標的型メール訓練は、模擬メールを使って不審な依頼への気づき・確認・報告を練習するセキュリティ訓練です。準備から事後教育までの進め方、費用とサービス選定の確認項目、報告率などの効果測定、CEO詐欺を想定した訓練の考え方を解説します。
更新：2026年10月12日。報告率の計算例、未報告者を含む時間集計、訓練と実際の報告の評価方法を追記しました。
標的型メール訓練とは
標的型メール訓練（標的型攻撃メール訓練）は、業務連絡や取引先の依頼などを装った模擬メールを使い、従業員が不審な内容に気づき、確認・報告できるかを練習する取り組みです。リンクや添付ファイルへの反応を測るだけでなく、迷ったときの連絡先や、操作してしまった後の行動を定着させます。
目的は、だまされた人を見つけて責めることではありません。「どの業務で判断に迷うか」「報告先が分かるか」「依頼を確認する手順が使えるか」を確かめ、教育と業務手順を改善することです。メールを配信して結果を集計するだけでは、この目的は達成できません。
アウェアネス・セキュリティ教育・訓練の違い
セキュリティアウェアネス：日常業務の中でリスクに気づき、安全な行動を意識できる状態を育てる取り組みです。
セキュリティ教育：社内ルール、情報の扱い方、相談・報告の方法などを学びます。動画やeラーニング、対話型の学習などを組み合わせます。
セキュリティ訓練：学んだことを模擬場面で実行します。メール訓練のほか、事故時の連絡・判断を練習する机上演習なども含まれます。
例えば「不審な依頼は確認する」と学ぶのが教育で、社長を名乗る急な依頼に対して実際に確認できるかを練習するのが訓練です。NIST SP 800-50 Rev.1も、行動の変化を目指す学習プログラムと、評価を通じた継続的な改善を扱っています。教育の設計については、セキュリティeラーニングを見直す際の考え方も参考にしてください。
標的型メール訓練の実施手順
1. 練習したい行動と対象を決める
「開かない」だけでなく、「社内窓口へ報告する」「登録済みの連絡先で依頼を確認する」など、終了後にできてほしい行動を決めます。全従業員に共通の内容と、経理・人事・役員秘書など職務に応じた内容を分け、利用端末や言語、勤務時間も考慮します。
目的と対象者の業務に合わせた題材の選び方は、フィッシング訓練の難易度を決める判断表で詳しく解説しています。
2. 関係者と実施範囲を合意する
実施責任者、対象者、期間、問い合わせ窓口、結果を閲覧できる人、データの保存期間、中止条件を決めます。社内の訓練方針や結果の利用目的を伝え、個人を公開で順位付けするなど、報告をためらわせる運用を避けます。
3. 配信と計測を小さく検証する
許可されたテスト対象で、メールが届くか、リンク先が表示されるか、社内の報告手順を使えるかを確認します。メールゲートウェイの自動検査と利用者の操作を区別できるかも確認します。必要な配信設定は管理者と範囲を限定して調整し、本番の防御設定を広く解除しないようにします。
4. 実施中の報告と問い合わせに対応する
配信不能や想定外の外部転送、業務への影響がないかを確認します。模擬サイトで本物のパスワードを収集したり、実際の送金を求めたりする必要はありません。報告を受けた窓口がどう返答するかまで決めておきます。
受付から分析・返信・対処までの担当と完了条件は、不審メールの報告後の運用設計で整理しています。報告ボタンの利用とあわせて、窓口の対応も確認してください。
5. 事後教育と次回の改善につなげる
訓練の意図、確認すべき点、正しい報告方法を説明します。操作した人だけでなく、気づいたものの報告できなかった人にも学習機会を設けます。窓口が分かりにくかった場合は、教材だけでなく報告経路も直します。次回は対象と難易度を記録し、比較可能な条件で変化を見ます。
効果測定：開封率だけで判断しない
以下は運用を設計する際の定義例です。サービスによって集計方法が異なるため、導入前に分母と除外条件を確認してください。
報告率：到達した訓練メールの対象者のうち、所定の方法で報告した人数の割合。同じ人の重複報告は区別します。
報告までの時間：配信・到達など定めた起点から最初の報告までの時間。営業時間外の扱いをそろえ、未報告者を集計から隠さないようにします。
リンク操作などの割合：到達した対象者のうち、模擬リンク等を操作した人数の割合。自動検査によるアクセスを判別できない場合は、その限界を併記します。
受講完了と理解度：教育の対象者に対する完了者の割合と、確認問題の結果を別々に見ます。受講完了をそのまま安全な行動の証明にはしません。
確認手順の実行：依頼者への別経路確認や、社内承認を実行できたかを、演習記録などで確かめます。
開封の計測は画像の読み込みやメールソフトの設定に左右され、クリックの計測には自動スキャンが混ざる場合があります。前回より数値が下がっても、メールの難易度や対象者が異なれば効果とは断定できません。対象なしや計測不能は0％と区別して記録します。
報告率の計算例：分母・重複・集計期限をそろえる
以下はヤグラが提案する架空の集計例で、製品の実績や業界平均ではありません。1回の訓練で1人に1通ずつ、100人へ配信し、5人は配信不能、95人への到達を確認できたとします。事前に決めた集計期限までに、所定の窓口で同じ訓練メールを報告したのは38人、重複を含む受付件数は45件でした。
訓練の報告率は38人÷95人＝40％。分母は到達を確認した対象者、分子は報告した対象者の実人数です。45件÷100人で計算すると、重複と配信不能が混ざります。配信不能の5人は別記し、到達が不明な対象者を都合よく分母から外さないようにします。
未報告は57人、受付の処理量は45件。人数は行動の確認に、受付件数は窓口の負荷の確認に使います。同じ人がクリック後に報告した場合は、両方の行動と順序を残します。クリック者と報告者を排他的な区分にせず、操作後の相談も改善につなげます。
報告時間には、対象人数と未報告人数を添える。到達から最初の報告までの時間を報告者38人について集計するなら、その中央値とあわせて「95人中38人が報告、57人は期限時点で未報告」と示します。未報告者を0分として扱ったり、報告者だけの平均を全員の対応速度と表現したりしません。
複数回の訓練をまとめる場合も、「人」と「人×訓練回」のどちらで数えるかを先に決めます。対象者、到達の確認方法、集計期限、時間の起点、営業時間外の扱いをそろえてから比較してください。NIST Phish Scale User Guideはメールの見分けにくさを評価する方法を示しています。題材の難易度や業務との関連も記録し、率の上下だけで教育効果を決めつけないようにします。
本物の不審メールは、訓練と同じ分母で評価しない
実際の攻撃では、従業員に届いた不審メールの総数を把握できないことがあります。その状態で「全攻撃の何％を報告できたか」は算出できません。訓練メールの報告と実際の相談を識別し、実運用では報告の実人数、受付件数、まとめて調査した事象数、未対応件数、最初の返答や必要な対処までの時間を分けて記録します。
調査の結果、安全と分かった報告も、相談できた行動として扱います。悪性と判定した割合だけを報告者の成績にすると、迷ったときに相談しにくくなるおそれがあります。受付後の担当や完了条件は、不審メールの報告後の運用設計に沿って確認してください。評価の観点を社内で整理する際は、標的型メール訓練の評価指標に関するホワイトペーパーも参照できます。
CEO詐欺・社長なりすましを想定した訓練
CEO詐欺は、経営者などを装って送金や機密情報の提供を求めるビジネスメール詐欺の一種です。添付ファイルや不審なリンクを使わず、自然な業務連絡から始まる場合もあります。IPAの「社長等をかたる詐欺メールに注意！」では、社長名を装いLINEグループの作成とQRコードの返信を求め、その後に振込を指示する手口が紹介されています。
以下は、社内で許可を得て行う演習の設計例です。実被害やヤグラの顧客事例ではありません。
経理担当：急な送金や振込先変更の依頼を題材に、既知の連絡先での確認と通常の承認手続きを省略しないかを練習します。
役員秘書・管理職：「急ぎ」「秘密」と求められた場面で、メール内に指定された連絡先に頼らず本人確認を行えるかを練習します。
全従業員：社外のチャットやLINEへ移るよう求められた場面で、会話を続ける前に社内窓口へ相談できるかを確認します。
実際に不審な依頼を受けた場合は、指示に従う前に社内窓口へ連絡し、メールに書かれた番号ではなく、既知の連絡先で確認します。すでに返信や操作、送金をしてしまった場合も、隠さず速やかに社内の対応担当へ報告してください。手口の詳しい解説は、メールからLINEへ誘導する攻撃と対策にまとめています。
費用とサービス選定で確認する項目
人数と配信回数だけでは、運用に必要な費用を比較できません。価格体系や提供範囲はサービスごとに異なるため、同じ条件で見積もりを依頼します。
対象規模：登録人数・実際の配信人数・利用期間のどれが課金単位か。追加や退職者の扱いも確認します。
シナリオと配信：実施回数、部署別の文面、複数言語、配信前の疎通確認にどこまで対応するか。
教育：事後教材、理解度確認、未受講者へのフォロー、教材の更新が含まれるか。
集計と報告：報告率などの定義、自動スキャンの扱い、CSV出力、部署別の閲覧権限を確認できるか。
運用支援：配信設定、問い合わせ対応、振り返り、次回の改善提案を誰が担うか。
情報の取り扱い：保存先、保存期間、削除方法、管理者権限、委託先の扱いを確認できるか。
導入前の検証では、担当者が「配信準備→問い合わせ対応→結果確認→事後教育」まで一通り操作します。機能数に加え、その作業を自社の人数と体制で続けられるかが判断材料になります。
よくある質問
何回実施すれば十分ですか？
全組織に共通する回数はありません。業務上のリスク、入社・異動、前回の結果、教材を改善できる体制に合わせて計画します。回数を増やす前に、一回の結果から次の行動を直せるかを確認してください。
訓練を事前告知すると意味がなくなりますか？
訓練方針や結果の利用目的を伝えることと、個別の配信日時・文面を知らせることは別です。学習を重視する回、通常業務での反応を確認する回など、目的に合わせて設計します。
メール訓練だけでCEO詐欺を防げますか？
保証はできません。本人確認、送金や口座変更の承認、相談しやすい窓口などの業務手順と組み合わせます。電話やチャットに移る場面も含め、依頼の真正性を確かめる行動を練習します。
自社に合う訓練・教育を検討する
まず、対象部署、練習したい行動、現在の報告経路、運用担当者を整理してください。ヤグラアウェアネスの標的型メール訓練・セキュリティ教育では、提供している訓練・教育機能を紹介しています。自社のシナリオやメール環境での実施範囲は、訓練・教育の導入相談で確認できます。
