種明かしと訓練後の教育：引っかかった人へのフォローの仕方

種明かしと訓練後の教育とは

標的型メール訓練は、訓練メールを送って終わりではありません。送ったあとに「これは訓練でした」と知らせる種明かしと、結果をふまえた**訓練後の教育（事後教育）**までが、ひとつの訓練です。

IPA（情報処理推進機構）は、訓練の目的に即して、訓練メールの内容とともに、添付ファイルを開いたときの対処や報告の経路が適切でなかった受信者への「フォロー等を検討する必要」があると述べています。引っかかった人が「何がいけなかったのか」を知らないままでは、次の本物の攻撃メールでも同じことが起こりえます。

また、経済産業省の「情報セキュリティ管理基準（令和7年改正版）」は、意識向上・教育・訓練の活動の終わりに要員の理解を評価することを挙げています（6a-6.3.4）。訓練後の教育と受講の確認は、この「理解の評価」とも結びつきます。

種明かし・フォローの種類と仕組み

種明かしのタイミング

種明かしには、大きく二つのタイミングがあります。

タイミング	仕組み	向いている場面
開封時	本文のリンクや添付を開いた直後に「訓練です」と表示するページ（種明かしページ）を出す	引っかかった瞬間に学んでほしいとき
訓練終了時	集計期間が終わってから、全員にメールや社内掲示板で知らせる	訓練中に種明かしが社内に広まるのを避けたいとき

二つは組み合わせることもできます。開封した人にはその場で短く知らせ、全員には訓練終了後にまとめて伝える、という形です。

開封時の種明かしページの例として、Microsoftの訓練機能では、利用者が訓練メールのリンクなどを開くと表示される「ランディング ページ」を設定できます。このページには、フィッシングメールの見分け方を学べるよう、訓練メールのどこに手がかりがあったかを示す表示を加えられます。

全員向けのフィードバックと個別のフォロー

訓練後の働きかけは、全員向けと個別の二つに分けて考えると整理しやすくなります。

• 全員向けのフィードバック：訓練メールの内容、見抜くためのポイント、全体の結果、報告のしかたを伝えます
• 個別のフォロー：開封した人、報告しなかった人、何度も開封した人などに、理由を聞いたり、教材を案内したりします

総務省行政評価局の実態調査（2021年）では、訓練を行った21府省庁のうち、訓練結果のフィードバックとして「不審メールへの対応方法の周知徹底」を行っていたのが17府省庁、「訓練結果の周知」が16府省庁、「最新の動向や手口の紹介」が10府省庁でした。事例として、3回続けて訓練メールを開封した人に個別に注意を呼びかける、開封した人に開封したときの心理を聞くアンケートを行う、といった取り組みも紹介されています。

全員向けの種明かしでは、「今回のメールのどこを見れば気づけたか」を一緒に伝えましょう。引っかからなかった人にとっても、次の攻撃に備える材料になります。

進め方と注意点

責めない伝え方

もっとも大切なのは、引っかかった人を責めないことです。訓練の結果を人事評価や処分に使わないことを、あらかじめ決めて伝えておくことをおすすめします。上司など身近な管理者がフォローを担う場合は、叱る場にならないよう、フォローの目的と伝え方を事前に共有しておきましょう。

責めると、人は「隠す」ことを学んでしまいます。IPAの「サイバーセキュリティ経営ガイドライン Ver3.0実践のためのプラクティス集」には、攻撃メールを開いた人からの報告が遅れ、初動対応がうまくいかなかった企業の事例が載っています。その企業では、過去のインシデントで関係者が厳しく叱られたという、事実と異なるうわさも流れていました。この企業は、「開封した場合は報告する」ことを周知し、「報告してくれてありがとう」と伝える風土づくりに取り組んでいます。

伝え方の例は次のとおりです。

• 「開いたこと」ではなく「気づいたらすぐ報告すること」を求める
• 開いたあとに報告した人を、報告の手本として取り上げる
• 個人名を出した一覧を社内に公開しない
• 「なぜ開いたか」を尋ねるときは、責める調子ではなく、手口の研究として聞く

誤って「開封者」とされた人への対応

個別に結果を伝えると、「クリックしていない」と言われることがあります。Microsoftの公式ドキュメントは、メールのセキュリティ製品やウイルス対策ソフトなどが訓練メールを調べると、本人が操作していないのにクリックが記録されることがあるとしています。記録を確認し直し、クリックしたと断定できない場合は集計を直しましょう。本人の言い分を最初から疑わない姿勢が、訓練への信頼を保ちます。

部署の代表アドレスやメーリングリストに送った訓練メールは、誰がクリックしたか特定できないことがあります。ほかの記録で特定できない場合は、集計から外すことをおすすめします。

教材の形式

事後教育の教材は、目的に合わせて形式を選びます。経済産業省の管理基準は、意識向上の手段として、キャンペーン、パンフレット、ポスター、会報、ウェブサイト、説明会、eラーニング、電子メールなどを挙げています（6a-6.3.9）。

形式	向いている使い方
種明かしページ	開封直後に、見抜くポイントを短く示す
短い動画・スライド	全員向けに手口と報告のしかたを伝える
eラーニング（小テスト付き）	受講と理解度を記録に残したいとき
説明会・部署ごとの勉強会	何度も開封した人や、開封が多かった部署へのフォロー

教材を一から作らなくても、公的な機関が公開している教材を使えます。たとえばIPAは、ドラマを通じて脅威と対策を学べる動画「映像で知る情報セキュリティ」や、「5分でできる！情報セキュリティポイント学習」を公開しています。また、IPAの資料「企業組織を狙う攻撃メールの手口とその対策」は、教育では具体的な文面や手口を伝えるとともに、特定の文面だけでなく不自然・不審なメール全般への意識を高める内容にすることが望ましいとしています。

訓練サービスの中には、種明かしページやeラーニングを含むものがあります。どの程度そろっているかはサービスごとに違うため、比較表で確認してください。

受講の確認

教育は、届けただけでは効果がわかりません。受講を確認する方法には、次のようなものがあります。

• eラーニングの受講記録と、小テストの点数を残す
• 種明かしと同時にアンケートを送る（「訓練だと気づいたか」「どこで気づいたか」「訓練は役に立ったか」など）
• 未受講の人に、期限を決めて案内を送り直す
• 次の訓練の結果（開封と報告）と、今回の受講状況を並べて見る

アンケートでは、引っかからなかった人から「どこで気づいたか」を集めることも大切です。集めた気づきのポイントは、次の教材にそのまま使えます。

報告の手順とセットで教える

事後教育では、見分け方と同じくらい報告の手順を伝えます。経済産業省の管理基準は、情報セキュリティ事象（不審なメールなど）をすぐに報告する責任と、報告の手順・連絡先を全員に認識させること、報告の仕組みはできるだけ簡単で使いやすくすることを挙げています（6a-6.8）。報告率の考え方は、「報告率とは」で詳しく解説しています。

まとめ

• 種明かしと訓練後の教育までが、ひとつの訓練。種明かしは「開封時」と「訓練終了時」を目的に合わせて使い分ける
• 引っかかった人は責めない。結果を人事評価や処分に使わないことを事前に伝え、「報告したこと」を評価する
• 「クリックしていない」という申し出には、記録を確認し直して対応する
• 教材は、種明かしページ、動画、eラーニング、説明会などを目的に合わせて選ぶ。公的な機関の教材も使える
• 受講記録、小テスト、アンケートで受講と理解を確かめ、次の訓練に生かす