メール訓練を始めるための社内説明・稟議の進め方

社内説明・稟議とは

メール訓練の社内説明・稟議とは、標的型メール訓練を始めるにあたって、目的や対象、費用、社員への影響を整理し、経営層や関係部署の承認を得る手続きのことです。

訓練は、社員に「攻撃メールに似たメール」を送る取り組みです。事前の説明が足りないと、「会社が社員を試している」「結果で評価されるのでは」といった反発が出ることがあります。また、担当部署だけで決めると、人事や総務が知らないまま問い合わせを受けることにもなります。

稟議は、承認を得るためだけのものではありません。関係部署と前提をそろえる場として使うと、そのあとの運用が進めやすくなります。

経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が担当幹部に指示すべき項目の一つとして、対策のための予算や人材の確保を挙げ、その例として従業員向けの研修等のための予算を確保し、継続的に役割に応じた教育を行うことを示しています。稟議では、訓練がこうした教育の一部であることを示すと、位置づけが伝わりやすくなります。

稟議書に書く項目

目的

最初に、なぜ訓練を行うのかを書きます。IPAは、訓練の目的を明確にしてから内容を決めることが大切だとし、開封率を下げることのほか、受け取った人が適切に対処できるか、報告を受ける体制が機能するかを確かめることも重要な目的だとしています（IPA、2017年）。

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）も、教育・研修や訓練を定期的に行い、その効果を確認する必要があるとし、訓練では不審メールの報告を手順どおりに行うところまで演習するよう求めています。

稟議書には、たとえば「不審なメールに気づいたら、決められた窓口に報告する行動を社内に定着させる」のように、社員に求める行動を一文で書くと伝わりやすくなります。目的の考え方は「標的型メール訓練とは」で解説しています。

対象と実施時期

• 対象：全社員か、一部の部署から始めるか。役員を含めるか（「役員・経営層を訓練の対象にするときの進め方」）、派遣社員や委託先の社員を含めるか
• 実施時期：繁忙期や決算期を避けた時期。年に何回行うか

年間の回数や時期の決め方は「訓練の頻度と年間計画」を参考にしてください。

費用の考え方

費用は、サービスの利用料だけでなく、社内の作業時間も含めて考えます。

費用の種類	内容
サービスの利用料	課金の方式（通数課金、ユーザー課金、定額など）で、人数や回数による増え方が変わる
社内の作業時間	文面づくり、配信の設定、問い合わせ対応、集計、報告書づくり
教育の費用	訓練後の教材や研修。サービスに含まれる場合もある

稟議では、「何人に、年に何回送るか」を前提として示し、その前提で比べた結果を載せます。課金方式ごとの費用の試算は「費用の試算」、サービスの種類の違いは比較表で確認できます。

結果の使い方

訓練の結果を何に使い、何に使わないかを書きます。ここが、社員の不安にもっとも関わる項目です。

• 使う：社内全体の傾向の把握、教育の重点を決める、報告の流れの見直し、経営層への報告
• 使わない：人事評価や処分

人事評価に使わないことを稟議の段階で決めておくと、社員への告知でもはっきり伝えられます。

調整の進め方と注意点

個人情報の扱いを決める

訓練では、社員のメールアドレスと「開いた」「リンクを押した」「報告した」といった行動の記録が結びついて残ります。これは個人を特定できる情報として扱い、社内の個人情報の取り扱いのルールに沿って管理します。

個人情報保護委員会のFAQは、従業者を対象にビデオやオンラインでモニタリング（監視）を行う場合の留意点として、目的をあらかじめ特定して社内規程等に定め従業者に明示すること、責任者とその権限を定めること、実施のルールを作って運用者に徹底すること、ルールどおりに行われているか確認することを挙げています。訓練はモニタリングそのものではありませんが、社員の行動を記録するという点で、次のような決め方の参考になります。

• 記録を取る目的を決め、社員に知らせる
• 記録を見られる人（担当者、責任者）を決める
• 保管する期間と、期間が過ぎたあとの消し方を決める
• 訓練サービスを使う場合は、提供元でのデータの扱いを契約で確かめる

人事・労務部門と調整する

同じFAQは、モニタリングに関する重要事項を定めるときは、あらかじめ労働組合等に通知し、必要に応じて協議を行うことが望ましいとしています。訓練でも、次の点を人事・労務部門と事前に話しておくと安心です。

• 結果を人事評価や処分に使わないこと
• 就業規則や情報セキュリティの規程に、訓練の位置づけをどう書くか
• 労働組合がある場合、事前に説明するかどうか
• 給与や人事評価など、社員の不安をあおる題材を訓練メールに使わないこと

関係部署に知らせる範囲を決める

訓練のことを全社員に予告するかは、目的によって変わります。一方、経営層、ヘルプデスク、総務・人事、広報などには事前に知らせておきます。本物の攻撃と誤解されたときの混乱を防ぐためです。予告の考え方は「訓練は予告する？抜き打ちにする？」で解説しています。

第三者への影響を説明しておく

IPAは、実在する組織名や酷似した名前を使った訓練メールは、その組織への問い合わせやSNSでの拡散などで第三者の業務に影響を与えるおそれがあるため、使わないことが賢明だとしています。稟議書に「実在の組織名は使わない」と書いておくと、法務部門などの確認も進めやすくなります。

まとめ

• 稟議は承認を得るだけでなく、関係部署と前提をそろえる場として使う
• 稟議書には、目的（社員に求める行動）、対象と時期、費用、結果の使い方を書く
• 費用はサービスの利用料だけでなく、社内の作業時間も含めて考える
• 行動の記録は個人情報として扱い、目的・見られる人・保管期間を決める
• 人事評価に使わないことを、人事・労務部門と事前に決めておく
• 実在の組織名を使わないことなど、第三者への配慮も書いておく