訓練は予告する？抜き打ちにする？社内への告知と反発への対応

訓練の「予告」とは

標的型メール訓練の準備で迷いやすいのが、「訓練をすることを社員に知らせるか」です。ここでは、次のように言葉を分けて考えます。

• 予告あり：訓練を行うこと、目的、おおよその時期などを、事前に対象者へ知らせる
• 抜き打ち：対象者には訓練を行うことを知らせずに、訓練メールを送る

どちらの場合でも、送信日そのものは対象者に伝えないことをおすすめします。日付がわかると、ふだんの状態を確かめられないからです。予告する場合も、「〇月中」「〇月下旬」のように時期の幅で伝えるとよいでしょう。

また、抜き打ちにする場合でも、対象者以外の関係部門には事前に知らせる必要があります。これは後の章で説明します。

予告あり・抜き打ちの違いと仕組み

目的によって選ぶ

予告するかどうかは、訓練の目的で決めます。IPA（情報処理推進機構）は、訓練の目的を明確にしてから訓練の内容を決めることが大切だとし、目的の例として次の三つを挙げています。

• 組織内の不審なメールへの耐性（警戒せずに添付ファイルを開いてしまう割合）を測る
• 巧妙な標的型攻撃を受けたときに、然るべき部門や担当者が報告を受けるまでの時間を測る
• 多数の報告が来たときの、社内の対応チームの作業の流れに問題がないかを確かめる

国家サイバー統括室（旧NISC）のコラムも、メールを使った攻撃が多様化していることや、訓練がマンネリ化している組織があることを背景に、訓練の目的や実施方法を考え直すよう呼びかけています。

考え方	向いている目的	気をつける点
予告あり（時期だけ知らせる）	初めての訓練、教育の一環、報告の手順を覚えてもらう	訓練を意識してメールを読む人が出るため、普段の状態とは同じにならない
抜き打ち	普段の状態での気づきや初動を確かめたい	説明が足りないと「だまされた」と感じる人が出ることがある

初めて訓練をする会社では、まず予告ありで訓練の目的と報告の手順を知ってもらい、回を重ねてから予告の範囲を狭めていく、という段階的な進め方も考えられます。

予告の有無で結果の見え方が変わる

予告ありと抜き打ちでは、同じ文面でも結果の意味が変わります。前回と比べるときは、予告の有無をそろえるか、変えた場合はそのことを報告書に書いておきます。結果の見方は、「訓練の結果の見方」で解説しています。

告知の進め方と注意点

誰に、何を、いつ伝えるか

事前に知らせる相手は、訓練の対象者だけではありません。主な案内先と内容の例は次のとおりです。

案内先	目的	主な内容
訓練の対象者（予告する場合）	目的を理解してもらい、円滑に進める	目的、対象の範囲、実施時期の幅、不審なメールを受け取ったときの行動
各部署・グループ会社のセキュリティ担当	対象者からの問い合わせに答える	対象者への案内の内容、訓練メールの内容、連絡先、想定される質問と答え
社内のヘルプデスク	問い合わせに答える	同上
情報システム部門・セキュリティ監視の担当	本物の対応と区別し、訓練メールを届ける	送信期間、送信元、件名、対象人数など

抜き打ちにする場合でも、ヘルプデスクや情報システム部門に知らせておかないと、訓練メールを本物の攻撃として扱って対応が始まってしまいます。

情報システム部門には、訓練メールを届けるための設定も頼むことになります。Microsoftの公式ドキュメントによると、Microsoft 365では、外部の訓練サービスから送る訓練メールがフィルターで止められないよう、管理者が「高度な配信ポリシー」を設定できます。同じくMicrosoftのFAQは、メールのセキュリティ製品やウイルス対策ソフトなどが訓練メールを調べると、本人が操作していないクリックが記録されることがあるとし、これらの製品で訓練メールを除外する設定をするよう案内しています。

訓練メールの内容を実在の業務（たとえば社内の案内）に似せた場合は、その業務の担当部署にも問い合わせが入ります。送る前に、一次受付を頼んでおきましょう。

告知文に入れる要素

対象者に告知する場合は、次の要素を入れます。

• 訓練の目的（「個人を評価するためではなく、会社全体の対応力を確かめるため」）
• 対象者の範囲（社員、役員、派遣社員、協力会社の人を含むか）
• 実施時期（「〇月中」「〇月下旬」など。日付は書かない）
• 不審なメールを受け取ったとき、開いてしまったときに取る行動（報告先と報告のしかた）
• 結果を人事評価に使わないこと
• 問い合わせ先

反発を防ぐための事前の準備

訓練に対しては、「だまされて気分が悪い」「業務の時間を取られた」「監視されているようだ」といった反応が出ることがあります。次の準備をしておくと、反発を防ぎやすくなります。

• 人事評価や処分と結びつけない：訓練の結果を人事評価や処分に使わないことを決め、事前に伝えておきます
• 記録するデータの範囲を決めておく：何を記録し、誰が見て、いつまで残すかを決めておくと、「監視されている」という不安に答えやすくなります
• 個人情報の扱いを確認する：訓練メールの送信先のメールアドレスは個人情報です。外部の訓練サービスを使う場合やグループ会社を含める場合は、社内の規程や契約でどう扱うかを確認します
• 問い合わせ窓口を決める：本物のインシデントの連絡経路とは別に、訓練についての問い合わせを受ける担当を決めておきます
• 実在の人や組織の名前の使い方に気をつける：社内の実在の人を差出人にする場合は、事前に本人の了解を得ます。IPAは、実在する組織名を使った訓練メールが第三者の業務に影響を与えうるとして、実在または酷似する組織名を使った訓練は実施しないことが賢明としています

これらは、人事部門や法務部門、場合によっては労働組合など、社内の関係者と事前に話しておくと進めやすくなります。

反発が出たときの対応

事前に準備していても、訓練のあとに不満の声が届くことはあります。対応の考え方は次のとおりです。

• 目的を説明し直す：本物の攻撃は予告なく届くこと、訓練は会社全体の備えを確かめるものであることを伝える
• 「開いた人」を責めない：IPAの「サイバーセキュリティ経営ガイドライン Ver3.0実践のためのプラクティス集」には、「開封しない」ではなく「開封した場合は報告する」ことを周知し、「報告してくれてありがとう」と伝える風土づくりに取り組む企業の事例が載っています。進め方は「種明かしと訓練後の教育」で解説しています
• 申し出を記録で確かめる：「クリックしていない」という申し出には、記録を確認し直し、断定できない場合は集計を直す
• 声を次の計画に生かす：訓練後のアンケートで、予告の要否や訓練が役に立ったかなどの意見を集める

訓練の文面の選び方が反発につながることもあります。件名の型の考え方は、「訓練メールの文例・件名の作り方」で解説しています。

訓練サービスには、配信や運用を任せる種類（配信代行型）と、自社で操作する種類（ツール型）があります。関係部門への連絡や問い合わせ対応をどこまで任せられるかはサービスごとに違うため、社内の体制に合わせて選ぶとよいでしょう。種類ごとの違いは比較表で確認してください。

まとめ

• 予告ありでも抜き打ちでも、送信日は対象者に伝えないのがおすすめ。時期の幅だけを知らせるやり方もある
• 予告するかどうかは訓練の目的で決める。初回は予告あり、回を重ねて範囲を狭める進め方もある
• 抜き打ちでも、ヘルプデスク・情報システム部門・関係部署には事前に知らせ、訓練メールを届ける設定も頼む
• 告知文には、目的、対象、時期、取る行動、人事評価に使わないこと、問い合わせ先を入れる
• 反発を防ぐには、人事評価と結びつけないことの周知、記録の範囲や個人情報の扱いの確認、問い合わせ窓口の設置を事前に行う