メール訓練は自社で行うか、外部に任せるか：ツール型と配信代行型の選び方

自社で行うか、外部に任せるかとは

標的型メール訓練の進め方には、大きく二つの形があります。IPA（情報処理推進機構）も、セキュリティ企業が提供する訓練サービスを使うケースと、システム管理部門などが中心になって自前で訓練を行うケースがあると紹介しています（IPA「組織における標的型攻撃メール訓練は実施目的を明確に」2017年）。

• 自社で行う（ツール型）：訓練用のツールやクラウドサービスを使い、文面の選択、配信、集計を自社の担当者が行う
• 外部に任せる（配信代行型）：訓練を提供する会社に、文面づくりや配信、集計、報告書づくりなどを任せる

どちらが良いかは、会社の規模や担当者の手の空き具合、訓練で何を確かめたいかで変わります。この記事では、作業ごとにどちらがどこまで担うことが多いかを整理し、選ぶときの考え方をまとめます。サービスの具体的な比較は比較表、費用の考え方は費用の試算で確認してください。

作業ごとの分担の違い

訓練の作業を、自社で行う場合と外部に任せる場合で比べると、次のようになります。どこまで任せられるかはサービスごとに違うため、この表は、2つの運用の形の違いを当サイトで整理した目安です。実際の分担は、各サービスの公式情報で確かめてください。

作業	自社で行う（ツール型）	外部に任せる（配信代行型）
目的と対象者を決める	自社	自社（相談しながら決められることが多い）
文面づくり	ひな形から選ぶ・自社で直す	提供会社が作る・提案する
許可リストの設定	自社	自社（手順の案内を受ける）
配信	自社で予約・実行	提供会社
社員からの問い合わせ	自社	自社が中心。窓口を分けられる場合もある
集計・報告書	ツールの画面・出力をもとに自社でまとめる	提供会社がまとめる

担当者の工数

いちばん差が出るのは、担当者が使う時間です。自社で行う場合は、配信の予約、テスト配信の確認、配信中の見守り、集計のまとめまでを担当者が行います。外部に任せる場合は、打ち合わせと確認が中心になります。

一方で、自社で行う形は、配信の時期や回数を自分で決めやすく、思い立ったときに小さく試せます。一人で情報システムを担当している場合の考え方は「ひとり情シスでも続けられる標的型メール訓練の進め方」を参考にしてください。

文面づくり

自社で行う場合は、ツールに用意されたひな形から選ぶか、自社向けに書き直します。業務に近い文面を作れる反面、作り込みには時間がかかります。

どちらの形でも気をつけたいのは、実在する組織名や、よく似た名前を使わないことです。IPAは、実在の組織名を使った訓練メールによって、その組織に問い合わせが入ったり、SNSで広まって風評被害が起きたりするおそれがあるとして、使わないことが賢明だとしています。外部に任せる場合も、文面の最終確認は自社で行いましょう。件名の型や本文の要素は「訓練メールの文例・件名の作り方」で整理しています。

許可リストの設定

訓練メールは攻撃メールに似せて作るため、会社のメールフィルタに止められることがあります。この設定は、外部に任せる場合でも自社の作業になることが多い点に注意が必要です。自社のメール環境の設定を変えられるのは、自社の管理者だけだからです。

たとえばMicrosoft 365では、Microsoft以外の訓練サービスのメールを止めずに届けるために「高度な配信ポリシー」を設定し、訓練メールの送信元のドメインと送信元のIPアドレスを登録します（Microsoft「高度な配信ポリシーを構成する」）。また、メールのセキュリティ製品やウイルス対策ソフトなどを別に使っている場合は、そちらでも訓練のURLやドメインを除外する設定が必要になることがあります（Microsoft「攻撃シミュレーション トレーニングに関する FAQ」）。

サービスを選ぶときは、自社のメール環境向けの設定手順が用意されているか、設定でつまずいたときに相談できるかを確かめましょう。環境ごとの考え方は「Microsoft 365 での訓練」「Google Workspace での訓練」で解説しています。

問い合わせと報告への対応

訓練中は、「このメールは本物か」という問い合わせや、不審なメールの報告が届きます。IPAは、報告先と報告の書式、報告を受けた管理者の対応手順を、あらかじめ決めておくよう勧めています（IPA「企業組織を狙う攻撃メールの手口とその対策」2026年）。

訓練の報告を受ける窓口は、本物の攻撃メールの報告を受ける窓口と同じにしておくほうが、練習になります。そのため、外部に任せる場合でも、社内の窓口としての対応は自社に残ることが多くなります。

集計と報告書

自社で行う場合は、ツールの画面や出力をもとに、経営層向けの報告を自社でまとめます。外部に任せる場合は、報告書の作成まで含まれることが多くなります。報告書にどの項目が入るかは、サービスごとに確かめておきましょう。

どちらの場合も、開封率だけでなく、報告した人の数と早さまで集計できるかを確かめておきましょう。数字の見方は「訓練の結果の見方」で解説しています。

選ぶときの考え方

自社で行う形が向いている場合

• 担当者が配信や集計の時間を確保できる
• 年に何回も、小さく繰り返したい
• 部署ごとに時期や文面を変えたい
• 自社のメール環境の設定に慣れている

外部に任せる形が向いている場合

• 担当者が少なく、ほかの業務で手が回らない
• 初めての訓練で、進め方ごと相談したい
• 経営層や監査向けに、第三者がまとめた報告書がほしい
• 文面づくりに自信がない

途中で切り替えることもできる

最初の1〜2回は外部に任せて進め方を覚え、慣れたら自社で行う形に切り替える、という進め方もあります。反対に、自社で続けてきたが担当者の異動で手が回らなくなった、という場合に外部に任せることもあります。

選ぶときは、「どの作業を自社に残し、どの作業を任せたいか」を先に書き出しておくと、サービスを比べやすくなります。サービスの種類ごとの違いは比較表、課金方式ごとの費用の目安は費用の試算で確認できます。

まとめ

• 訓練の進め方には、ツールを使って自社で行う形と、配信代行で外部に任せる形がある
• 大きく違うのは、文面づくり・配信・集計と報告書を誰が担うかと、担当者の工数
• 許可リストの設定と、社員からの問い合わせ・報告の窓口は、外部に任せても自社に残ることが多い
• どちらの形でも、実在する組織名は使わず、報告まで集計できるかを確かめる
• 「自社に残す作業」と「任せたい作業」を書き出してから、比較表と費用の試算で比べる