初めての標的型メール訓練の進め方：最初の1回で決めることと小さな始め方

なぜ「初めての1回」でつまずくのか

標的型メール訓練とは、攻撃メールに似せた訓練用のメールを社員に送り、開いてしまうか、正しく報告できるかを確かめる取り組みです。取引先からの要請や、ISMS・Pマークの審査をきっかけに、初めて実施を検討する会社もあります。

ところが、初めての訓練は次のような理由で止まりがちです。

• 何を確かめたいかが決まっていない：「とりあえずやってみる」で始めると、結果を見ても次に何をすればよいかがわからない
• 一度に全部やろうとする：全社員に、難しい文面で、報告の仕組みも教育も同時に整えようとして、準備が終わらない
• 社内の誰に伝えるかで迷う：黙って送ると混乱しそうで、全員に知らせると訓練にならない気がする
• 結果が怖い：開いた人が多かったら、担当者や部署が責められるのではと心配になる

IPAは、2017年の注意喚起で、訓練は実施目的を明確にして内容を決めるよう呼びかけています。開封率を下げることだけでなく、受信者が適切に対処できるか、有事に体制が機能するかを確かめることも重要な目的だとしています。最初の1回でつまずかないためには、この「目的」を先に決めることが出発点になります。

放っておくと困ること

「準備が整ってから」と先送りしているあいだにも、攻撃メールは届きます。訓練を始めないままだと、次のような状態が続きます。

• 社員が報告の手順を知らない：不審なメールが届いても、誰に知らせればよいかわからない
• 自社の弱いところがわからない：どの部署で、どんな文面にだまされやすいかが見えない
• 実施の記録がない：IPAの「中小企業の情報セキュリティ対策ガイドライン」は、全役職員に意識向上の教育を定期的に行い、実施記録を保管し、理解度と受講状況の評価結果を踏まえて改善することを勧めています。1回目を実施しない限り、記録も改善も始まりません

対策とサービスの選び方

最初の1回で決めること

準備の前に、次の4つを1枚のメモにまとめます。全体の手順は「標的型メール訓練のやり方」で解説しています。

決めること	例
目的（確かめたい行動）	不審なメールを開かずに、決めた窓口へ報告できるか
対象者	まずは1〜2部署、または管理職だけ
見る数字	開封した人の割合と、報告した人の割合の2つ
終わったあとにやること	全員への種明かし、短い教育、次回の日程

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、標的型メール訓練では、不審メール受信の報告を手順に従って行うところまでを演習するよう勧めています。初めての訓練でも、「開かなかったか」だけでなく「報告できたか」を目的に入れておくと、結果を次の対策につなげやすくなります。

小さく始める

1回目は、うまくいかない点を見つけるための「試しの回」と考えます。

• 対象を絞る：協力的な部署や管理職から始めると、問い合わせへの対応も落ち着いてできる
• 文面は1種類：宅配の不在通知や社内の手続きの案内など、よくある型を1つ選ぶ。型の考え方は「訓練メールの文例・件名の作り方」を参考にしてください
• 実在の会社名は使わない：IPAは、実在の組織名や似たドメインを使った訓練は、その組織に問い合わせが入るなど第三者の業務に影響するおそれがあるとして、実施しないことが賢明だとしています
• 先に自分あてに送る：自分や少人数あてにテスト配信し、迷惑メールに振り分けられないか確かめる

誰に、どこまで伝えるか

予告するか抜き打ちにするかは、目的によって決めます。どちらの場合でも、次の人たちには事前に伝えておきましょう。

• 経営層：実施の目的と日程を伝え、「結果で個人を責めない」方針に同意してもらう
• 問い合わせを受けそうな部署：総務・人事・経理など、不審なメールの相談が集まりやすい部署
• メールの管理を委託している会社：訓練メールを止める設定がある場合は、許可の登録を頼む

社員全体への伝え方は「訓練は予告する？抜き打ちにする？」で解説しています。初めてなら、「近いうちに訓練を行う」「不審なメールは〇〇へ報告してほしい」とだけ伝える方法もあります。報告先を案内すること自体が、訓練の一部になります。

結果の受け止め方

1回目の結果は、良くても悪くても「これからの基準」です。

• 開封した人が多くても、失敗ではありません。弱いところが見つかった、と受け止めます
• 報告した人の数を、開封した人の数より先に伝えます
• 他社の数字と比べず、次回の自社の結果と比べます。数字の見方は「訓練の結果の見方」を参考にしてください

サービスの選び方

初めての会社は、「自分たちで何をするか」を基準に運用の形を選ぶと迷いにくくなります。

• ツール型：管理画面で自社が配信・集計を行う。費用を抑えやすいが、設定や集計に慣れが必要
• 配信代行型：提供元が配信や集計、報告書づくりを行う。初回の設定を相談しながら進めやすい

料金体系は、送った通数で決まるもの、利用者の人数で決まるもの、年間の定額などがあります。1回目を小さく試してから全社に広げる予定なら、「少ない人数・回数から始められるか」を確認しましょう。費用の考え方は課金方式別の費用の試算、各サービスの違いは比較表で確認できます。

こんな場合は早めに検討

• 取引先から、セキュリティ教育や訓練の実施状況を聞かれた
• ISMSやPマークの審査で、教育の記録を求められる予定がある
• 不審なメールを開いてしまったという相談が、最近あった
• 不審なメールの報告先が、社内で決まっていない

どれか1つでも当てはまるなら、全社での実施を待たずに、対象を絞った1回目を先に行うことを検討してください。

よくある疑問

Q. 最初から全社員を対象にしたほうがよいですか？

A. 決まりはありません。問い合わせへの対応や配信の設定に不安があるなら、1〜2部署で試してから広げるほうが、手順の問題を早く直せます。全社の傾向を早く知りたい場合は、最初から全員を対象にする方法もあります。

Q. 1回目の文面は、難しいものがよいですか？

A. 1回目は、よく届く型のやさしめの文面から始めるのがおすすめです。最初から見破りにくい文面にすると、社員の反発を招いたり、次回との比較がしにくくなったりします。

Q. 開封した人の名前は、上司に伝えるべきですか？

A. 名指しで伝えると、次から報告をためらう原因になります。部署ごとの割合で伝え、個人には教育の案内だけを送る方法があります。訓練後のフォローは「種明かしと訓練後の教育」を参考にしてください。

Q. 1回やったら、次はいつ行えばよいですか？

A. 1回目の振り返りの場で、次回の月を決めてしまいましょう。回数の考え方は「訓練の頻度」で解説しています。

まとめ

• 初めての訓練は、目的・対象者・見る数字・終わったあとにやることの4つを先に決めましょう
• IPAも、目的を明確にすることと、報告の手順まで演習することを勧めています
• 1回目は対象と文面を絞った「試しの回」とし、実在の会社名は使いません
• 結果は自社の基準として受け止め、報告した人の数を先に伝えて、次回の日程を決めましょう