テレワークの社員がいるときの標的型メール訓練：私物端末・社外のネットワーク・報告の窓口

なぜテレワークでは訓練の考え方が変わるのか

テレワーク（リモートワーク）とは、自宅やシェアオフィスなど、会社の外で働くことです。オフィスにいれば、不審なメールが届いたときに隣の席の人や担当者にすぐ聞けます。テレワークでは、それが難しくなります。

IPAの「情報セキュリティ10大脅威 2026［組織］」では、「リモートワーク等の環境や仕組みを狙った攻撃」が8位に選ばれています。2021年から6年連続で選ばれている脅威です。同じ解説書は、攻撃の手口の一つとして、私物端末（BYOD）や組織が支給した端末を標的にマルウェア感染を目的としたメールなどを送りつけ、端末の中の業務情報や認証情報を盗み、それを使って社内システムに不正にアクセスする手口を挙げています。

テレワークの社員がいる会社で、訓練が難しくなる理由は次のとおりです。

• メールを読む端末がばらばら：会社のパソコンだけでなく、私物のパソコンやスマートフォンでメールを読む人がいる
• 社外のネットワークで受信する：自宅の回線や外出先のネットワークでは、オフィスと同じ守りが働かないことがある
• 気軽に聞ける人がいない：「これは怪しいのか」を相談する相手が近くにおらず、一人で判断してしまう
• 報告の方法が決まっていない：オフィスでは内線や口頭で伝えていた報告を、テレワーク中にどうするかが決まっていない

放っておくと困ること

• 一人で判断して開いてしまう：誰にも聞けないまま、添付ファイルやリンクを開いてしまう
• 報告が遅れる：報告先がわからない、電話がつながらない、といった理由で、担当者が気づくのが遅れる
• 被害が社内に広がる：盗まれた認証情報が使われると、テレワークの端末をきっかけに社内システムに入り込まれるおそれがある

総務省の「テレワークセキュリティガイドライン（第5版）」は、テレワーク勤務者がセキュリティに関する必要な知識を身につけていれば、フィッシングや標的型攻撃などの被害を受けにくくなるとしています。テレワークの社員こそ、訓練で練習する機会が必要です。

対策とサービスの選び方

1. テレワーク中でも使える報告の窓口を決める

同じガイドラインは、システム・セキュリティ管理者の役割として、テレワーク勤務者がセキュリティインシデントだけでなく予兆（不審な情報）も含めて速やかに報告できるよう、テレワーク時も使える連絡窓口を設けて広く周知することを挙げています。あわせて、テレワーク勤務者は周りと気軽に相談しづらいため、不審な状況があれば幅広く連絡するよう周知することも求めています。

報告の窓口は、次の点を考えて決めます。

• メール以外の手段も用意する：端末がマルウェアに感染して使えなくなることも考えられるため、ガイドラインは連絡先として電話番号なども確かめておくよう勧めています
• 迷ったら報告してよいと伝える：ガイドラインは、報告するか迷う場合は報告することを心がけるよう、テレワーク勤務者に求めています
• 連絡先を手元に残してもらう：会社のパソコンが使えなくても確かめられるよう、紙やスマートフォンに控えてもらう

報告の仕組みの整え方は「不審メールの報告が上がらない組織の対策」も参考にしてください。

2. チャットでの相談の扱いを決める

テレワークでは、社内チャットで「このメール、怪しいですか？」と相談する人が出てきます。相談しやすいのはよいことですが、決めておかないと混乱します。

• 報告の場所を1つにする：不審なメールの相談を受けるチャンネルを決め、個人あてのメッセージではなくそこに投稿してもらう
• メールをそのまま貼らない：リンクや添付ファイルを、ほかの人がうっかり開かないよう、スクリーンショットや件名だけを共有する、といったルールにする
• チャットの相談も報告として数える：訓練の結果を集計するときに、チャットでの相談も「報告した」として扱うかを先に決めておく

チャットでの相談を報告として数える場合、訓練サービスの自動集計では数えられないことがあります。担当者が手で数えるか、報告ボタンなど自動で記録できる方法に案内するかを決めましょう。

3. 私物端末やスマートフォンでの受信を考える

IPAの解説書は、リモートワークの規程や運用の規則を整えるときに、組織が支給した端末と私有端末の違いを考慮するよう求めています。訓練でも、社員がどの端末でメールを読んでいるかを先に確かめます。

• 私物の端末で業務のメールを読むことを認めているか、規程を確かめる
• スマートフォンで訓練メールを開いた場合も記録されるか、事前にテスト配信で確かめる
• スマートフォンのメールアプリで報告ボタンが使えない場合の報告方法を決める

スマートフォンで受信する社員がいる場合のポイントは「スマートフォンでメールを読む社員がいるときの標的型メール訓練のポイント」で解説しています。

4. 訓練の中身をテレワークに合わせる

• 件名の型：オンライン会議の招待、共有ファイルの通知、アカウントの確認など、テレワークでよく受け取る業務連絡の型を使う。型の考え方は「訓練メールの文例・件名の作り方」を参考にしてください
• 配信の時間：在宅勤務の日と出社の日で、メールを読む端末や時間が変わる人もいる。出社日と在宅日の両方に届くよう、配信日を分ける方法もある
• 種明かしと教育：オンラインで見られる教材や動画を使い、テレワーク中の報告の手順もあわせて伝える

サービスの選び方

テレワークの社員がいる会社では、次の点を確認しましょう。

• スマートフォンや社外のネットワークから開いた場合も、結果が記録されるか
• 報告ボタンが、会社のメール環境とスマートフォンのアプリの両方で使えるか
• 訓練後の教材を、社外からでもブラウザで見られるか
• 報告を自動で集計し、報告までの時間を確かめられるか

各サービスの対応は比較表で確認できます。

こんな場合は早めに検討

• テレワークを始めたが、不審なメールの報告の方法を決め直していない
• 私物のパソコンやスマートフォンで、業務のメールを読んでいる社員がいる
• 「このメール、怪しいですか？」という相談が、チャットの個人あてに届いている
• テレワーク中の社員の連絡先が、会社のパソコンの中にしか控えられていない

よくある疑問

Q. テレワークの社員だけを対象に訓練してもよいですか？

A. できます。ただし、出社している社員と結果を比べる場合は、文面や配信の日をそろえてください。報告の手順は全員に共通のものにしておくと、働く場所が変わっても迷いません。

Q. 私物の端末に訓練メールを送ってもよいですか？

A. 訓練メールは、業務のメールアドレスに送るのが基本です。私物の端末で業務のメールを読んでいる場合は、その端末でも訓練メールを受け取ることになるため、規程と社員への説明を先に確かめておきましょう。

Q. 自宅のネットワークの設定まで、会社が指導すべきですか？

A. IPAの解説書は、従業員の対策として、自宅のネットワーク環境ではルーターを使うこと、家庭のネットワーク機器の設定の見直しやファームウェアの更新を行うことを挙げています。訓練とは別に、テレワークのルールとして案内しておくとよいでしょう。

Q. チャットで相談してくれた人は、報告した人として数えてよいですか？

A. 社内の報告のルールで、チャットでの相談を正式な報告の方法として認めているなら、数えてかまいません。数えるかどうかを訓練の前に決め、毎回同じ基準で集計してください。報告の数え方は「報告率とは」で解説しています。

まとめ

• IPAの10大脅威 2026では「リモートワーク等の環境や仕組みを狙った攻撃」が8位で、私物端末や支給端末へのメールを使った手口も挙げられています
• 総務省のガイドラインにならい、テレワーク中でも使える報告の窓口を決め、迷ったら報告してよいと周知しましょう
• チャットでの相談の場所と、報告として数えるかどうかを先に決めます
• 私物端末やスマートフォンでの受信を確かめ、社外からも記録・報告・教育ができるサービスを選びましょう