP 1

  • 人的セキュリティ対策：教育・訓練・誓約書は人的対策の代表。技術的対策だけでは防げないソーシャルエンジニアリングへの備えとして出ます。
  • 意識づけ・訓練・教育の区別：awareness は全員が気づくこと、training は技能を身につけること、education は役割に応じて理解を深めること。CISSPでは英語のまま問われます。
  • 訓練の評価：開封率だけでなく報告率・報告時間を見る。結果は罰ではなく、次の教育に生かす。
  • Security+の範囲：フィッシングの模擬訓練（phishing campaigns）、不審な行動の見分け方、報告と監視が、意識づけの実践として並びます。
  • 継続：教育は一度で終わらず、内容を定期的に見直す。PDCAのA（改善）につなげる設問が出ます。

確認問題

問1 社員25人の設計事務所（架空）で、初めて標的型メール訓練を行いました。開封率は40%、報告した人は2人でした。社長への報告と次の一手として、最も適切なものはどれですか。

  1. ア 開封した人の名前を社内に公表し、注意を促す
  2. イ 開封率が高いので、メールの受信を全面的に制限する
  3. ウ 報告先と報告の手順を全員に周知し、次回は報告率と報告までの時間を主な指標にする
  4. エ 開封率が下がるまで、毎週同じ文面で訓練を繰り返す
答えと解説
正解：ウ　報告が少ないのは、報告先や手順が伝わっていない可能性があります。アは報告をためらわせ、逆効果です。イは業務を止め、エは文面に慣れるだけで、見分ける力や報告の流れは育ちません。

問2 「システム管理者に、権限の扱い方とログの見方を年1回学ばせる」取り組みは、次のどれに当たりますか。

  1. ア 全員向けの意識づけ
  2. イ 役割に応じた教育・訓練
  3. ウ 物理的セキュリティ対策
  4. エ リスクの移転
答えと解説
正解：イ　特定の役割に必要な知識を深めるのは、役割別の教育・訓練です。アは全員が対象の気づきの層です。ウは入退室管理などの対策、エは保険などでリスクを他者に移すことです。

問3 標的型メール訓練を企画するときの考え方として、最も適切なものはどれですか。

  1. ア 本物らしさを高めるため、実在する取引先の社名を許可なく使う
  2. イ 訓練を行うことは誰にも知らせず、結果は人事評価に使う
  3. ウ 報告の窓口を用意し、訓練を行うことと結果を学習に使うことを事前に伝える
  4. エ 開封率だけを記録し、報告の有無は記録しない
答えと解説
正解：ウ　報告先がなければ練習にならず、予告と学習目的の説明は信頼を保つために必要です。アは実在の会社に迷惑や問い合わせが及ぶおそれがあります。イは報告を減らし、エは大事な指標を落としています。

よくある質問

標的型メール訓練は、社員に予告してから行うべきですか？
実施する年や時期の大まかな予告はしておくのがよいでしょう。日時までは伏せても、「訓練を行うこと」「結果は学習に使い、個人を責めないこと」を先に伝えると、信頼を損なわずに続けられます。NISTの文書も、訓練を行うことを社員に伝えるよう勧めています。
セキュリティ教育は年に何回やればよいですか？
入社時と年1回の全員研修を最低限とし、月1回の短い注意喚起を足すのがおすすめです。年1回だけでは内容を忘れやすく、短い話題を重ねるほうが行動が変わりやすくなります。取引先の設問も「年1回以上」を基準にしていることが多いです。
無料の教材だけで教育していると言えますか？
はい、言えます。大事なのは教材の値段ではなく、対象・頻度・記録がそろっていることです。IPAの映像やポイント学習に、自社のルールと報告先の説明を足し、受講記録を残せば、チェックシートの根拠として十分に使えます。

この記事のまとめ

教育・訓練の設問は回答を任せて、確認だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートの「教育・訓練」の設問に、御社の実施状況に合わせた回答を作ってお返しします。まだ実施していない項目には、無理のない計画の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. NIST「SP 800-50 Rev. 1 Building a Cybersecurity and Privacy Learning Program」（2024年9月）
  2. NCSC（英国）「Phishing attacks: defending your organisation」（2018年2月公開、2024年2月見直し）
  3. 総務省「国の行政機関における情報セキュリティ対策に関する実態調査 ― 職員の情報セキュリティ教育の取組状況 ―」（2020年11月調査）
  4. IPA「映像で知る情報セキュリティ」作品一覧
  5. IPA「5分でできる！情報セキュリティポイント学習」
  6. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）
  7. IPA「中小企業の情報セキュリティ」（教材・ツールの案内）