セキュリティのeラーニングとメール訓練の違い：知識を学ぶ・行動を確かめる

セキュリティのeラーニングとは

セキュリティのeラーニングとは、パソコンやスマートフォンで、情報セキュリティの教材を各自が学ぶ方法です。動画やスライドを見て、最後に小テストに答える形が多く、誰がいつ受講したか、何点だったかを記録に残せます。

経済産業省の「情報セキュリティ管理基準（令和7年改正版）」も、意識向上の手段の一つとしてeラーニングを挙げています（6a-6.3.9）。教育の形としては、講義のほかに自己学習やウェブを使った学習なども考えるよう示しています（6a-6.3.14）。

一方、メール訓練は、訓練用の攻撃メールを実際に送り、社員がどう動くかを確かめる方法です。どちらも「不審なメールへの対策」として使われますが、役割が違います。

eラーニングとメール訓練の違い

役割の違い：「知る」と「できるか」

いちばん大きな違いは、確かめているものです。

比べる点	eラーニング	メール訓練
役割	手口と対策の知識を学ぶ	知識を行動にできるかを確かめる
受ける人の状態	学ぶつもりで教材に向き合う	ふだんの仕事の中で、予告なく受け取ることが多い
わかること	受講したか、テストで正しく答えられたか	開いたか、報告したか、報告までの時間
足りない点	「知っている」と「実際にできる」は別	何が足りないのかまでは、わからないことがある

eラーニングでテストが満点でも、忙しいときに届いた業務らしいメールを開いてしまうことはあります。反対に、訓練で開いてしまった人が、なぜ開いたのか、どこを見ればよかったのかは、訓練の結果だけではわかりません。

IPA（情報処理推進機構）は、不審なメールへの対策として、教育・研修を行い、その中で報告の手順を知らせることと、メール訓練で報告を手順どおりに行うところまで演習することの両方を挙げています（IPA「企業組織を狙う攻撃メールの手口とその対策」2026年）。二つは置き換えるものではなく、組み合わせるものです。

実施している組織の状況

総務省の調査では、24府省庁のうち、標的型攻撃メール訓練を行っていたのが21府省庁、eラーニングや教材による研修を行っていたのが20府省庁でした（総務省「国の行政機関における情報セキュリティ対策に関する実態調査」2021年）。多くの組織が、両方を行っていることがわかります。

手間とかかる時間の違い

eラーニングは、教材を用意して案内すれば、あとは各自のペースで進みます。未受講の人への催促は必要です。

メール訓練は、文面づくり、許可リストの設定、配信、問い合わせ対応、集計と、準備と後処理に手間がかかります。進め方は「標的型メール訓練のやり方」で解説しています。

組み合わせ方と注意点

順番の例

組み合わせ方の一例です。

1. eラーニングで基本を学ぶ：手口の種類、見分けるポイント、報告の手順
2. メール訓練で行動を確かめる：予告の有無は目的に合わせて決める
3. 訓練の結果をもとに、もう一度学ぶ：開いた人、報告しなかった人に、短い教材を案内する

訓練の結果をもとに教材を割り当てる仕組みを持つ訓練サービスもあります。たとえばMicrosoftの訓練機能には、利用者の過去の訓練とトレーニングの結果をもとに、受けるべきトレーニングを割り当てる設定があります。訓練後の教材の選び方は「種明かしと訓練後の教育」で詳しく扱います。

無料の公的教材を使う

教材は、公的な機関が無料で公開しているものも使えます。

• 映像で知る情報セキュリティ（IPA）：脅威と対策をドラマなどで学べる動画のシリーズです。IPAは、YouTubeの「IPA Channel」で公開している動画を、そのままブラウザで再生して社内研修に使ってよく、事前の申請は要らないとしています。ダウンロードや二次利用は、YouTubeの利用規約に従う必要があります。一覧には、社内のメール訓練を舞台に、標的型攻撃メールの手口と対策を説明する約10分の動画もあります
• 5分でできる！情報セキュリティポイント学習（IPA）：主に中小企業で働く人向けの、1テーマ5分で学べる無料の教材です。PDFで提供され、各テーマの最後に確認テストが付いています。経営者・管理者向け、従業員向けなどのコースがあります

使う前に、それぞれのページで最新の利用条件を確認してください。

受講と理解を確かめる

eラーニングは、配っただけでは効果がわかりません。経済産業省の管理基準は、意識向上・教育・訓練の活動の終わりに、要員の理解を評価することを挙げています（6a-6.3.4）。

確かめる方法には、次のようなものがあります。

• 受講記録と小テストの点数を残す
• 期限を決め、未受講の人に案内を送り直す
• 次のメール訓練の結果と、受講状況を並べて見る

総務省の調査では、新しく採用された人や、ほかの府省庁から移ってきた人、育児休業などから戻った人に、着任から3か月以内にeラーニングを受けさせる例が紹介されています。人の出入りに合わせて受講の時期を決めておくと、受け漏れを防げます。

内容を特定の文面に偏らせない

IPAは、攻撃メールの文面や誘い方は変わり続けるため、教育では具体的な文面や手口を伝えるとともに、不自然・不審なメール全般への意識を高める内容にすることが望ましいとしています。eラーニングでも訓練でも、「迷ったら開かずに報告する」という行動を中心に据えましょう。

eラーニングが付いた訓練サービスと、訓練だけのサービスがあります。どこまでそろっているかは比較表で確認してください。

まとめ

• eラーニングは「知識を学ぶ」、メール訓練は「知識を行動にできるかを確かめる」もの。役割が違うため、組み合わせて使う
• IPAも、教育・研修とメール訓練の両方を行い、報告まで演習するよう求めている
• 「eラーニングで学ぶ → 訓練で確かめる → 結果をもとにもう一度学ぶ」の順で回すと、弱いところを補いやすい
• IPAの「映像で知る情報セキュリティ」や「5分でできる！情報セキュリティポイント学習」は無料で使える。利用条件は各ページで確認する
• 受講記録、小テスト、次の訓練の結果で、理解できたかを確かめる