グループ会社・海外拠点を含めた標的型メール訓練の進め方：言語・時差・個人情報・結果の比べ方

なぜグループ全体での訓練が必要になるのか

本社では毎年訓練をしているのに、グループ会社や海外拠点では一度も行っていない。こうした差があると、攻撃者にとっては、対策の弱いところから入り込む余地が残ります。

IPAの「情報セキュリティ10大脅威 2026 解説書［組織編］」は、ランサムウェアの事例として、拠点のネットワーク機器を経由してデータセンターに侵入され、国内のグループ各社の受注・出荷などの業務が止まった事例を紹介しています。また、「機密情報を狙った標的型攻撃」の対策の一つとして、海外拠点なども含めたセキュリティ対策の向上を挙げています。

一方で、グループ全体で訓練を行おうとすると、本社だけの訓練にはない難しさが出てきます。

• 言語が違う：日本語の文面では、現地の社員に届かない。翻訳しただけでは不自然になる
• 時差がある：本社の業務時間に一斉配信すると、深夜や休日に届く拠点がある
• メールの環境が違う：拠点ごとに使っているメールサービスや、迷惑メールを止める設定が違う
• 個人情報の扱いが違う：誰が開いたかという結果を、どこまで本社で集めてよいかが国や会社によって変わる
• 比べ方が難しい：文面も環境も違う拠点の数字を、そのまま並べてよいのか迷う

放っておくと困ること

• 弱いところが残る：訓練を受けていない拠点の社員は、不審なメールへの対応や報告の手順を知らないままになる
• 報告の流れがつながらない：拠点で不審なメールに気づいても、本社のセキュリティ担当まで情報が届かない
• あとから問題になる：結果の集め方を確かめずに始めると、個人情報の扱いについて拠点や現地の担当者から指摘を受けるおそれがある

対策とサービスの選び方

1. 本社と拠点の役割を決める

最初に、何を本社が決め、何を拠点に任せるかを分けます。

本社が決めること	拠点に任せること
訓練の目的、年間の実施時期、見る数字	配信の日時、現地の言葉での文面の調整
報告の窓口の考え方と、本社への連絡の流れ	現地の報告先（担当者、アドレス）の案内
結果のまとめ方（どの単位で集めるか）	現地の法令や社内規程の確認、社員への告知

各拠点に、訓練の窓口になる担当者を1人ずつ決めておくと、問い合わせや日程の調整が進めやすくなります。

2. 文面は「型」をそろえて、言葉は現地に合わせる

文面は、件名の型と本文の要素を本社でそろえ、言葉づかいは現地で調整します。

• 件名の型（請求の確認、アカウントの通知、社内の手続きなど）を共通にする
• 現地でよく使う業務の言い回しや、日付・金額の書き方に合わせる
• 機械翻訳だけで作らず、現地の担当者に自然な表現か確かめてもらう
• 実在の会社名は使わない。IPAは、実在の組織名を使った訓練は、その組織に問い合わせが入るなど第三者に影響するおそれがあるとして、実施しないことが賢明だとしています

型の考え方は「訓練メールの文例・件名の作り方」を参考にしてください。

3. 時差を考えて配信する

• 各拠点の業務時間の始めごろに届くように、拠点ごとに配信の時刻を分ける
• 現地の祝日や、決算・繁忙期を避ける
• 問い合わせが本社の夜間に集まらないよう、現地の担当者が答えられる時間帯にする

4. 拠点ごとのメール環境を確かめる

拠点によってメールサービスや受信の設定が違うと、訓練メールが届かなかったり、迷惑メールに入ったりします。

• 拠点ごとに、使っているメールサービスと、訓練メールを通す設定（許可リストなど）を担当者と確認する
• 本番の前に、各拠点の数人あてにテスト配信する
• 報告ボタンを使う場合は、拠点のメール環境で使えるかを確かめる

メール環境ごとの設定の考え方は「Microsoft 365で標的型メール訓練をするときのポイント」「Google Workspaceで標的型メール訓練をするときのポイント」で解説しています。

5. 個人情報の扱いを先に確かめる

訓練の結果には、「誰が、いつ開いたか、報告したか」という個人に結びついた情報が含まれます。グループの中でも、会社が違えば別の法人です。

個人情報保護委員会のガイドライン（外国にある第三者への提供編）は、日本の会社が、外国の法人格をもつ現地の子会社に個人データを提供する場合は「外国にある第三者」への提供に当たり、同じ法人の中の現地の事業所や支店への移動は当たらない、と説明しています。また、海外の拠点では、その国や地域の個人情報の法令も関わります。個人情報保護委員会は、諸外国・地域の個人情報保護制度についての情報も公開しています。

実施の前に、次の点を法務や個人情報の担当者、各拠点の担当者と確認してください。

• 結果を個人名つきで本社に集めるのか、拠点ごとの割合だけを集めるのか
• 社員の名簿（氏名・メールアドレス）を、誰がどのサービスに登録するのか
• 訓練サービスの提供元が、データをどこで保管するのか
• 社員への告知や、社内規程への記載が必要か

迷う場合は、本社には拠点ごとの割合だけを集め、個人名つきの結果は各拠点の中で扱う形にすると、確認すべき点を減らせます。

6. 結果は「同じ条件」で比べる

拠点ごとの数字は、文面の難しさや配信の時刻、予告の有無で大きく変わります。

• 拠点どうしを比べるなら、文面の型・予告の有無・集計の期間をそろえる
• 条件をそろえられないなら、拠点どうしではなく、各拠点の前回と比べる
• 開封した人の割合だけでなく、報告した人の割合も並べて見る

数字の見方は「訓練の結果の見方」を参考にしてください。

サービスの選び方

グループ全体で使うなら、次の点を確認しましょう。

• 日本語以外の文面や、受信者に見せる画面・教材の言語に対応しているか
• 拠点ごとに配信の時刻を分けられるか
• 拠点・会社ごとに結果を分けて集計し、管理者の権限も分けられるか
• データの保管場所や、個人情報の扱いについて説明を受けられるか
• 料金は、グループ全体の人数で数えるのか、会社ごとの契約になるのか

料金体系の考え方は課金方式別の費用の試算、各サービスの対応は比較表で確認できます。

こんな場合は早めに検討

• 本社では訓練をしているが、グループ会社や海外拠点では行っていない
• 拠点で不審なメールに気づいても、本社に連絡が来る流れがない
• 取引先や親会社から、グループ全体の教育の状況を聞かれている
• 拠点ごとに別々のサービスや方法で訓練していて、結果をまとめられない

よくある疑問

Q. すべての拠点で同じ日に実施しないといけませんか？

A. 同じ日である必要はありません。同じ月の中で、各拠点の業務時間に合わせて配信すれば、結果もまとめやすくなります。

Q. 海外拠点の文面は、英語だけでよいですか？

A. 現地の社員がふだん業務で使う言語に合わせるのがおすすめです。英語が業務の言語であれば英語でよく、そうでなければ現地の言語も用意しましょう。

Q. 小さな拠点は、本社の訓練にまとめてもよいですか？

A. 同じ法人の中の支店・事業所であれば、本社の訓練にまとめやすくなります。別の法人の場合は、名簿や結果の扱いを先に確かめてください。

まとめ

• グループ会社や海外拠点に訓練していない場所が残らないよう、本社と拠点の役割を分けて進めましょう
• 文面の型は共通にし、言葉と配信の時刻は各拠点に合わせます
• 拠点ごとのメール環境を確かめ、テスト配信をしてから本番に進みます
• 結果の個人情報の扱いを先に確かめ、拠点どうしは同じ条件のときだけ比べましょう