標的型メール訓練の頻度と年間計画の立て方

訓練の頻度とは：公的な「回数の決まり」はあるか

標的型メール訓練を始めるときに、多くの担当者が迷うのが「年に何回やればよいのか」です。

まず前提として、この記事の作成にあたって確認した公的な資料（IPA、国家サイバー統括室、総務省）には、民間企業に向けて「年に何回行うべき」と回数を定めたものは見当たりませんでした。

そのうえで、IPA（情報処理推進機構）は2026年の資料で、教育・研修や訓練を**「定期的に」行い、その効果を確認する必要がある**としています（IPA「企業組織を狙う攻撃メールの手口とその対策」2026年）。つまり、1回で終わらせず、続けることが求められています。

何回にするかは、目的と、社内で回せる体制に合わせて決めるものです。この記事では、その決め方を整理します。

参考：国の行政機関の実施状況

回数の目安として、総務省の調査が参考になります。2020年11月時点で訓練を実施していた21府省庁のうち、年1回で完結する形で実施していたのは6府省庁、年に複数回を一連の訓練として実施していたのは15府省庁でした（総務省「国の行政機関における情報セキュリティ対策に関する実態調査」2021年）。

これは国の行政機関の状況で、民間企業への推奨ではありません。ただ、訓練を「年に何回かの一連の取り組み」として組み立てる例が多いことはわかります。

頻度の考え方：回数ごとの特徴

ここでは、よく検討される回数の型ごとに、向いている場面と注意点を整理します。どれが正解というものではありません。

回数の型	向いている場面	注意点
年1回	初めて訓練を行う。まずは全社の状況を知りたい	前回の内容を忘れやすい。1回の結果だけでは、文面の難しさの影響と区別しにくい
年2回（半期ごと）	1回目の結果を受けて教育し、2回目で変化を確かめたい	1回目と2回目の文面の難しさをそろえないと、比べにくい
四半期ごと（年4回）	報告の流れを定着させたい。手口の変化に合わせて文面を変えたい	準備・問い合わせ対応・集計の手間が増える。社員の「訓練疲れ」に配慮が必要
毎月・小規模に分けて	部署ごとに時期をずらし、常に誰かが訓練を受けている状態にしたい	仕組み（配信・集計）の用意が前提。全体の結果をまとめる方法を決めておく

回数を決める3つの視点

1. 目的

IPAは、訓練の目的を明確にしてから内容を決めるよう求めています（IPA「組織における標的型攻撃メール訓練は実施目的を明確に」2017年）。回数も同じです。

• 「全社の現状を知る」が目的なら、まずは少ない回数で、対象を広く
• 「報告を習慣にする」が目的なら、報告を練習する機会を増やす
• 「教育の効果を確かめる」が目的なら、教育の前後に訓練を置く

2. 運用の手間

1回の訓練には、準備、許可リストの確認、問い合わせ対応、種明かし、集計、報告書づくりがあります。担当者の人数に対して回数が多すぎると、1回ごとの振り返りが浅くなります。振り返りまでやりきれる回数にすることが大切です。流れは「標的型メール訓練のやり方」で解説しています。

3. 費用

訓練サービスを使う場合、料金の方式（通数課金・ユーザー課金・定額）によって、回数を増やしたときの費用の増え方が変わります。通数課金なら回数に比例し、ユーザー課金や定額なら回数が増えても費用は変わりにくい、といった違いがあります。人数・回数ごとの試算は「年間費用の試算」、サービスごとの違いは比較表を参照してください。

年間計画の立て方

回数が決まったら、1年の流れに落とし込みます。次の順に考えると、計画が立てやすくなります。

手順1：年間の目的とゴールを決める

「今年度は、不審なメールを受け取った人が報告できる状態をつくる」のように、1年を通した目的を決めます。数字の目標を置く場合は、何を測るか（開封した割合、報告した割合など）も決めます。指標の選び方は「訓練のKPI」で解説します。

手順2：社内の予定と重ねる

次のような予定と重ならない時期を選びます。

• 決算期、繁忙期、大型連休
• 新入社員の入社、人事異動の時期（訓練の対象に含めるか、別に行うかを決める）
• 全社のセキュリティ研修（研修の直前・直後のどちらに訓練を置くかを決める）

手順3：各回の役割を決める

回ごとに役割を持たせると、結果を比べやすくなります。

• 初回：現状を知る回。文面の難しさは中くらいにする
• 中間の回：教育の効果を確かめる回。初回と同じくらいの難しさにする
• 最終回：1年の成果を確かめる回。報告の流れまで含めて確認する

手順4：教育と振り返りを組み込む

訓練の後には、種明かしと教育、結果の振り返りも計画に入れておきます。IPAは、訓練では不審なメールの報告を手順どおりに行うところまで演習するよう求めています。訓練と教育をセットで計画しましょう。教育の進め方は「訓練後の教育」で扱います。

年間計画の例（年2回の場合）

以下は、4月始まりの会社で年2回行う場合の一例です。時期は会社の事情に合わせて変えてください。

時期	やること
4〜5月	年間の目的を決める。報告の窓口と手順を見直し、全社に周知する
6月	1回目の訓練（現状を知る）。種明かしと教育
7月	1回目の結果を集計し、経営層に報告。教育の内容を見直す
9〜10月	全社のセキュリティ研修
11月	2回目の訓練（1回目と同じくらいの難しさ）。種明かしと教育
12〜1月	2回目の結果を集計し、1回目と比べる
2〜3月	1年の振り返り。来年度の回数・目的・文面の方針を決める

四半期ごとに行う場合は、この表の「訓練 → 教育 → 集計」の流れを年4回に増やします。回数を増やす分、報告書は簡単な形にして、年度末にまとめる方法もあります。

計画を見直すタイミング

年間計画は、一度決めたら終わりではありません。次のようなときは、回数や内容を見直します。

• 結果が頭打ちになった：同じ型の文面に慣れただけかもしれません。文面や目的を変えることを検討します
• 報告が増えない：開封する人が減っても、報告が増えていなければ、報告の手順がわかりにくい可能性があります
• 新しい手口が話題になった：公的機関の注意喚起などで新しい手口が取り上げられたら、それに近い型の訓練を追加することを検討します
• 組織が大きく変わった：合併、拠点の追加、メール環境の変更などがあった場合です

国家サイバー統括室（旧NISC）のコラムは、メール訓練が恒例となっている組織に向けて、訓練の目的や実施方法を見直すよう呼びかけています（国家サイバー統括室「攻撃メール訓練の目的や方法を見直すヒント」2022年）。毎年同じ計画を繰り返すのではなく、年に一度は計画そのものを見直しましょう。

まとめ

• 確認した公的な資料には、民間企業向けに訓練の回数を定めたものは見当たらなかった。IPAは教育・研修や訓練を「定期的に」行い、効果を確かめるよう求めている
• 総務省の調査では、訓練を実施していた21府省庁のうち15府省庁が、年に複数回を一連の訓練として実施していた（2020年11月時点）
• 回数は「目的」「運用の手間」「費用」の3つの視点で決める。振り返りまでやりきれる回数にする
• 年間計画は、目的とゴール → 社内の予定との調整 → 各回の役割 → 教育と振り返り、の順で立てる
• 結果が頭打ちになったときや新しい手口が出たときは、回数や内容を見直す