不審メールの報告が上がらない組織の対策：報告しやすい仕組みと雰囲気のつくり方

なぜ報告が上がらないのか

不審なメールが届いたとき、すぐに情報システムの担当者へ知らせてもらえれば、同じメールを受け取ったほかの社員への注意喚起や、メールの受信を止めるといった対応を早く始められます。ところが、訓練をしても報告がほとんど上がらない組織があります。

理由は、主に次の4つです。

• 報告先がわからない：誰に、どの方法で知らせればよいかが決まっていない、または知られていない
• 報告の手間が大きい：メールを転送し、説明を書き、担当者を探す、といった作業が面倒
• 怒られると思っている：「開いてしまった」「クリックしてしまった」ことを知られたくない
• 自分が言わなくてもよいと思っている：ほかの誰かが報告するだろう、迷惑メールとして削除すれば十分だ、と考える

IPAの「情報セキュリティ10大脅威 2026 解説書［組織編］」は、報告・連絡・相談についての共通の対策で、経営者や上司、責任者が、部下や担当者が包み隠さず、ためらわずに報告（エスカレーション）できる環境や良好な関係をつくることが重要だとしています。報告が上がらないのは、社員一人ひとりの意識だけの問題ではなく、仕組みと雰囲気の問題でもあります。

放っておくと困ること

• 攻撃に気づくのが遅れる：同じ攻撃メールが社内の多くの人に届いていても、担当者が知らないまま時間がたつ
• 被害が広がる：誰かが添付ファイルを開いてしまっても、報告がなければ調査や対応を始められない
• 隠していたと疑われる：同じ解説書は、適時・適切に報告しないと被害の拡大につながるだけでなく、隠蔽を疑われ、信頼の失墜につながるおそれがあるとしています
• 訓練の効果が測れない：開いた人の数しかわからず、正しい行動をとれた人がどれだけいるかがわからない

対策とサービスの選び方

1. 報告先を1つに決めて、くり返し伝える

まず、不審なメールの報告先を1つに決めます。専用のメールアドレス、メールソフトの報告ボタン、社内チャットの専用チャンネルなど、方法は組織に合わせて選んでください。

IPAは、Emotet（エモテット）対策の中で、企業・組織に対し、不審なメールを受信した場合や誤って添付ファイルを開いてしまった場合の相談・報告窓口を設置することを勧めています。また、IPAの「中小企業の情報セキュリティ対策ガイドライン」は、インシデントの対応手順や役割分担とあわせて、報告事項や連絡体制を定めることを勧めています。

社内への案内には、次の内容を入れておくとわかりやすくなります。

• 報告先（アドレスやボタンの場所）と、報告の方法
• 報告してほしいメールの例（身に覚えのない請求、心当たりのない添付ファイル、ログインを急がせる内容など）
• 開いてしまった、クリックしてしまった場合も報告してほしいこと
• 報告したあとに、担当者から何が返ってくるか

決めた報告先は、一度伝えるだけでは定着しません。入社時の案内、社内ポータル、訓練後の教育など、機会があるたびに同じ内容を伝えましょう。

2. 報告の手間を減らす

報告に必要な作業が少ないほど、報告は増えやすくなります。

• 報告ボタンを使える環境なら、ボタン1つで報告できるようにする
• 転送で報告してもらう場合は、「件名はそのまま、本文は空でよい」と伝える
• 「迷ったら報告してよい」「本物か訓練か判断しなくてよい」と明言する

報告ボタンの有無や使えるメール環境は、訓練サービスによって違います。報告の仕組みに注目した比較は「報告できる組織まで作りたいなら」で確認できます。

3. 報告した人を責めない、お礼を言う

「クリックしてしまった」という報告こそ、早く知らせてもらう必要があります。次のことを社内のルールとして決め、経営層から伝えてもらうと効果的です。

• 開いてしまった、クリックしてしまった場合でも、すぐに報告した人を責めない
• 報告してくれた人には、担当者から短くお礼を返す
• 訓練の結果を伝えるときは、クリックした人の数よりも、報告してくれた人の数を先に伝える

訓練のあとで、クリックした人を名指しで注意するような対応は、報告をためらう原因になります。フォローの仕方は「種明かしと訓練後の教育」を参考にしてください。

4. 訓練で「報告する練習」をする

訓練は、クリックしないことを確かめるだけでなく、報告する行動を練習する場でもあります。

• 訓練の前に、報告先と報告の方法を改めて案内する
• 訓練の結果で、報告した人の割合（報告率）を毎回見る
• 報告までにかかった時間も見られるなら、あわせて確認する

報告率の考え方は「報告率とは」で解説しています。訓練サービスを選ぶときは、報告を記録・集計できるか、報告した人に「訓練でした」と自動で知らせる画面やメールがあるかを確認しましょう。各サービスの機能は比較表で確認できます。

5. 報告の結果を社内に返す

報告しても何も返ってこないと、次から報告しなくなります。

• 実際の不審メールの報告があったときは、「このようなメールが届いています」と社内に注意喚起する
• 「〇〇さんたちの報告で早く対応できました」と、報告が役に立ったことを伝える（本人の了解をとったうえで）

こんな場合は早めに見直す

• 訓練をしても、報告がほとんどない
• 社員から「どこに知らせればいいかわからなかった」という声がある
• 実際の不審メールを、担当者が外部からの連絡で初めて知った
• クリックしてしまった人が、報告せずに黙っていたことが後でわかった

これらは、報告の仕組みか雰囲気のどちらかに問題があるサインです。報告先・手間・責めない方針の3つを、まとめて見直してください。見直したあとは、次の訓練で報告率が変わったかを確かめ、変わらなければ、社員に「報告しなかった理由」を短いアンケートで聞いてみると、原因を絞り込めます。

よくある疑問

Q. 報告が増えすぎて、担当者が対応しきれなくなりませんか？

A. 報告への返信を定型にする、訓練中は自動で返信する、といった工夫で負担を減らせます。報告が多いのは、社員が気づいて知らせてくれている証拠です。担当者の負担が大きい場合の工夫は「ひとり情シスでも続けられる標的型メール訓練の進め方」も参考にしてください。

Q. 迷惑メールとして削除するだけではだめですか？

A. 自分の受信箱から消しても、同じメールがほかの社員に届いているかもしれません。報告があれば、担当者が社内に注意喚起したり、受信を止めたりできます。「削除する前に報告」をルールにしましょう。

Q. 報告ボタンがないと訓練の報告は数えられませんか？

A. 専用のアドレスへの転送など、ほかの方法でも報告は数えられます。ただし、手作業で数えると担当者の負担が増えるため、報告を自動で集計できるかは、サービスを選ぶときの確認点になります。

Q. 経営層にはどう協力してもらえばよいですか？

A. 「報告した人を責めない」という方針を、経営層の言葉で社内に伝えてもらうのが効果的です。訓練の結果を報告するときも、報告率を中心に伝えると、方針と結果がつながります。

まとめ

• 報告が上がらない原因は、報告先がわからない、手間が大きい、怒られると思っている、自分が言わなくてもよいと思っている、の4つが中心です
• IPAも、相談・報告窓口の設置や、ためらわずに報告できる環境づくりを勧めています
• 報告先を1つに決めて伝え続け、手間を減らし、報告した人を責めずにお礼を言いましょう
• 訓練では報告率を毎回見て、報告を記録・集計できるサービスを選びましょう