社員向けフィッシング訓練、外注するときに確認する実施方法

外注先選定で確認すべき基本項目

契約範囲とサービス内容の明確化

外部ベンダーと契約を結ぶ際は、まず提供されるサービスの範囲を文書で明示します。具体的には、フィッシングメールの作成数、配信頻度、対象者の選定基準、そして訓練後のレポート内容です。これらを明確にしないと、実施後に期待と実績のギャップが生じ、社内での不満や混乱を招く可能性があります。

委託前に訓練の目的、対象、社員への説明、実施後の振り返りを合意し、作業範囲を文面で残します。契約書には、訓練の目的、期間、成果物の納品形式、そして万が一訓練が誤って本番メールと判断された場合の対応手順を必ず盛り込みましょう。これにより、誤報時の責任所在や修正作業がスムーズに進みます。

ベンダーの実績と認証のチェック

ベンダー選定では、過去の導入実績を確認するとともに、ISO/IEC 27001やプライバシーマーク等の取得状況を参考にします。ただし、認証取得はセキュリティ対策の一要素であり、取得だけでリスクが完全に排除されるわけではありません。

実績は、同規模の中小企業での導入事例や、業界別の成功事例があるかどうかがポイントです。認証については、ISO/IEC 27001やプライバシーマークなど、情報セキュリティや個人情報保護に関する第三者評価を取得しているかを確認しましょう。

これらの情報は、ベンダーの信頼性を測る材料になるだけでなく、社内の経営層へ説明する際の根拠にもなります。訓練の結果をどう判断するかと、改善をいつ確認するかを提供会社と合意します。実績と認証が明確であれば、リスクを低減しながら導入を進められます。

コストとサポート体制の比較

費用面では、初期導入費用と月額・年額のランニングコストを分けて把握します。単価だけでなく、カスタマイズや追加シナリオ作成にかかる費用も見積もりに含めることが大切です。また、サポート体制は問い合わせの対応時間、担当者の専門性、緊急時の対応フローを確認しましょう。

IPAのガイドラインでは、コストだけでなく運用支援体制も評価項目として重要視しています。たとえば、訓練実施後に質問があった際に即座に回答できる窓口があるか、定期的なレビュー会議が設定されているかを確認すると、導入後の運用が円滑になります。コストとサポートのバランスを見極めることが、長期的な効果を確保する鍵です。

訓練実施の流れと社内連携

フィッシングメールのシナリオ設計

ベンダーに依頼するシナリオは、実際の業務に即した内容であることが重要です。たとえば、社内の経費精算システムや取引先からの請求書を装ったメールなど、日常的に目にする形にすることで、社員の注意喚起効果が高まります。シナリオ作成時には、どのような情報が含まれるか、どのリンク先が設定されるかを事前に確認し、危険度を段階的に設定します。

実際の業務で判断に迷う場面を題材にし、社員を責めるための訓練にならないよう、目的と振り返りを設計します。シナリオが具体的であれば、訓練後のフィードバックも具体的になり、学習効果が測りやすくなります。設計段階で社内のIT部門や人事部と情報を共有し、リスクが過度に高くならないよう調整しましょう。

受講者への通知と報告経路設定

訓練開始前に、社員へ「フィッシング訓練が実施される」旨を事前に通知するかどうかは、訓練の目的に応じて決めます。事前通知があると心理的負荷は減りますが、実際のフィッシング感覚が薄れることもあります。どちらを選ぶにせよ、訓練後の報告経路は必ず決めておきましょう。

たとえば、疑わしいメールを受け取ったら専用のメールアドレスやチャットボットに転送し、管理者が即座に確認できる仕組みです。

実際に不審な連絡を受けたときにも使えるよう、報告先と担当者不在時の連絡先を揃えます。報告先が明確であるほど、社員は安心して報告でき、訓練結果のデータ収集も正確に行えます。通知文面や報告手順は、社内マニュアルに掲載し、定期的に周知することが重要です。

誤報時の対応フローと教育資料

訓練中に本物のメールと誤認してしまうケースは稀ですが、起こり得ます。そのため、誤報が発生した際の対応フローを事前に策定しておく必要があります。具体的には、誤報が判明したらすぐにベンダーへ連絡し、該当メールを回収・無効化する手順、そして社員へ訂正と再教育を行う手順です。

教育資料は、誤報事例を踏まえて作成し、何が問題だったか、次に同じミスを防ぐポイントを分かりやすくまとめます。本物の業務メールを誤って通報した場合も、担当者が内容を確認し、業務を止めずに戻す手順を決めます。ベンダーと協力して、誤報時の迅速な情報共有体制を構築しましょう。

個人情報とプライバシーの取り扱い

個人情報取得の同意取得方法

フィッシング訓練では、社員のメールアドレスや部署情報など、個人情報をベンダーが取得します。取得前に、個人情報の取得根拠を法的に確認し、必要に応じて社員の同意を得るプロセスを設けます。具体的には、社内イントラに同意フォームを設置し、利用目的・保存期間・第三者提供の有無を記載した上で、署名またはチェックボックスで同意を取ります。

訓練に必要な社員情報と取得する結果を限定し、閲覧者、利用目的、保存期間、提供先を社内で確認して周知します。取得した情報は、訓練実施以外の目的で使用しないことを契約に明記し、社内でも徹底しましょう。これにより、プライバシーリスクを最小化できます。

データ保管・削除のルール確認

契約においては、訓練終了後に不要となったデータの削除や、適用される法令に基づく保存期間の遵守を明記します。保管期間は必要最小限に設定し、削除証明書の発行を求めることで、データが適切に廃棄されたことを確認できます。

また、データが暗号化されているか、アクセス制御が適切に実施されているかをベンダーに確認し、外部への漏洩リスクを低減させる項目を契約に盛り込むことが重要です。

データの保存期間を明確に定め、不要になったら速やかに廃棄することは、情報管理の基本的な観点として推奨されます。ベンダー側の保管場所（クラウドかオンプレミスか）や、第三者監査の実施有無もチェックポイントです。自社の情報管理規程と照らし合わせ、整合性が取れているかを確認しましょう。

誤送信や漏洩時の責任分担

訓練中にメールが誤送信されたり、訓練データが外部に漏洩した場合の責任分担を事前に取り決めておくことが重要です。契約書に「情報漏洩時の賠償責任」「再発防止策の実施義務」などを明記し、ベンダーと自社の担当者がそれぞれ何を行うかを具体的に定義します。必要に応じて法務部門や顧問弁護士と内容を確認してください。

インシデント対応手引きでは、責任範囲の明確化が迅速な対応につながるとされています。万が一の際は、まず社内の情報セキュリティ担当がベンダーに連絡し、被害状況を把握した上で、法的義務がある場合は関係機関へ報告する手順を事前に用意しておくことが望ましいです。

成果の評価と次のステップ

訓練結果のレポート項目

レポートに必要な項目は訓練の目的に合わせて合意します。クリック、報告、相談までの手順などを確認する場合も、条件と数え方を揃え、少人数の部署や個人の順位付けだけに使わないようにしてください。数字は訓練の目的と合わせて読みます。

少人数の部署や一度の結果だけで個人を順位付けせず、報告や相談の手順に不足がないかを確認してください。レポートはPDFだけでなく、CSV形式で取得できると社内のBIツールで分析しやすくなります。

また、レポートには改善点と次回訓練への提案が記載されているか確認しましょう。単なる数値の羅列ではなく、部門ごとのリスク要因や教育の優先順位が示されていれば、具体的な対策に落とし込みやすくなります。これが次回以降の訓練計画策定の基礎となります。

改善策の策定と社内共有

レポートを受け取ったら、まず情報セキュリティ担当が結果を分析し、部門長や人事部と協議して改善策を策定します。例えば、クリック率が高い部署には追加のワークショップを実施する、報告率が低い部署には報告フローの再設計を行う、といった具体的なアクションです。策定した改善策は、社内ポータルや定例会議で共有し、全員が認識できるようにします。

振り返りで決めた改善は、担当と確認する時点を記録し、次の訓練や実際の報告対応で使えたかを確かめます。改善策の実施状況も定期的にモニタリングし、次回訓練の設計に反映させることで、継続的なセキュリティ意識向上が期待できます。

定期的な見直しと外注継続判断

フィッシング訓練は一度実施して終わりではなく、継続的に実施し効果を測定し続けることが重要です。実施頻度は自社のリスク評価やリソースに応じて検討し、ベンダーと協議の上で決定します。訓練内容やベンダーのサービスに変更があった場合は、再評価を行い、評価指標としてクリック率の低減や報告率の向上、コストパフォーマンスなどを自社の目標に合わせて設定します。

外注継続の判断は、これらの指標が目標値を達成しているか、ベンダーのサポートが期待通りかを総合的に判断します。必要に応じて他ベンダーへの見積もり取得や、自社での実施可能性も検討しましょう。IPAのガイドラインが示すサプライチェーンリスク評価の観点を参考に、外部委託先のリスクと価値を定期的に見直すことが推奨されます。