Google Workspace（Gmail）で標的型メール訓練をするときのポイント

Google Workspace で訓練するときのポイント：概要

Google Workspace では、社員は主に Web 版の Gmail や Gmail アプリでメールを読み、管理者は Google 管理コンソールでメールの設定をします。訓練で押さえたいのは次の3点です。

点	内容
届ける	訓練メールが迷惑メールに入らないよう、許可リストなどに登録する
報告	Gmail の標準の「フィッシングを報告」を使うか、訓練サービスの報告の仕組みを使うかを決める
記録	配信前のスキャンや、ほかのセキュリティ製品の検査の影響を確かめる

どの種類の訓練サービスを選ぶかは、比較表で確認してください。

訓練メールを確実に届ける設定

迷惑メールフィルタを通すための仕組み

Google Workspace 管理者ヘルプでは、迷惑メールフィルタを通すための仕組みとして、次のものが説明されています。

仕組み	考え方
メールの許可リスト	送信元のIPアドレスを登録する。登録したIPアドレスからのメールには、迷惑メールのラベルが付かなくなる
承認済み送信者リスト	メールアドレスやドメインを登録する。迷惑メールフィルタを通り、受信者が自分で判断できるようになる
受信ゲートウェイ	Gmail の前に別のメールサーバーを通す構成で、そのサーバーを登録する

メールの許可リストは、ドメイン全体に適用され、一部の組織部門だけを対象にはできません。変更の反映には最長で24時間ほどかかることがあります。どの仕組みにどの値を登録するかは、利用する訓練サービスの提供会社の案内に従ってください。設定の手順は上記の公式ヘルプにあります。

許可リストでも止まる場合がある

許可リストに登録しても、すべての検査が外れるわけではありません。Google は次のように説明しています。

• IPアドレスを許可リストに登録しても、Gmail の警告バナー（「このメールは疑わしい」など）は表示されることがある
• 高度なフィッシング・不正なソフトウェア対策は、ほかの迷惑メール設定とは別に働く。安全な送信元として登録したドメインにも適用される
• 高度な設定で「検疫」を選んだ場合、許可リストの設定で上書きされない

訓練のために高度な設定を弱めるのではなく、テスト配信で届き方を確かめ、提供会社と相談して進めます。

許可リストを広げすぎない

Google は、許可リストの設定で迷惑メールフィルタが上書きされると、本物のフィッシングメールが受信トレイに届くおそれがあるとして、管理者向けの警告を用意しています。登録は、訓練サービスが案内する送信元だけにとどめます。

報告ボタンの対応

Web 版の Gmail には、標準の「フィッシングを報告」があります。社員はメールを開き、返信アイコンの横のその他アイコンから［フィッシングを報告］を選びます。誤ってフィッシングと判定されたメールには、［フィッシングではないことを報告］があります。

管理者は、セキュリティ ダッシュボードの「ユーザーの報告」で、社員が迷惑メール・フィッシングとしてマークした件数を確認できます（Frontline Plus、Enterprise Plus などの対応エディション）。Gmail は、この報告をもとに、似たメールの判定を学習するとされています。

標準の報告は、社内の報告窓口にメールを届ける仕組みとは別のものです。訓練の報告をどこで数えるかを、配信の前に決めておきます。訓練サービスごとの対応状況は、このページの下の表にまとめています。

注意点

配信の遅れ

「メール配信前のスキャンの強化」を有効にすると、不審なコンテンツが見つかったときに、配信がわずかに遅れて追加の検査が行われます。「セキュリティ サンドボックス」は、添付ファイルを仮想の環境で開いて調べる機能で、数分以内に終わるものの若干の遅れが出るとされています。配信時刻を細かく決めた訓練では、この遅れを見込みます。

押していないのに「クリック」と記録される

Microsoft は自社の訓練機能について、メールのセキュリティ製品や端末のウイルス対策ソフトが訓練メールを検査すると、予期しないクリックが記録されることがあると説明しています。Gmail を使う組織でも、ほかのセキュリティ製品を併用している場合は、訓練メールを検査の対象から外せるか確かめます。

Chrome で訓練のページが止められる

Microsoft は、Chrome のセーフ ブラウジングが訓練用URLを止める場合があるとして、配信前にブラウザで開けるか確かめるよう勧めています。Chrome を標準のブラウザにしている組織では、事前テストで確かめます。

スマートフォンでの見え方

Google は、警告バナー（黄色のボックス）は Web 版の Gmail にだけ表示され、サードパーティ製のアプリには表示されないとしています。

まとめ

• Gmail では、メールの許可リスト（IPアドレス）、承認済み送信者リスト、受信ゲートウェイで迷惑メールフィルタを通す。登録する値は提供会社の案内に従う
• 許可リストに入れても、警告バナーや高度なフィッシング対策、検疫は外れないことがある。テスト配信で確かめる
• 許可リストは広げすぎない。本物のフィッシングまで届くおそれがある
• 標準の「フィッシングを報告」は Web 版 Gmail にある。社内でどこに報告を集めるかは別に決める
• 配信前のスキャンやサンドボックスによる遅れ、ほかの製品の検査によるクリック記録に注意する