ひとり情シスでも続けられる標的型メール訓練の進め方

なぜ「続かない」が起きるのか

「ひとり情シス」とは、情報システムの仕事を1人（または兼務の少人数）で担当している状態のことです。パソコンの設定、アカウントの管理、問い合わせの対応、機器の調達などを抱えながら、セキュリティ対策も進めなければなりません。

IPAの「情報セキュリティ10大脅威 2026［組織］」では、「機密情報を狙った標的型攻撃」が5位に選ばれています。2016年から11年連続で選ばれている脅威です。対策の必要性はわかっていても、ひとり情シスの環境では訓練が続きにくくなります。よくある理由は次の3つです。

• 1回ごとの作業が多い：文面づくり、配信の設定、問い合わせ対応、集計、報告書づくりを全部1人で行う
• 日程が後回しになる：急なトラブル対応が入ると、訓練の準備が止まる
• やり方が本人の頭の中にしかない：手順が残っていないため、毎回ゼロから考え直す

放っておくと困ること

訓練が途切れると、社員が不審なメールへの対応を思い出す機会が減ります。また、次のような問題も起こります。

• 前回との比較ができない：実施の間隔や方法がばらばらだと、結果がよくなったのか悪くなったのか判断できない
• 記録が残らない：IPAの「中小企業の情報セキュリティ対策ガイドライン」は、すべての役職員に意識向上の教育を定期的に行い、実施記録を保管し、理解度や受講状況の評価をもとに改善することを勧めています。記録がないと、取引先や監査への説明が難しくなります
• 担当者が休むと止まる：1人に依存したままでは、異動や休職のときに何も引き継げない

対策とサービスの選び方

年間の計画を最初に決める

まず、1年分の実施月を先に決めてしまいます。「4月・10月」のように、繁忙期を避けた月を固定すると、毎回日程を考える手間がなくなります。回数は、自社の規程と、担当者が実際に回せる量で決めてください。無理な回数を立てて途切れるよりも、決めた回数を確実に続けるほうが、結果を比べやすくなります。

1回の作業を小さくする

作業を減らすために、次のことを決めておきます。

• 文面は型を決めて選ぶ：毎回ゼロから作らず、用意された文例から選ぶ。文面の型は「訓練メールの文例・件名の作り方」を参考にしてください
• 見る数字を絞る：開封率、クリック率、報告率など、毎回見る指標を2〜3個に決める
• 報告の形を固定する：経営層への報告は、同じ表の形に数字を入れるだけにする
• 手順書を残す：1回目の作業を、画面の操作も含めてメモしておく。2回目からはそれを見ながら進める

1回の流れを決めておく

毎回の作業の流れを、たとえば次のように固定しておくと迷いません。

時期	やること
実施の1か月前	対象者の名簿を更新し、文面を選ぶ。経営層に日程を伝える
実施の2週間前	自分や少人数あてにテスト配信し、届くか確かめる
実施の日	予約した日時に配信し、問い合わせには定型の返信をする
実施の1〜2週間後	結果を集計し、種明かしと教育を行う。報告の表を作る

この表を手順書の最初のページに置いておけば、担当者が替わったときにも引き継ぎやすくなります。

運用の形を選ぶ

訓練サービスの運用の形は、大きく2つに分かれます。

• ツール型：自社の担当者が管理画面で配信や集計を行う。自由度が高いぶん、担当者の作業は多くなる
• 配信代行型：提供元が配信や集計、報告書づくりを代わりに行う。担当者は日程や対象者の確認が中心になる

ひとり情シスの場合は、「自分が毎回どこまで作業するか」で比べるのがおすすめです。ツール型でも、配信の予約、結果の自動集計、報告書の自動作成ができるものなら、作業はかなり減らせます。候補を比べるときは、次の点を確認してください。

• 対象者の名簿を、CSVなどでまとめて登録・更新できるか
• 配信の日時を予約できるか、少しずつずらして送れるか
• 結果が自動で集計され、報告書の形で出力できるか
• 訓練後の教育（動画や解説ページ）が付いているか
• 問い合わせたときに、日本語で手順を教えてもらえるか

各サービスの運用の形は比較表で確認できます。

報告と問い合わせの窓口をまとめる

訓練メールが届くと、「これは本物ですか？」という問い合わせが担当者に集まります。1人で個別に返信していると、ほかの仕事が止まってしまいます。

• 不審なメールの報告先を1つ（専用のアドレスや報告ボタンなど）に決めて、社内に周知する
• 報告を受けたら、訓練中は定型の返信を送る、と決めておく
• 報告してくれた人に、訓練が終わってからお礼を伝える

報告が集まる仕組みは、訓練のときだけでなく、本物の攻撃メールが届いたときにも役立ちます。報告の数が増えることは、担当者の負担ではなく、社員が早く知らせてくれるようになった成果として受け止めましょう。報告の考え方は「報告率とは」で解説しています。

教育の素材は無料のものも使う

訓練のあとの教育まで自作すると、負担が大きくなります。IPAは、標的型攻撃メールの手口と対策を説明する動画などを「映像で知る情報セキュリティ」として公開しています。YouTubeで公開されている動画は、事前の申請なしでブラウザで再生して社内研修に使えると案内されています（ダウンロードや二次利用は、IPAの案内と利用規約を確認してください）。

こんな場合は早めに相談する

次のような状況なら、1人で抱えずに、上司や経営層に早めに相談してください。

• 前回の訓練から1年以上あいている
• 取引先から、セキュリティ教育の実施状況を聞かれている
• ISMSやPマークの審査が近い（「ISMS・プライバシーマークと標的型メール訓練」も参考にしてください）
• 不審なメールが届いたと社員から相談される回数が増えている

予算や人手の問題は、担当者だけでは解決できません。訓練の目的と、必要な作業の量を1枚にまとめて相談すると、判断してもらいやすくなります。

よくある疑問

Q. 1人だと、年に何回くらいが現実的ですか？

A. 決まった正解はありません。自社の規程と、担当者が確実に回せる量から決めてください。まずは年に1〜2回を確実に続け、慣れてきたら増やす方法もあります。

Q. 無料のツールで自分で配信するのと、サービスを使うのとではどちらがよいですか？

A. 無料のツールは利用料がかからない一方で、サーバーの用意や設定、集計を自分で行う必要があります。担当者の作業時間も費用として考え、比べてください。費用の考え方は「予算が少ないときの標的型メール訓練」で解説しています。

Q. 訓練のことを誰にも知らせずに進めても大丈夫ですか？

A. 少なくとも経営層や、問い合わせを受ける可能性がある部署（総務や人事など）には、事前に伝えておくのがおすすめです。社内への伝え方は「訓練は予告する？抜き打ちにする？」で解説しています。

Q. 自分が休むときはどうすればよいですか？

A. 手順書と年間計画を共有フォルダに置き、代わりに対応できる人を1人決めておきましょう。配信代行型のサービスなら、提供元に連絡すれば進められる部分もあります。

まとめ

• ひとり情シスで訓練が続かないのは、1回ごとの作業が多く、日程が後回しになり、手順が残らないためです
• 年間の実施月を先に決め、文面・指標・報告の形を固定して、1回の作業を小さくしましょう
• サービスは「自分が毎回どこまで作業するか」で比べ、予約配信や自動集計ができるかを確認します
• 報告の窓口を1つにまとめ、IPAの無料の教育素材も活用して、続けられる形をつくりましょう