標的型メール訓練のやり方｜準備から報告までの12ステップと実施スケジュール
公開
全体スケジュール
初回は準備に4週間、実施後のフォローアップに2週間を見ておくと余裕があります。2回目以降は準備を2週間程度に短縮できます。
| 時期 | やること |
|---|---|
| 4週間前 | 目的と主指標の決定、実施体制の確認、人事・法務との調整 |
| 3週間前 | 対象者の決定、シナリオ設計、配信ツールの選定 |
| 2週間前 | 許可リスト設定、テスト配信、教育画面の用意 |
| 1週間前 | 報告窓口の周知、関係部署への実施予告（日時は伏せる） |
| 実施日 | 時間を分散して配信、リアルタイムで反応を監視 |
| 実施後3日 | 集計、部署別・役職別の分解 |
| 実施後2週間 | 全社向けフォローアップ、経営層への報告 |
準備フェーズ（ステップ1〜9）
ステップ1：目的を1つに絞る
「なぜやるのか」を先に決めます。目的によってシナリオも報告の出し方も変わるため、ここが曖昧だと結果を見ても次の手が決まりません。よくある目的は次の3つです。
- 現状把握：組織が今どの程度の状態にあるかを測る。初回はこれで構いません
- 報告フローの検証：整備した報告窓口が実際に機能するかを確かめる
- 認証対応：ISMSやPマークの審査で示す教育・訓練の実施記録をつくる
3つすべてを1回で狙うと設計が散らかります。初回は現状把握に絞るのが現実的です。
ステップ2：主指標を決める
何を「良い結果」とするかを事前に定義します。用語が組織内でばらつきやすいので、次の3つの定義を文書化してから始めてください。
| 指標 | 定義 | 扱い |
|---|---|---|
| 開封率 | 訓練メールを開いた人の割合 | 参考値。受信環境で数値がぶれる |
| クリック率 | リンクを踏んだ、または添付を開いた人の割合 | 改善トレンドを見る補助指標 |
| 報告率 | 不審メールとして窓口へ報告した人の割合 | 主指標。組織の検知能力そのもの |
主指標は報告率に置いてください。クリック率をゼロにすることは現実的でなく、実際の攻撃では1人でも踏めば侵入は成立します。誰かが気づいて報告できる状態のほうが、防御としては強くなります。
ステップ3：関係部署に根回しする
訓練は情報システム部門だけで完結しません。次の部署に事前共有しておかないと、当日に混乱が起きます。
| 共有先 | 伝えること | 共有しないと起きること |
|---|---|---|
| 情報システム部門 | 配信日時、送信元、許可リスト設定の依頼 | 訓練メールが迷惑メール判定され、届かない |
| SOC・監視ベンダー | 訓練であること、対象範囲 | 本物のインシデントとして緊急対応が発動する |
| 人事・法務 | 結果の取扱い、人事評価に用いるか | 実施後に労務上の問題が持ち上がる |
| 各部門長 | 実施方針。ただし日時は伝えない | 部門から反発が出て協力が得られない |
ステップ4：対象者を決める
初回は全社一斉が基本です。部署別に日をずらすと、実施済みの部署から口コミが広がり、後半の部署の数値が実態を反映しなくなります。全社で実施したうえで、結果を部署別・役職別に分解して見るほうが正確です。
経営層や管理職を対象から外す運用を見かけますが、攻撃者がもっとも狙うのはその層です。除外する合理的な理由はほとんどありません。
ステップ5：シナリオを設計する
難易度は次の4軸で調整します。初回は左寄りの条件から始めてください。
| 軸 | 初回向け | 2回目以降 |
|---|---|---|
| 送信元 | 無関係な外部ドメイン | 自社ドメインに似た文字列 → 取引先を装う |
| 文面 | やや不自然な日本語 | 自然な文面 → 自社の業務用語を含む |
| リンク | 明らかに怪しいURL | 短縮URL → 正規サービスに酷似 |
| 個別性 | 全員に同じ文面 | 部署別 → 氏名を差し込む |
賞与・昇給・健康診断・災害の安否確認をテーマにしたシナリオは使わないでください。数値は取れても、従業員との信頼関係を損ないます。
ステップ6：配信の方法を決める
実施方法は大きく3つあります。継続を前提にするならクラウド型サービスが現実的です。
| 方法 | 向いている場合 | 注意点 |
|---|---|---|
| クラウド型サービス | 年2回以上の継続実施 | 最低契約人数と期間を確認する |
| コンサル型・スポット委託 | 初回だけ外部の知見を借りたい | 1回あたりの費用は高め |
| 自社で内製 | 専任担当がいて対象人数が少ない | 設計・配信・集計の工数が毎回発生する |
ステップ7：許可リストを設定してテスト配信する
実務でもっとも詰まる工程です。訓練メールが迷惑メールフォルダに振り分けられると、届いていないのに「クリック率0%」という無意味な結果が出て、対策済みだと誤解したまま次へ進んでしまいます。
- Microsoft 365：テナント許可/ブロックリスト、またはメールフロールールで配信元を指定する
- Google Workspace：管理コンソールのスパム設定で送信元を許可リストに追加する
設定後は必ず自分宛と、部署の異なる数名宛にテスト配信し、受信トレイに届くことを確認してから本番に進んでください。フィルタ設定は部署やグループ単位で異なる場合があります。
ステップ8：クリック後の教育画面を用意する
訓練でもっとも学習効果が高い瞬間です。スクロールなしで読み切れる量にまとめ、次の要素で構成します。
- これが訓練であること
- このメールのどこに違和感があったか（送信元・リンク先・文面の3点程度）
- 次に同じメールを受け取ったらどうすべきか
- 報告窓口の連絡先
「あなたは引っかかりました」「不合格です」といった判定的な表現は使わないでください。「実際の攻撃だった場合、この時点で認証情報が盗まれていました」のように、行動の結果を事実として示すほうが伝わります。
ステップ9：報告窓口を整備して周知する
報告率を主指標に置くなら、報告する手段が整っていることが前提です。窓口が曖昧なまま訓練を実施すると、報告したい人が出せずに終わり、報告率が実態より低く出ます。
- 窓口は1つに絞る。専用のメールアドレスを1本用意するだけでも機能します
- 可能ならメーラーのアドインでワンクリック報告できる環境を整える
- 報告には必ず返信する運用を決めておく
実施フェーズ（ステップ10）
ステップ10：時間を分散して配信する
全員に同時刻へ送ると「今メール訓練をやっているらしい」という情報が社内に広がり、後から受け取った人の結果が実態を反映しなくなります。数時間から1日程度に分けて配信してください。配信ツールに分散送信の機能があれば活用します。
配信中は、報告窓口に届く報告をリアルタイムで確認します。想定より早く大量の報告が上がる場合は、シナリオが簡単すぎた可能性があります。逆に報告がまったく来ない場合は、メールが届いていない疑いがあるため、配信ログを確認してください。
月曜の朝や連休明けなど、受信トレイが混雑して注意力が落ちるタイミングは実際の攻撃者も狙います。訓練で再現する価値はありますが、決算期や繁忙期を避ける配慮とのバランスは組織ごとに判断してください。
分析・改善フェーズ（ステップ11〜12）
ステップ11：集計して分解する
全体の数値だけでは次の手が決まりません。次の切り口で分解してください。
| 切り口 | 読み取れること |
|---|---|
| 部署別 | 業務特性による差。請求書系のシナリオで経理部門の数値が高いのは自然 |
| 役職別 | 管理職層の状態。攻撃者が狙う層なので重点的に見る |
| クリックまでの時間 | 短いほど反射的に開いている。判断の余裕がない業務環境の可能性 |
| 報告までの時間 | 短いほど判断が習慣化している。回を追うごとの短縮が理想 |
| 報告したがクリックもした人 | クリック後に気づけた層。教育効果が出ている兆候 |
特定の部署だけクリック率が高い場合、その部署を責めても改善しません。業務特性を踏まえ、実際に起きうる攻撃を具体的に示し、確認手順を業務フローに組み込むほうが効果的です。
ステップ12：フォローアップして報告する
訓練の効果はここで決まります。省略すると、測定しただけの作業になります。
全社向け：訓練から1〜2週間以内に「今回のメールの見抜きどころ」を共有します。実際に使った訓練メールの画像に、注目すべき箇所を3点ほど囲んで示す形式が理解されやすいです。個人名は絶対に出しません。少人数の部署は個人が推測できてしまうため、部署別の数値を出す場合も一定規模以上でまとめてください。
報告した人向け：受け取った旨と判定結果を返します。訓練だった場合も「報告してくれて助かった」という趣旨を必ず添えてください。誤報を一度でも責めると、以降の報告は目に見えて減ります。
経営層向け：次の構成でまとめます。数値の羅列ではなく、判断材料になっていることが重要です。
| 項目 | 書く内容 |
|---|---|
| 実施概要 | 実施日、対象人数、シナリオの種類と難易度 |
| 結果サマリー | クリック率・報告率と前回比。1〜2行で総括 |
| 内訳 | 部署別・役職別の分解。個人名は載せない |
| 読み取れること | 数値から言える事実と、言えないことの線引き |
| 次のアクション | 実施主体・時期・必要な予算を明記した具体案 |
数値が悪化した場合も隠さず出してください。原因の仮説と対処案をセットで示せば、悪い数値は次の施策を通すための根拠になります。
実務で詰まりやすい5つの箇所
| 詰まりどころ | 対処 |
|---|---|
| 訓練メールが届かない | 許可リスト設定とテスト配信を必ず行う。部署ごとにフィルタ設定が違う場合があるため、複数部署でテストする |
| SOCから緊急連絡が来る | 実施予定を事前に共有する。共有漏れがあると対応工数が無駄に発生する |
| 報告がほとんど来ない | 窓口が周知されていないか、報告の手間が大きい。訓練前に窓口を1つに絞って周知する |
| 部門長から実施を止められる | 目的が評価ではないことを明文化して伝える。その部門の業務で起きうる攻撃を具体的に示すと納得を得やすい |
| 結果を人事評価に使うよう指示される | 報告率が下がるリスクを数値で説明する。使う方針を取るなら事前周知と就業規則との整合が必要 |
2回目以降の進め方
初回で組織の現在地がわかったら、2回目からは仮説を持って設計します。
- 難易度は1回につき1軸だけ動かす。同時に複数を上げると、どの要素が効いたか読み取れません
- シナリオは毎回変える。同じパターンを繰り返すと「この件名は訓練」という学習が起き、実際の攻撃には無防備なまま数値だけが良くなります
- 実施頻度は年2〜4回。間隔が空きすぎると前回の学習が薄れ、詰めすぎると業務負荷と慣れが問題になります
- 報告までの時間を追う。回を追うごとに短くなっていれば、判断が習慣化しています
よくある質問
準備にどれくらい時間がかかりますか？
初回は4週間、2回目以降は2週間程度が目安です。工数の大半は関係部署との調整と許可リスト設定に取られます。シナリオ作成そのものは、文例を流用すれば数時間で済みます。
事前に告知したほうがよいですか？
日時は伏せ、年間で訓練を実施する方針だけを周知する運用が一般的です。完全に伏せると発覚時の不信感が大きく、日時まで知らせると結果が実態を反映しません。
初回のクリック率が高くて報告しづらいです
現状を正確に把握できた成果として書いてください。そのうえで、数値が高かった部署とシナリオを特定し、次に打つ施策を具体的に併記します。数値だけを報告すると評価の話になり、改善の話になりません。
小規模な会社でも同じ手順で進められますか？
進められます。むしろ対象人数が少ないほうがフォローアップは行き届きます。関係部署との調整が簡単な分、準備期間も短縮できます。まず報告窓口の整備から始めてください。
訓練の結果はどのくらい保管すべきですか？
個人が特定できる記録を長期保存する必要はほとんどありません。集計後は個票を削除し、部署別の統計だけを残す運用が安全です。保管期間は訓練開始前に決めて文書化しておいてください。
まとめ
- 準備は4週間。工数の大半は関係部署との調整と許可リスト設定
- 主指標は報告率に置く。クリック率は補助指標
- 配信前のテスト配信は必須。届いていない結果は無意味
- 配信は時間を分散する。一斉送信は口コミで結果が歪む
- フォローアップまでやって初めて訓練になる
初回で完璧を目指す必要はありません。報告窓口を1つ整備し、初級のシナリオを1本配信して、見抜きどころを全社に共有する。ここまでできれば、初回としては十分な成果です。
あわせて読みたい
