標的型攻撃メール訓練を実施している医療機関は増えています。しかし、その多くが開封率を成果指標にしています。前回は12%、今回は8%に下がりました——報告書はそう書かれ、下がったことが成果として扱われる。
この設計には構造的な問題があります。開封率を下げることを目標にすると、組織には「引っかかってはいけない」という圧力がかかります。すると、うっかりクリックしてしまった職員が黙るようになる。実際の攻撃で最も避けたいのは、まさにこの沈黙です。クリックそのものは1台の端末の問題ですが、報告されない30分は院内全体の問題になります。
訓練の目的を置き直す必要があります。開封率を下げることではなく、報告率を上げること。 そして、報告した人が報われる経験を組織として積み上げることです。
本記事は、医療機関で標的型攻撃メール訓練を設計・実施する際の考え方をまとめたものです。攻撃者側の手口の詳細には踏み込まず、訓練の設計と運用に絞ります。
免責：本記事は一般的な情報提供です。訓練の実施にあたっては、労務管理上の配慮、職員への事前周知の要否、実施事業者との契約内容について、自院の方針および関係部門の確認のうえ進めてください。
訓練の目的を置き直す
訓練で何を確かめたいのかを、指標の形で明確にします。
| 指標 | 何が分かるか | 目標の置き方 |
|---|---|---|
| 報告率（訓練メールを報告した割合） | 気づいた人が行動できているか | 上げる。最重要指標 |
| 初報までの時間 | 報告経路が機能しているか | 短縮する |
| 開封率・クリック率 | 気づきの水準 | 参考値。目標にしない |
| 認証情報の入力率 | 被害に直結する行動 | 下げたい。ただし責めない |
| 報告経路の到達 | 情シスが受け取れているか | 100%に近づける |
報告率を最重要指標に置くと、設計が変わります。 報告しやすい経路が用意されているか、報告した人にどう応答するか、報告が多すぎて情シスが処理しきれないという状態をどう扱うか。これらが訓練の論点になります。
初報までの時間も見てください。 報告率が高くても、最初の報告が翌日では実務で意味がありません。「最初の1通が届くまで何分だったか」は、実際のインシデントでの対応開始時刻を推測する材料になります。初動の重要性は ランサムウェア被害時の初動 で扱っています。
犯人探しにしない設計
訓練が失敗する典型は、結果の扱い方にあります。個人が特定される形で結果を共有した瞬間に、次回以降の報告率は下がります。
設計上、明示的に決めておくことを挙げます。
- 個人結果を上長へ通知しない — 開封した職員の氏名を部門長へ回さない。統計は部門単位までに留める
- 人事評価に用いない — 明文化し、事前に周知する。「評価には使いません」と言葉にする
- クリックした人への画面は教育的にする — 「あなたは引っかかりました」ではなく、「このメールの見分け方はここでした」と示す
- 報告した人に返信する — 自動返信でもよいので、受け取ったことと感謝を伝える
- 結果公表は組織の傾向まで — 「事務部門で高かった」ではなく「請求関連を装うメールで開封が多かった」と、シナリオ側の傾向として語る
5つ目は運用上のコツです。 部門名を出すと部門長に圧力がかかり、それが職員に降りていきます。人ではなくシナリオを主語にすると、同じ情報を共有しながら犯人探しを避けられます。
なお、訓練の実施そのものを事前に周知するかどうかは論点です。完全な抜き打ちは気づきの実態を測れる一方、職員の心理的負担が大きく、労務上の配慮も必要になります。「年度内に訓練を実施する」ことは周知し、実施日時は伏せるという中間的な設計が扱いやすいでしょう。
シナリオを医療機関の文脈で作る
汎用のテンプレートをそのまま使うと、現場感がなく気づかれやすい、あるいは逆に現実味がなく学びにならないという状態になります。自院の業務文脈に沿ったシナリオを作ります。
| シナリオの型 | 例 | 想定する対象 |
|---|---|---|
| 業務システムからの通知を装う | パスワードの有効期限、アカウントのロック解除 | 全職員 |
| 院内からの依頼を装う | 事務部門からの提出依頼、人事関連の書類 | 全職員 |
| 取引先・業者を装う | 請求書、見積書、納品関連 | 事務・医事・購買 |
| 学会・研修を装う | 参加登録、抄録提出、案内 | 医師・研究職 |
| 患者・家族を装う | 問い合わせ、苦情、資料請求 | 相談窓口・医事 |
| 公的機関を装う | 通知、調査依頼 | 管理部門 |
難易度を段階的に上げてください。 初回から見分けの難しいシナリオを使うと、開封率が高く出て組織が萎縮します。1年目は明らかな不自然さを残し、報告経路が機能することを確認する。2年目以降に精度を上げる、という進め方が現実的です。
シナリオを作る際の注意点を2つ挙げます。
- 実在する取引先・職員の名前を使わない。 実名を使うと、その相手方に対する信頼を損ないます。実在しない名称、あるいは一般名詞で作ります
- 緊急性が高すぎる内容は避ける。 「患者急変」など診療に直結する題材は、訓練であっても現場を混乱させます
実施後のフォローが本体
訓練は実施した日で終わりません。むしろ実施後の1〜2週間が本体です。
| タイミング | やること |
|---|---|
| 実施直後 | クリックした人への教育画面。報告した人への返信 |
| 当日〜翌日 | 情シス側で報告の受付状況を確認。経路が詰まっていないか |
| 1週間以内 | 全職員へ結果の共有。シナリオを主語に、見分け方を示す |
| 2週間以内 | 課題の整理。報告経路、周知方法、教材の改善点 |
| 次回まで | 課題の是正と、部門別の補足説明 |
結果共有では「正解」を具体的に示してください。 「不審なメールに注意しましょう」では行動が変わりません。今回のシナリオのどこに違和感があったか（差出人ドメイン、宛名の不自然さ、リンク先の表示と実際の差異、日本語の細部）を、実物の画面で示します。
そして、報告してくれた職員の行動を肯定的に扱ってください。 「今回は◯名から報告があり、最初の報告は配信から◯分後でした。これが実際の攻撃なら、対応を◯分早く始められたということです」という伝え方は、報告という行動の価値を組織に定着させます。
教育全体の中での位置づけは 職員教育・訓練の設計 を、机上訓練やBCP訓練との組み合わせは サイバー攻撃を想定したBCP をご覧ください。
報告を受ける側の準備
報告率を上げようとすると、受ける側の負荷が上がります。ここを準備しないまま訓練を始めると、報告が放置され、次回から誰も報告しなくなります。
準備すべきことは次のとおりです。
- 報告経路を1つに決め、全職員が言える状態にする — メールか、電話か、システム上のボタンか。複数あると迷いが生じる
- 夜間・休日の経路を決める — 日中しか受けられないなら、そう明示する
- 受付の自動化 — メールクライアントの報告ボタンなど、1クリックで送れる仕組みがあると報告率は上がる
- 一次判定の基準 — 情シスが受け取った報告をどう捌くか。訓練メールか、実際の不審メールか、無害かの判定手順
- フィードバックの型 — 返信の文面をあらかじめ用意しておく
「報告が多すぎる」は良い状態です。 誤報が増えることを恐れて報告のハードルを上げると、本物を取り逃します。一次判定を効率化する方向で解決してください。受け取った報告の記録は、ログ管理と監査証跡 や 医療機関のインシデント対応計画 の運用記録と合わせて残します。
まとめ
標的型攻撃メール訓練を設計する際に押さえるべき点は次のとおりです。
- 目的は開封率を下げることではなく報告率を上げること。開封率は参考値に留める
- 初報までの時間を測る。実際のインシデントで対応を始められる時刻の目安になる
- 犯人探しにしない。 個人結果を上長へ通知せず、人事評価に用いないことを明示して周知する
- 結果共有は人ではなくシナリオを主語に語る。部門名を出すと圧力が現場へ降りる
- シナリオは自院の業務文脈で作り、難易度を段階的に上げる。実在の取引先名は使わない
- 実施後の1〜2週間が本体。 見分け方を具体的に示し、報告した職員の行動を肯定的に扱う
- 受ける側の準備を先に整える。経路を1つに絞り、夜間の扱いを決め、返信の型を用意する
訓練の設計は、実施すること自体よりも、報告経路の整備と実施後の運用に労力がかかります。ポテックは医療情報システムの設計・運用の立場から、体制づくりと運用ルールの整備についてご相談を受けています。お問い合わせ からご連絡ください。委託先事業者側の教育・訓練体制を評価する枠組みは ISMS（ISO/IEC 27001）とは が参考になります。
参考・出典
※訓練の実施方法・周知の要否・記録の取扱いは、自院の労務方針および関係法令を踏まえてご判断ください。ガイドラインおよび診療報酬の要件は改定により変わり得ます。