「このメール、なんか怪しいかも…」と思えるかどうか。その判断力が、会社の情報資産を守る最後の砦になります。標的型攻撃メールは、特定の企業や個人を狙って巧妙に作られたフィッシングメールで、見た目だけでは本物と区別がつかないものも多いです。
標的型メール訓練は、疑似的な攻撃メールを従業員に送信し、開封やクリックの状況を測定することでセキュリティ意識を向上させる取り組みです。この記事では、クラウド型で手軽に導入できる標的型メール訓練サービスを比較・紹介します。
👆ナビ助のおすすめ
Google Oneには、ご家族との大切な写真や動画を「Googleフォト」に高画質のまま容量を気にせず保存できるなど、スマホをより便利にお使いいただける魅力的な特長がございます。
標的型メール訓練とは？その目的と効果
標的型攻撃メールの脅威
標的型攻撃メールは、不特定多数に送られるスパムメールとは異なり、特定の企業や部門を狙って作り込まれます。取引先や上司を装ったメール、実在する請求書を模した添付ファイルなど、手口は年々巧妙化しています。IPAの「情報セキュリティ10大脅威」でも毎年上位にランクインしており、企業にとって見過ごせない脅威です。
訓練の目的
標的型メール訓練の主な目的は以下の3つです。
- 従業員が不審なメールを見分ける力を養う
- 不審メールを受信した際の正しい対応手順（開かない、報告する）を身につける
- 組織全体のセキュリティ意識レベルを可視化し、教育の優先度を判断する
訓練の効果
定期的に訓練を実施することで、疑似メールの開封率（クリック率）は着実に下がっていく傾向があります。初回の訓練では開封率が20〜30%程度になることも珍しくありませんが、継続的に実施することで5%以下に低減できるケースもあります。
裏を返せば、訓練を重ねても一定数は開いてしまうということでもあります。人の判断に頼りきらないよう、端末側にウイルス対策ソフトを入れて二段構えにしておく企業が多いです。
クラウド型標的型メール訓練サービスのメリット
自社でメール配信基盤を持たなくてよい
オンプレミスで訓練を実施する場合、メール配信サーバーの構築や疑似メールの作成など、技術的な準備が必要になります。クラウド型であれば、申し込むだけで訓練を始められるため、情シス部門のリソースが限られた中小企業でも導入しやすいです。
豊富な訓練シナリオ
クラウド型のサービスには、業種や部門に合わせた多数の訓練シナリオ（疑似メールのテンプレート）が用意されています。「請求書を装ったメール」「人事からの通知を装ったメール」「運送会社からの不在通知」など、実際の攻撃を模したリアルなシナリオで訓練できます。
結果の集計・レポート機能
誰が疑似メールを開封したか、リンクをクリックしたか、添付ファイルを開いたかを自動で集計し、レポートとして出力できます。部署別・役職別の分析も可能で、教育の重点対象を特定するのに役立ちます。
おすすめ標的型メール訓練サービス比較
セキュリオ
情報セキュリティ教育に特化したクラウドサービスで、eラーニング機能と標的型メール訓練機能を統合的に提供しています。2,500社以上の導入実績があり、訓練結果に基づいて自動的に追加教育を配信する機能が特徴です。教育と訓練を1つのサービスで完結できるため、管理効率が高いです。
MudFix
年間契約の固定価格制で、送信件数や訓練回数に制限がないのが大きな特徴です。社員数が多い大企業でも追加コストを気にせず何度でも訓練を実施できます。メール送信先のドメイン制限もないため、複数の関連会社やグループ企業をまとめて訓練したい場合にも適しています。
HENNGE One Cybersecurity Edition
HENNGE（へんげ）が提供するクラウドセキュリティサービスです。不審メールの自動検知・隔離といった技術的対策と、継続的な標的型攻撃メール訓練を組み合わせた包括的なソリューションです。Microsoft 365やGoogle Workspaceとの連携実績が豊富で、技術面と教育面の両方からメール攻撃対策を講じたい企業に向いています。
FB SATMail
160種類以上の訓練シナリオが用意されており、業種や攻撃トレンドに合わせたリアルなシナリオで訓練を実施できます。訓練中もリアルタイムで状況を確認でき、訓練後のレポートも充実しています。細かくシナリオをカスタマイズしたい企業に向いています。
サギトレ
トビラシステムズが提供する、AIを活用したメール・SMS詐欺対策訓練サービスです。AIがメールのテキストやURLの特徴を分析し、より実践的な訓練シナリオを自動生成する機能が特徴的です。新しいタイプのフィッシング攻撃にも素早く対応できます。
ソースポッドクラウド
標的型攻撃メール訓練と情報セキュリティ教育を組み合わせたクラウドサービスです。訓練でクリックしてしまった従業員に対して、自動的に教育コンテンツを表示する仕組みがあり、「訓練→気づき→学習」のサイクルを効率的に回せます。
標的型メール訓練を成功させるポイント
事前の周知は行わない
「来週訓練メールを送ります」と事前に告知してしまうと、訓練の意味がなくなります。経営層や情シス部門だけで計画し、一般社員には告知せずに実施するのが基本です。
開封してしまった人を責めない
訓練の目的は「引っかかった人を罰する」ことではなく「気づきを与えて学んでもらう」ことです。開封率が高くても、それは組織としての改善ポイントが見えたということです。ポジティブな姿勢で結果をフィードバックしましょう。
定期的に繰り返す
1回の訓練だけでは効果は限定的です。四半期に1回程度の頻度で、異なるシナリオを使って継続的に実施するのが効果的です。訓練のたびに開封率の推移を記録し、改善傾向を確認しましょう。
結果を経営層に報告する
訓練結果のレポートを経営層に共有することで、セキュリティ教育への投資を正当化しやすくなります。開封率の改善推移は、セキュリティ投資のROIを示す有効な指標です。
訓練後には必ず「解説」をセットで実施しましょう。「なぜこのメールが怪しいのか」「どこを見れば偽物だと分かるのか」を具体的に解説することで、次回の訓練での開封率低下につながります。
解説する側の引き出しを増やすなら、情報セキュリティマネジメント試験の参考書が使いやすいです。攻撃の手口が種類ごとに整理されているので、社内向けの説明資料に落とし込みやすいのが利点です。
標的型メール訓練の実施手順
実際に訓練を実施する際の基本的な流れを整理しておきましょう。
1. 訓練の目的と範囲を決める
対象者（全社員か、特定部署か）、訓練の目的（開封率の測定、報告フローの定着など）を明確にします。初回は全社員を対象にして、組織全体の「現在地」を把握するのがおすすめです。
2. シナリオを選定する
業種や部署に合ったシナリオを選びます。経理部門には「請求書の確認依頼」、人事部門には「採用応募者からの連絡」など、実際に届きそうなメールを模したシナリオのほうが訓練効果が高いです。サービスが提供するテンプレートをベースに、自社の状況に合わせてカスタマイズするとよいでしょう。
3. 訓練メールを配信する
事前告知なしで疑似メールを配信します。配信タイミングは通常の業務時間内に設定するのが一般的です。一度に全員へ送るのではなく、部署ごとに時間差をつけて配信することで、「隣の人に聞いて気づく」という状況を減らせます。
4. 結果を集計・分析する
開封率、クリック率、添付ファイル開封率、報告率（不審メールとして情シスに報告した割合）を集計します。部署別・役職別の分析を行い、教育の重点対象を特定しましょう。
5. フィードバックと教育を実施する
訓練後には全社員向けに結果のフィードバックと「見分けるポイント」の解説を行います。クリックしてしまった社員には個別のフォローアップ教育を実施するのが効果的です。
あわせて、その社員の端末の保護状況も確認しておきましょう。ライセンスの期限が切れたままになっているケースは意外と多いので、この機会に複数年版へまとめて更新しておくと管理が楽になります。
Q&A よくある質問
訓練メールの開封率は何%なら合格？
一般的には10%以下が目標とされています。ただし、初回の訓練で20〜30%程度の開封率になることは珍しくありません。重要なのは「継続的に実施して開封率を下げていくこと」であり、初回の数字だけで一喜一憂する必要はありません。
小規模な企業でも導入できる？
ユーザー数の下限がないサービスも多く、数十名規模の企業でも導入可能です。セキュリオやMudFixなどは中小企業向けのプランも用意されています。
標的型メール訓練とセキュリティ教育はどちらを先に始めるべき？
理想的には同時に始めるのがベストです。訓練で「自分も引っかかる可能性がある」という気づきを与えてから、eラーニングで体系的に知識を身につけるのが効果的です。セキュリオのように両方の機能を統合したサービスを選ぶのも一つの手です。
標的型メール訓練の費用感
クラウド型の標的型メール訓練サービスの費用は、サービスやプランによって幅があります。以下は一般的な目安です。
- 従量課金型：1通あたり数十円〜数百円。少人数・少回数の企業に向いている
- 年間固定型：月額数万円〜の定額制。訓練回数や送信数に制限がないMudFixのようなサービスが該当する。大企業や頻繁に訓練を実施したい企業に適している
- 統合型：eラーニングとセットで月額数百円/ユーザー程度。セキュリオのように教育と訓練を一体で提供するサービスが該当する
IT導入補助金の対象になるケースもあるため、コスト面で導入をためらっている企業は補助金の活用を検討してみましょう。詳細は公式の募集要項で確認してみてください。
まとめ
標的型メール訓練は、従業員のセキュリティ意識を「体験ベース」で向上させる効果的な手法です。クラウド型のサービスを利用すれば、自社でメール配信基盤を持たなくても手軽に始められます。
サービス選びでは「訓練シナリオの豊富さ」「レポート機能の充実度」「eラーニングとの連携」「料金体系」を軸に比較しましょう。1回きりではなく定期的に実施し、開封率の推移を記録していくことが、組織全体のセキュリティレベル向上につながります。
外部参考リンク: IPA 情報セキュリティ10大脅威 / 警察庁 サイバーセキュリティ対策 / セキュリオ公式サイト
メール訓練だけでなく、テレワーク環境全体のセキュリティも見直そう
セキュリティ対策と業務効率化を両立するガジェットはこちら
👆ナビ助のおすすめ
Google Oneには、ご家族との大切な写真や動画を「Googleフォト」に高画質のまま容量を気にせず保存できるなど、スマホをより便利にお使いいただける魅力的な特長がございます。
