自治体の標的型メール訓練：総務省ガイドラインの位置づけと進め方

自治体の現状

自治体は、住民の氏名・住所・税・福祉などの情報を大量に扱います。また、多くの部署がメールアドレスを公開しており、外からのメールを受け取る機会が多い組織です。IPAの「情報セキュリティ10大脅威 2026［組織］」では、「機密情報を狙った標的型攻撃」が5位に選ばれています。

ガイドラインでの研修・訓練の位置づけ

総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」は、各団体が自らの情報セキュリティポリシーを作るときの参考として示されているものです。最新の令和8年3月版では、研修・訓練について次のように書かれています（要旨）。

箇所	記載
例文（研修・訓練）	CISO（最高情報セキュリティ責任者）は、定期的に情報セキュリティに関する研修・訓練を実施しなければならない
例文（参加）	幹部を含めたすべての職員等は、定められた研修・訓練に参加しなければならない。解説では、参加が必要であることから義務規定を設けるとしている
例文（標的型攻撃）	標的型攻撃による侵入を防ぐため、教育などの人的対策を講じなければならない
β’モデルの必須対策	職員等は情報セキュリティ研修と標的型攻撃訓練を年1回以上受講する。訓練の受講状況や結果を確認し、効果を測って改善する
解説（研修）	毎年度最低1回の受講が望ましい。研修の実施状況は、CISOが毎年度1回、情報セキュリティ委員会に報告する

β’モデルとは、主な業務端末と重要な情報をインターネットにつながる側に置くネットワークの形のことです。このモデルでは、標的型攻撃訓練の年1回以上の受講が、ガイドライン上の必須の対策とされています。ほかのモデルの団体でも、例文にならって研修・訓練をポリシーに定めていれば、その規定に沿って実施します。

なぜ訓練が必要か

装われやすい相手

• 自治体そのもの：大阪市は2026年8月、「市役所 市民税課」を名乗り、住民税の納付を求めるメールが住民に届いているとして注意を呼びかけました。自治体の名前はなりすましに使われやすく、職員が住民から問い合わせを受ける場面もあります
• 国の機関：厚生労働省は、新型コロナウイルスを題材に、厚生労働省や自治体などを装う攻撃メールが出回ったとして注意を呼びかけました
• 組織の代表者：IPAは、社長・理事長など組織の代表者を装い、業務の指示としてSNSグループの作成を求めるメールを紹介しています
• IT部門やメールサービス：パスワードの期限切れや保留中のメールを口実に、偽のログイン画面へ誘導します（IPA）

ガイドラインが示す行動

ガイドラインは、標的型攻撃メールへの人的対策の例として、次の行動を挙げています。訓練で身につけたい行動と重なります。

• 差出人に心当たりがないメールは、興味のある件名でも開かない
• 不自然なメールは、ウェブなど別の情報源で相手の連絡先を調べ、実在するか確かめる
• 標的型攻撃と気づいたら、システム管理者に知らせ、組織内への注意喚起を頼む

訓練の進め方のポイント

対象者

• 本庁と出先機関：支所や施設など、情報システム担当の目が届きにくい職場も含めます
• 幹部：ガイドラインは幹部を含めた全職員を対象としています。首長や部長級も対象に入れます
• 会計年度任用職員など：メールアドレスを持つ人は対象に含め、持たない人は研修で補います
• 窓口の部署：住民や事業者からのメールが多い部署は、重点的に対象にします

頻度と時期

年1回以上を基本に、人事異動のある4月を避けて実施月を決めると、新しい職場のメールに慣れたころに結果を確かめられます。新規採用の職員には、採用時の研修で報告の手順を伝えます。回数の考え方は「訓練の頻度」、結果の測り方は「標的型メール訓練のKPI」で解説しています。

配信の前に確かめること

メールの無害化（添付ファイルを画像やテキストに変換する仕組み）を使っている団体では、訓練メールのリンクや添付ファイルが変換されることがあります。自団体のネットワークの形に合わせて、事前にテスト配信をして届き方を確かめましょう。

文面の作り方

想定する相手	件名の型	本文の要素
住民・事業者	「申請書類についての問い合わせ」	手続きの名前、添付ファイルやリンク
国・都道府県	「【照会】調査へのご回答のお願い」	回答の期限、調査票のダウンロードリンク
首長・幹部	「至急の対応依頼」	幹部の名前、SNSグループの作成依頼
IT部門・メールサービス	「パスワード有効期限のお知らせ」	期限の日付、ログイン画面へのリンク

監査の前に記録を整えたい場合は「監査の前に標的型メール訓練を行うには」も参考にしてください。サービスの違いは比較表で確認できます。

まとめ

• 総務省のガイドラインは、例文でCISOによる定期的な研修・訓練と、幹部を含む全職員の参加を定めています
• β’モデルでは、職員等が標的型攻撃訓練を年1回以上受講することが必須の対策とされています
• 自治体・国の機関・代表者・IT部門を装う文面を用意し、別の情報源で確かめて報告する行動を身につけてもらいましょう
• 本庁・出先機関・幹部・窓口の部署まで対象を広げ、無害化の設定も事前のテストで確かめます