標的型攻撃は特定の組織を狙って仕掛けられる攻撃であり、そのうちメールを用いるものが標的型攻撃メールと呼ばれる。従来は官公庁や大手企業が中心だったが、近年は地方公共団体や中小企業もターゲットとなっている。警察が把握しているだけでも年間4,000件以上が送信され、「情報セキュリティ10大脅威 2026」組織編でも第5位に選ばれた。差出人やメールアドレスの詐称、受信者に関係があるように装った件名・本文、拡張子やアンカーテキストの偽装など手口は巧妙化しており、不特定多数からの問い合わせを受け付ける窓口を持つ組織が、これを完全に防ぎきることは難しい。
本資料では、対策の柱の一つである従業員教育のなかでも、標的型攻撃メール訓練の進め方を解説したものである。入口対策・出口対策・従業員教育それぞれの弱点を整理したうえで、訓練を計画段階、送信準備、訓練実施・事後対応の3つのフェーズに分け、各フェーズで実施すべき項目を順に示している。訓練の目的と数値的ゴールの設定、送信対象者の絞り込み、文面・送信ドメインの用意、開封・クリック状況のレポーティング、引っかかった従業員への再教育といった論点を、訓練慣れのリスクや実施頻度の考え方とあわせて扱っている。
ホワイトペーパー