標的型メール訓練とは：目的と得られる効果

標的型メール訓練とは

標的型メール訓練とは、本物の攻撃メールに似せた「訓練メール」を社員に送り、どう行動するかを確かめる訓練です。「標的型攻撃メール訓練」「メール訓練」とも呼ばれます。

訓練メールには、偽のリンクや、開いても害のない添付ファイルが入っています。社員がリンクを押したか、添付を開いたか、担当部署に報告したかを記録し、結果をもとに教育や社内のルールを見直します。

IPA（情報処理推進機構）は、この訓練を「不審なメールを実際に受信した場合、適切な対処が行えるかどうかを確認する目的で実施されるもの」と説明しています（IPA「組織における標的型攻撃メール訓練は実施目的を明確に」2017年）。

なぜ訓練が必要なのか

メールを入口にした攻撃は、今も組織にとって大きな脅威です。IPAの「情報セキュリティ10大脅威 2026」組織編では、「機密情報を狙った標的型攻撃」が5位に入り、2016年から11年連続で選ばれています。

また、IPAの資料では、不審なメールは組織の全員に届く可能性があるため、システム担当者だけでなく組織の全員が手口を知る必要があるとしています。そのうえで、教育・研修と標的型メール訓練を定期的に行い、その効果を確かめることを求めています（IPA「企業組織を狙う攻撃メールの手口とその対策」2026年）。

メールのフィルタは多くの攻撃メールを止めますが、すり抜けて届くものもあります。最後に判断するのは、メールを受け取った人です。訓練は、その「最後の判断」を、本番の前に練習する機会だといえます。

訓練の目的：何を確かめるのか

訓練の目的は一つではありません。IPAは、目的の例として次の3つを挙げています（IPA 2017年）。

• 不審なメールの添付ファイルを開いてしまう割合（開封率）を下げる
• 受け取った人が、適切に対処できるかを確かめる
• 報告を受ける側の体制（有事の体制）が機能するかを確かめる

国家サイバー統括室（旧NISC）のコラムでは、実際に各組織が設定している目的として、次のような例が紹介されています（国家サイバー統括室「攻撃メール訓練の目的や方法を見直すヒント」2022年）。

• リテラシー教育の一環として
• セキュリティ意識の向上のため
• 開いてしまった後の初動を確認するため
• インシデント（事故）の通報を定着させるため
• 不審なメールが増えていることに、定期的に気づいてもらうため
• 開封率が特に高い部署や人を見つけるため

どれを目的にするかで、訓練メールの文面も、集計する数字も、事後の教育も変わります。IPAは、まず目的をはっきりさせてから訓練の内容を決めることが大切だとしています。

開封率だけで評価しない

訓練の結果というと「何%の人が開いたか」に目が行きがちです。しかし、開封率は文面の難しさで大きく変わります。見破りにくい文面にすれば上がり、わかりやすい文面にすれば下がります。

そこで大切になるのが、**「報告できたか」**という見方です。IPAの2026年の資料では、訓練では不審なメールの報告を手順どおりに行うところまで演習するよう求めています。

総務省の調査では、国の行政機関の訓練について、この点が課題として指摘されています。各府省庁は訓練での開封率やクリック率に注目している一方、セキュリティ担当部局などに必要な報告をしたかという「開いた後の行動」までを訓練に位置づけていたのは、約4割にとどまりました（総務省「国の行政機関における情報セキュリティ対策に関する実態調査」2021年。調査は2020年11月、訓練を実施していた21府省庁が対象）。

開封率と報告の数字の見方は、「訓練のKPI」や「報告率」の記事で詳しく解説します。

訓練で得られる効果

ここでは、訓練を行うことで組織が得られるものを、目的に対応させて整理します。

1. 手口を「体験」として知ることができる

講義や資料で手口を学ぶことも大切です。ただ、自分の受信箱に届いたメールに「引っかかる」「気づく」経験は、印象に残りやすいものです。種明かしのあとに解説を読むことで、どこを見れば気づけたかを具体的に振り返れます。

2. 報告の流れを練習できる

「怪しいメールはどこに報告するのか」「どんな内容を伝えるのか」は、決めてあっても、使わなければ忘れられます。訓練は、報告の窓口や手順を実際に使ってみる機会になります。IPAは、報告の書式として、受信日時・送信元・リンクや添付の有無・クリックや開封をしたかどうかなどを含めるよう勧めています。

3. 受け取る側の体制を点検できる

報告を受けたシステム部門が、決めた手順どおりに対応できるかも確かめられます。報告が集中したときの対応や、全社への注意喚起の出し方など、本番で困りそうな点を事前に見つけることができます。

4. 弱いところがわかる

部署や職種ごとに結果を見ると、教育を厚くしたほうがよい部分が見えてきます。ただし、目的は個人を責めることではありません。結果は、教育の内容や社内のルールを見直す材料として使います。

5. 取り組みを説明する材料になる

訓練の実施記録と結果は、社内の経営層への報告や、取引先・監査への説明に使えます。ISMSやプライバシーマークの運用との関係は、「ISMS・Pマークと訓練」で解説します。

よくある訓練の形と注意点

訓練メールの種類

訓練メールには、主に次の型があります。

• リンク型：本文のリンクを押すと、訓練用のページに移る。押したかどうかを記録する
• 添付ファイル型：開いても害のないファイルを添付し、開いたかどうかを記録する
• 報告の練習：受け取ったメールを、決められた窓口や「報告ボタン」で報告できたかを記録する

文面の考え方は「訓練メールの文例・件名の作り方」を参照してください。

実施の形

訓練は、社内で送信の仕組みを用意して行う方法と、訓練サービスを使う方法があります。サービスにも、自社で操作する「ツール型」と、配信や集計を任せる「配信代行型」があり、料金も通数課金・ユーザー課金・定額などに分かれます。違いは比較表でまとめています。

気をつけたい点

• 実在する組織名を使わない：IPAは、実在する組織名や、それに酷似した名前を使った訓練は避けたほうがよいとしています。受け取った人がその組織に問い合わせ、相手の業務に迷惑をかけるおそれがあるためです
• 報告先を先に決めておく：IPAは、不審なメールを受け取った人が、社内のしかるべき部門や担当者に報告できる体制を整えるよう求めています。報告先がないまま訓練をすると、「開いた・開かない」しか確かめられません
• 一度で終わらせない：IPAは教育・研修や訓練を「定期的に」行うよう求めています。回数の考え方は「訓練の頻度と年間計画」で解説します

まとめ

• 標的型メール訓練は、攻撃メールに似せた訓練メールを送り、社員の行動と組織の体制を確かめる訓練
• IPAは、目的の例として「開封率を下げる」「適切に対処できるか確かめる」「有事の体制を確かめる」を挙げ、まず目的を明確にするよう求めている
• 開封率は文面で大きく変わるため、報告できたかどうかまで確かめることが大切
• 得られる効果は、手口の体験、報告の練習、体制の点検、弱いところの把握、取り組みの説明材料など
• 実在する組織名を使わない、報告先を先に決める、定期的に続ける、の3点に注意する