標的型メール訓練のやり方：準備から振り返りまでの流れ

標的型メール訓練の全体の流れ

標的型メール訓練は、「訓練メールを送って、開いた人を数える」だけの作業ではありません。準備・実施・事後の対応を一続きで考えることで、はじめて効果が出ます。

この記事では、初めて訓練を担当する人向けに、流れを8つのステップに分けて説明します。

ステップ	やること	主な担当
1	目的と確かめたい行動を決める	情報システム・総務
2	対象者と実施時期を決める	情報システム・総務
3	報告の窓口と問い合わせ対応を決める	情報システム
4	許可リストへの登録と事前テスト	情報システム
5	訓練メールの文面を作る	情報システム・総務
6	配信と、配信直後の対応	情報システム
7	種明かしと事後の教育	情報システム・総務
8	結果の集計と振り返り	情報システム・総務・経営層

訓練サービスを使う場合は、ステップ4〜6や8の一部をサービス側が担うことがあります。どこまで任せられるかはサービスの種類（ツール型・配信代行型）で変わるため、比較表で確認してください。

ステップ1：目的と確かめたい行動を決める

最初に決めるのは、この訓練で何を確かめたいかです。IPA（情報処理推進機構）は、訓練の目的を明確にしてから訓練の内容を決めることが大切だとしています。目的の例として、次の3つが挙げられています（IPA「組織における標的型攻撃メール訓練は実施目的を明確に」2017年）。

• 不審なメールの添付ファイルを開いてしまう割合を下げる
• 受け取った人が適切に対処できるかを確かめる
• 報告を受ける側の体制が機能するかを確かめる

目的が決まったら、社員に求める行動を一文で書いておきます。たとえば「怪しいと思ったら開かずに、決められた窓口に報告する」です。IPAの2026年の資料でも、訓練では不審なメールの報告を手順どおりに行うところまで演習するよう求めています（IPA「企業組織を狙う攻撃メールの手口とその対策」2026年）。

目的の考え方は「標的型メール訓練とは」で詳しく解説しています。

ステップ2：対象者と実施時期を決める

対象者の決め方

対象者の範囲には、主に次の2つの考え方があります。

• 全社員：組織全体の状況がわかる。報告の流れも全体で練習できる
• 一部の部署から：初めての訓練で、問い合わせや混乱を小さくしたい場合に向いている

決めるときは、次の点も確認します。

• 役員を含めるか
• 派遣社員・委託先の社員など、社外の人を含めるか。含める場合は、契約や相手先の了解を確認する
• 休職中の人、共有アドレスなど、送っても意味がないアドレスを外す
• 社員のメールアドレスや結果を扱うため、個人情報の取り扱いルールに沿っているか

時期の決め方

決算期や繁忙期など、業務が立て込む時期は避けます。大型連休の前後は、社員が不在のことも多く、結果が読みにくくなります。年に何回行うか、どの時期に置くかは「訓練の頻度と年間計画」で解説します。

社内の関係者に知らせておく

訓練のことを全社員に知らせるかどうかは、目的によって変わります。ただし、経営層、システム部門の窓口担当、ヘルプデスク、広報などには、事前に知らせておきます。本物の攻撃と誤解されて、大きな騒ぎになることを防ぐためです。社員への事前告知の考え方は「訓練の事前告知」で扱います。

ステップ3：報告の窓口と問い合わせ対応を決める

訓練の前に、不審なメールをどこに、どうやって報告するかを決めておきます。IPAは、報告先と報告の書式を決めておくよう勧めています。書式には、受信日時、送信元、リンクや添付の有無、クリックや開封をしたかどうか、などを含めます（IPA 2026年）。

あわせて、次のことも決めておきます。

• 開いてしまった人が最初にすること（IPAは、添付ファイルを開いた場合はパソコンをネットワークから切り離すことを挙げています）
• 「このメールは本物か」という問い合わせへの答え方
• 訓練中に本物の攻撃メールが届いた場合の扱い（訓練と区別して、通常の手順で対応する）

報告先が決まっていないと、訓練で確かめられるのは「開いた・開かない」だけになります。

ステップ4：許可リストへの登録と事前テスト

訓練メールは、攻撃メールに似せて作るため、会社のメールフィルタやセキュリティ製品に止められることがあります。そこで、訓練メールだけを通す設定を行います。

• メールの受信側：迷惑メールフィルタやセキュリティゲートウェイで、訓練メールの送信元（サーバーやドメイン）を許可リストに登録する
• リンク先：プロキシやWebフィルタで、訓練用のページへの接続が止められないようにする
• 添付ファイル：訓練用の添付ファイルが削除・無害化されないか確認する

注意したいのは、セキュリティ製品がメール内のリンクを自動で確認する設定になっている場合です。社員が押していないのに「クリックあり」と記録されることがあるため、配信前に確かめます。

設定の方法は、使っているメール環境や製品によって異なります。訓練サービスを使う場合は、サービスが案内する設定手順に沿って行います。

設定が終わったら、担当者やごく少数の協力者にテスト配信をします。届くか、迷惑メールに入らないか、リンクや添付の記録が正しく取れるか、報告が届くかを確認します。

ステップ5：訓練メールの文面を作る

文面は、ステップ1で決めた目的に合わせて選びます。「見分ける力」を確かめたいなら一般的な攻撃メールに近い文面、「報告の流れ」を確かめたいなら業務に近い文面、といった考え方です。

文面を作るときの注意点は次のとおりです。

• 実在する組織名を使わない：IPAは、実在する組織名や酷似した名前を使った訓練は避けたほうがよいとしています。受け取った人がその組織に問い合わせ、相手の業務に迷惑をかけるおそれがあるためです
• 社員を不必要に傷つけない：給与、人事評価、健康など、不安をあおりすぎる題材は慎重に扱う
• 社内の実在の人物を差出人にしない：本人への問い合わせが集中するおそれがある

件名の型や本文の要素は「訓練メールの文例・件名の作り方」で整理しています。

ステップ6：配信と、配信直後の対応

全員に同時に送ると、社内で「変なメールが来た」と話が広がり、結果が変わることがあります。時間をずらして配信する方法もあります。

配信直後は、次の点を見ておきます。

• 届いていない、迷惑メールに入った、といった不具合がないか
• 問い合わせや報告が、決めた窓口に届いているか
• 想定外の混乱（取引先への転送など）が起きていないか

ステップ7：種明かしと事後の教育

訓練期間が終わったら、訓練だったことを全員に知らせます（種明かし）。リンクを押した人には、押した直後に訓練用のページで知らせる方法もあります。

種明かしでは、次の内容を伝えます。

• 今回のメールが訓練だったこと
• どこを見れば気づけたか（差出人、件名、リンク先など）
• 気づいたときに、どこへどう報告すればよいか

開いてしまった人を責める伝え方は避けます。報告した人を評価する伝え方のほうが、次の報告につながります。

総務省の調査では、国の行政機関が訓練後に行ったフィードバックの例として、開いた人に開いたときの心理を聞くアンケート、訓練結果の分析と所見の周知、最近の攻撃メールの実例の紹介などが挙げられています（総務省「国の行政機関における情報セキュリティ対策に関する実態調査」2021年）。教育の進め方は「訓練後の教育」で詳しく扱います。

ステップ8：結果の集計と振り返り

最後に、結果を集計して次の訓練に生かします。

集計する数字

• 開封した割合（リンクを押した、添付を開いた）
• 報告した割合と、報告までにかかった時間
• 部署・職種ごとの違い

開封率は、文面の難しさによって変わります。前回との比較は、同じくらいの難しさの文面で行うことが大切です。数字の見方は「訓練のKPI」と「報告率」で解説します。

振り返る点

• 報告の窓口は機能したか。報告を受けたあとの対応は手順どおりだったか
• 許可リストの設定や配信で、問題はなかったか
• 社員の問い合わせや意見から、わかりにくかった点はないか

結果は、経営層にも報告します。次の訓練の目的や時期、教育の内容を見直し、ステップ1に戻ります。国家サイバー統括室（旧NISC）のコラムでも、メール訓練が恒例となっている組織に向けて、訓練の目的や実施方法を見直すよう呼びかけています（国家サイバー統括室「攻撃メール訓練の目的や方法を見直すヒント」2022年）。

まとめ

• 訓練は「目的 → 対象と時期 → 報告の窓口 → 許可リストとテスト → 文面 → 配信 → 種明かしと教育 → 振り返り」の順で進める
• 最初に目的と、社員に求める行動を決める。IPAは報告までの演習を求めている
• 報告先と書式、問い合わせへの答え方は、配信の前に決めておく
• 訓練メールが止められないよう許可リストに登録し、テスト配信で記録や報告の届き方を確かめる
• 実在する組織名は使わない。種明かしでは責めずに、気づき方と報告の仕方を伝える
• 結果は、同じくらいの難しさの文面で比べ、次の訓練の計画に生かす