報告率とは：クリック率より報告率を重視する理由と上げ方

報告率とは

報告率（通報率ともいいます）とは、標的型メール訓練で、不審なメールに気づいて決められた窓口に報告した人の割合のことです。

報告率は、分母を何にするかで意味が変わります。総務省行政評価局の実態調査（2021年）は、各府省庁の訓練を分析する中で、報告の確かめ方を次の2つに分けています。

• 訓練メールを開封した人のうち、決められた報告先に報告した人数を把握する
• 開封した人・しなかった人を含めた対象者全体のうち、報告した人数を把握する

前者は「うっかり行動してしまった人が、そのあと報告できたか」を見る数え方です。後者は「気づいて知らせる習慣が社内に広がっているか」を見る数え方です。

どちらを使うかは、訓練の目的に合わせて決めます。大切なのは、最初に定義を決めて、毎回同じ数え方で比べることです。なお、同じ調査では、報告までを訓練の中に位置づけていた府省庁は約4割にとどまっていました。ほかの指標との関係は「訓練の結果の見方」で解説しています。

クリック率より報告率を重視する理由

1. 報告は「検知」の一部になる

IPA（情報処理推進機構）の資料「企業組織を狙う攻撃メールの手口とその対策」は、メールの自動チェックをすり抜けて受信箱に届いた攻撃メールを、利用者が報告することも「検知の一環」と考えられるとしています。同じ資料は、人は意識を高めることで「第二の検知対策」になりうるとも述べています。

どれだけ注意しても、クリックしてしまう人をゼロにするのは難しいものです。しかし、誰か1人が早く報告すれば、担当者は同じメールを受け取ったほかの社員に注意を呼びかけたり、メールの受信を止める設定を追加したりできます。IPAの資料でも、報告を受けた管理者の対応として、全社員への注意喚起やメールフィルタリングのルール追加が挙げられています。

2. クリック率だけでは見えない課題がある

IPAの「サイバーセキュリティ経営ガイドライン Ver3.0実践のためのプラクティス集」には、訓練で開封率だけでなく報告率も測った企業の事例が載っています。部署ごとの結果を見ると、開封率は高いが報告率も高い部署と、開封率は低いが報告率も低い部署がありました。

開封率だけで評価すると、後者の部署は「成績がよい」ように見えます。しかし、本物の攻撃メールを開いてしまったときに報告が上がらなければ、対応は遅れます。クリック率は文面の難しさでも上下するため、報告率とあわせて見ることで、社内の課題が見えやすくなります。

3. 「失敗を隠さない」文化を育てられる

同じプラクティス集の事例では、この企業は以前、攻撃メールを開いた人からセキュリティ部門への連絡が遅れ、適切な初動対応ができなかったことがありました。社内には、過去のインシデントで関係者が厳しく叱られたという、事実と異なるうわさも流れていたそうです。

そこでこの企業は、ふだんから「開封しない」ではなく「開封した場合は報告する」ことを周知し、「報告してくれてありがとう」と伝えて、報告を前向きに評価する風土を作ろうとしています。報告率を重視することは、クリックした人が黙ってしまう問題を防ぐことにつながります。

4. 報告の早さも測れる

IPAは訓練の目的の例として、然るべき部門や担当者が報告を受けるまでの時間を測ることを挙げています。プラクティス集の事例でも、報告が遅い傾向がある場合に原因を調べ、個別にフォローしています。報告は「するかどうか」に加えて「どれだけ早いか」も大切です。

報告の仕組みの種類

報告のしかたには、いくつかの種類があります。自社のメール環境と、担当者が受け付けられる量に合わせて選びます。

方法	内容	向いている場面
メールソフトの報告ボタン	ボタンを押すだけで、決められた宛先に報告される	手間を減らし、報告の数を増やしたい
担当窓口への転送	不審なメールを情報システム部門などのアドレスに転送する	追加の設定なしで始めたい
電話・チャット・社内フォーム	口頭や社内ツールで知らせる	急ぎの連絡、クリックしてしまった後の連絡

経済産業省の「情報セキュリティ管理基準（令和7年改正版）」も、報告の仕組みはできるだけ簡単で使いやすく、いつでも利用できるものにすることを挙げています（6a-6.8.3）。

メールソフトの報告ボタン

メールソフトの中には、報告用のボタンを持つものがあります。たとえばMicrosoftの公式ドキュメントによると、Outlookの組み込みの「レポート」ボタンで報告されたメールは、管理者の設定に応じて、組織が指定した報告用のメールボックス、Microsoft、またはその両方に送られます。Gmailにも「フィッシングを報告」の機能があり、報告したメールのコピーがGoogleに送られると案内されています。

ボタンで報告されたメールが、社内の担当者に届くのか、メールソフトの提供元だけに届くのかは、設定や機能によって違います。社内で状況を把握したい場合は、担当者に届く設定になっているかを確認しましょう。

また、訓練サービスの中には、訓練用の報告ボタンを用意し、報告した人を自動で集計できるものもあります。対応しているかどうかはサービスやメール環境によって違うため、比較表で確認してください。

転送や電話で報告する場合

転送で報告を受ける場合は、報告の内容をそろえておくと対応が早くなります。IPAの資料は、報告の書式に「受信日時、送信元、リンク・添付ファイルの有無、クリック・開封の有無」を含めるよう示しています。

電話など口頭で受け付ける場合は、受けた時刻を記録する方法を先に決めておきましょう。記録が残らないと、報告までの時間を測れません。また、多くの人に一斉に送ると報告が集中します。IPAは、受信者数や送信日時を調整し、多くの報告が来たときに報告から対応完了までの流れに問題がないかを確かめる訓練を例に挙げています。

報告を習慣にするための工夫

報告率を上げるには、訓練の日だけでなく、ふだんから「報告しやすい状態」を作っておくことが大切です。

• 報告先と方法を1つに決めて周知する：IPAは、不審なメールを受け取った人が自分で送信元に確かめるのではなく、社内の然るべき部門や担当者に報告すべきだとしています。報告先が分かりにくいと、報告は増えません
• 報告の手順を教育に入れる：IPAの資料は、教育の中で報告の手順を周知し、訓練では報告を手順どおりに行うところまで練習するよう求めています
• 報告した人に結果を返す：経済産業省の管理基準は、報告した人に、対処が終わった後でできる限り結果を知らせる手続きを挙げています（5e-5.24.8）。すぐに「ありがとうございます」と返すだけでも、報告した人の安心につながります
• うっかりミスも報告してよいと伝える：同じ管理基準は、報告を検討する状況の一つに「ヒューマンエラー」を挙げています（6a-6.8.5）。クリックした後の報告を責めないことを、あらかじめ伝えておきましょう
• 本物の不審メールも報告の対象にする：IPAの資料は、被害に至らなかった「ヒヤリハット」も含めて、セキュリティ担当の部署に情報を集める体制を作るよう求めています。訓練かどうかに関係なく報告してよい、と伝えておきましょう

まとめ

• 報告率（通報率）は、不審なメールに気づいて窓口に報告した人の割合。分母の取り方を決め、毎回同じ定義で比べる
• 報告は攻撃の「検知」の一部になり、クリック率だけでは見えない課題を示し、失敗を隠さない文化づくりにもつながる
• 報告の方法には、報告ボタン・転送・電話やフォームなどがある。報告ボタンは、報告が社内の担当者に届く設定かを確認する
• 報告先の一本化、教育での周知、結果の返信、責めない運用で、報告を社内の習慣にする