役員・経営層を標的型メール訓練の対象にするときの進め方

役員・経営層を訓練の対象にするとは

役員・経営層を訓練の対象にするとは、社長や役員、部長級などの幹部にも、社員と同じように訓練メールを送り、報告までの行動を確かめることです。

訓練を始めるとき、「役員は忙しいから外す」「役員に訓練メールを送るのは失礼では」と迷う担当者は少なくありません。しかし、公的な資料は、幹部を含めた参加を求めています。

• 総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和8年3月版）は、例文で「幹部を含めた全ての職員等は、定められた研修・訓練に参加しなければならない」としています。解説では、全員の参加が情報セキュリティの確保に必要であるため、義務規定を設けるとしています
• 金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」は、経営陣が積極的に研修・訓練等に参加することを求めています
• 経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が自らのリーダーシップのもとで対策を進めることを、経営者が認識すべき原則の一つに挙げています

自治体や金融機関向けの資料ですが、役員も対象に含めるという考え方は、ほかの業種でも参考になります。

役員が関わる攻撃の種類

役員と攻撃メールの関係は、大きく「役員の名前が使われる」ものと「役員自身が狙われる」ものに分かれます。

役員をかたるメール（CEO詐欺）

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、ビジネスメール詐欺（BEC）の代表的なタイプの一つとして、攻撃者が経営者や役員になりすまし、社員に攻撃者の口座へ振り込ませる手口を挙げています。この手口は「CEO詐欺」とも呼ばれます。

IPAは2026年3月、実在する社長名や会社名をかたる詐欺メールについても注意を呼びかけました。業務の指示を装ってLINEグループの作成を求め、その後に振り込みを指示するもので、IPAの相談窓口には2025年12月16日から2026年3月10日までに106件の相談が寄せられています。

この種類のメールで狙われるのは、役員の指示を受ける社員の側です。ただし、社員が「本当に社長の指示か」を確かめられるよう、役員自身が「自分はメールやSNSでこうした指示はしない」と社内に伝えておくことが、対策の一つになります。

役員自身が狙われるメール

役員は、社内の重要な情報や、送金の承認の権限を持っています。IPAの資料は、標的型攻撃メールについて、標的とする人物をあらかじめ定め、業務内容を調べたうえで業務に関連したメールを送ると説明しています。役員のメールアドレスや名前は、会社の公式サイトや報道で公開されていることも多く、狙われやすい立場にあります。また、CEO詐欺の説明の中でも、攻撃者が事前に役員などのメールアドレスを調べ、より本物らしくなりすます場合があるとしています。役員のアドレスは、なりすましの材料としても、攻撃の宛先としても使われるということです。

役員の結果が社員より悪いこともある

IPAの「サイバーセキュリティ経営ガイドライン Ver3.0実践のためのプラクティス集」には、役員も含めて全社員向けに教育を行っていた製造業の会社で、年1回の標的型メール訓練の結果、経営層の開封率がほかの従業員より高い傾向にあった事例が載っています。この会社は、外部講師による経営層向けの研修会を行い、役員の間でリスクの認識が共有されたとしています。

進め方と注意点

経営トップの了解を先に取る

役員を対象にするときは、訓練の計画の段階で、社長など経営トップの了解を取っておきます。

• 訓練の目的（開いた人を探すことではなく、報告の流れを確かめること）
• 役員も対象に含めること
• 結果の扱い方（誰がどこまで見るか）

サイバーセキュリティ経営ガイドラインも、インシデントの発生を想定した緊急対応の演習を、役員や職員に対して定期的に行うことを対策の例に挙げています。メール訓練は、その入口として位置づけることもできます。

トップが「自分も受ける」と社内に伝えてくれると、ほかの役員や社員の協力も得やすくなります。社内への伝え方は「訓練は予告する？抜き打ちにする？」も参考にしてください。

秘書や代理で読む人も考える

役員のメールを、秘書やアシスタントが代わりに確認している会社もあります。その場合、訓練メールを開いたのが本人か秘書かが、結果からはわかりません。

• 代わりに読む人がいる役員は、あらかじめ把握しておく
• 秘書も訓練の対象に含め、報告の流れを知ってもらう
• 結果を見るときは「その役員のアドレスに届いたメールがどう扱われたか」として見る

文面は役員の立場に合わせる

役員向けの訓練メールは、社員向けと同じ文面でもかまいません。役員の業務に近い題材を選ぶ場合も、実在の取引先や団体の名前は使いません。IPAは、実在する組織名を使った訓練は、その組織への問い合わせなど第三者の業務に影響するおそれがあるため、実施しないことが賢明だとしています。文面の考え方は「訓練メールの文例・件名の作り方」で解説しています。

結果は役員個人を責める材料にしない

役員の結果は、社内で目立ちやすい情報です。個人名で報告すると、次の訓練への協力が得にくくなります。

• 役員の結果は「役員全体」としてまとめ、個人名は出さない
• 結果は経営トップと担当責任者だけが見る、など範囲を決めておく
• 課題があった場合は、役員向けの短い研修など、次の施策につなげる

報告する役員を手本にする

役員が不審メールを報告すると、社員にとって「報告してよい」という強いメッセージになります。種明かしのときに、役員からも「報告してくれた人に感謝している」と伝えてもらうとよいでしょう。種明かしの進め方は「種明かしと訓練後の教育」で解説しています。

まとめ

• 総務省の自治体向けガイドラインは幹部を含む全職員の参加を、金融庁のガイドラインは経営陣の積極的な研修・訓練への参加を求めている
• 役員は、名前をかたられる側（CEO詐欺）と、自ら狙われる側の両方になる
• 役員自身が「メールやSNSで送金などの指示はしない」と伝えることも対策になる
• 計画の段階で経営トップの了解を取り、秘書など代わりに読む人も考えておく
• 役員の結果は個人名を出さずにまとめ、研修などの次の施策につなげる