訓練の結果報告書の作り方：経営層に何をどう伝えるか

訓練の結果報告書とは

訓練の結果報告書とは、標的型メール訓練で何を確かめ、どんな結果が出て、次に何をするかを、経営層や関係部署に伝えるための文書です。

報告書は「開封率が何％だった」を伝えるだけのものではありません。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が対策の状況を定期的に報告させることで問題の早期発見に努め、兆候があれば改善させることを求めています。チェック項目には、サイバーセキュリティ運用管理に関するKPI（取り組みの進み具合を測る指標）を定めていること、経営者が定期的に報告を受けて議論・指示していることが挙げられています。

つまり、訓練の報告書は、経営層が判断し、指示を出すための材料です。

報告書に入れる内容

構成の基本

経営層向けの報告書は、次の順番にすると読みやすくなります。

順番	内容	書き方のポイント
1	結論（3行以内）	何が良くなり、何が課題で、何を決めてほしいか
2	訓練の概要	目的、対象、時期、訓練メールの種類と難しさ
3	結果	決めた指標と、前回との比較
4	わかったこと	数字の理由、報告の窓口の動き
5	次の施策	教育、流れの見直し、次の訓練の計画
6	お願いしたいこと	予算、参加の呼びかけ、規程の見直しなど

経営層は細かい数字より「結局どうなのか」「何を決めればよいのか」を知りたい立場です。最初のページだけで判断できるようにし、部署別の表などは後ろに回します。

載せる指標

指標は、訓練の目的に合わせて2〜3個に絞ります。

• リスク行動率：リンクを押した、添付を開いた人の割合
• 報告率：決められた窓口に報告した人の割合
• 報告までの時間：配信から最初の報告が届くまでの時間など

金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」は、経営陣がKPIとリスク指標の報告を担当部署に求めることを挙げ、KPIの例の一つとして「標的型メール訓練の報告率」を示しています。金融機関向けの資料ですが、ほかの業種でも、報告率を経営層への報告の中心に置く考え方は参考になります。

指標の数え方は「訓練の結果の見方」、報告率の分母の取り方は「報告率とは」で解説しています。

自社の状況を伝える材料

IPAの「サイバーセキュリティ経営ガイドライン Ver3.0実践のためのプラクティス集」には、経営会議への報告の目次の例として、自社へのサイバー攻撃の状況、対策の実施状況、他社の被害の発生状況、攻撃のトレンドが挙げられています。同じ事例では、報告は毎回同じ形で続けることにしています。

訓練の報告書でも、訓練の結果だけでなく「実際に届いた不審メールの報告件数」や「最近の手口」を短く添えると、訓練の意味が伝わりやすくなります。

報告するタイミング

報告は、訓練のたびに行うのが基本です。あわせて、年に一度など、1年分の結果をまとめて報告する場を作っておくと、流れが見えやすくなります。

金融庁のガイドラインでは、経営陣は少なくとも1年に1回、自組織を取り巻くリスクの状況や取組計画の進み具合などの報告を求めることを基本的な対応としています。KPIとリスク指標については、少なくとも1年に2回報告を求めることを、対応が望ましい事項として挙げています。業種によって求められる水準は違いますが、社内の経営会議の予定に合わせて、報告の時期を年間の計画に組み込んでおきましょう。

書くときの注意点

前回と比べるときは条件をそろえる

訓練の結果は、訓練メールの難しさで大きく変わります。前回より数字が良くなっても、文面がやさしかっただけかもしれません。

• 比べるときは、同じくらいの難しさの文面、同じ範囲の対象者で比べる
• 条件が違う場合は、「今回は業務に近い文面で難しくした」などと書き添える
• 他社や業界の「平均」と比べることは避ける。出典のある公的な数値でない限り、条件が違いすぎて判断の材料にならない

報告書の形を毎回同じにしておくと、前回との違いが一目でわかります。

数字の理由を書く

数字だけでは、経営層は次の手を判断できません。「なぜそうなったか」を1〜2行で添えます。

IPAのプラクティス集には、開封率だけでなく報告率も計測・分析し、報告率が低い、報告が遅い傾向がある場合は、アンケートで原因を分析したうえで初動の方法を周知するなど、個別にフォローした事例が載っています。「報告の方法を知らなかった人が多かった」「スマートフォンで見て報告ボタンが使えなかった」といった理由がわかれば、次の施策が具体的になります。

また、IPAの2017年の呼びかけが挙げるように、報告を受けた側の対応の流れに問題がなかったかも、結果の一つとして書きます。

個人や部署を責める資料にしない

部署別・役職別の結果は、教育の重点を決めるのに役立ちます。一方で、報告書に個人名を載せたり、部署の順位表を作ったりすると、「開いたことを隠す」方向に働くおそれがあります。

• 報告書に載せるのは、部署・役職の単位までにする
• 数字の低い部署は「重点的に教育する対象」として書き、叱る材料にしない
• 報告した人が多かった部署を評価する書き方にする

責めない伝え方は「種明かしと訓練後の教育」でも解説しています。

次の施策は「誰が・いつ・何を」で書く

最後に、次の施策を具体的に書きます。

• 教育：対象（全員、リスク行動のあった人、特定の部署）と時期
• 報告の流れ：見直す点と担当
• 次の訓練：時期、目的、文面の難しさ

ガイドラインが求めるように、経営層の役割は、報告を受けて議論し、指示を出すことです。予算や、役員からの呼びかけなど、経営層に決めてほしいことをはっきり書いておくと、報告が「聞いて終わり」になりません。年間の計画の立て方は「訓練の頻度と年間計画」を参考にしてください。

まとめ

• 訓練の結果報告書は、経営層が判断し指示を出すための材料。最初のページで結論とお願いがわかるようにする
• 指標は目的に合わせて2〜3個に絞る。金融庁のガイドラインは、KPIの例に標的型メール訓練の報告率を挙げている
• 前回との比較は、文面の難しさと対象をそろえて行い、他社の平均とは比べない
• 数字の理由と、報告を受けた側の動きも書く
• 個人名や部署の順位は載せず、報告した人を評価する書き方にする
• 次の施策は「誰が・いつ・何を」で書き、経営層に決めてほしいことを明記する