標的型攻撃メール訓練を「インシデント対応訓練」に変える　初報から封じ込めまで何分で動けるか

標的型攻撃メール訓練/フィッシングメール訓練では、クリック率や開封率が中心指標になりがちです。しかし、実際の攻撃で重要なのは「何人がクリックしたか」だけではありません。最初の従業員が不審メールに気づくまで何分かかったのか、報告を受けた情報システム部門やCSIRTが何分で調査を始めたのか、同じメールの受信者やクリック者を何分で特定し、どこまで早く封じ込めに移れたのかという時間軸が被害規模を左右します。

米CISAが公表したフィッシング関連のアセスメントデータでは、悪性メールを受信した従業員が攻撃に反応する場合、その動きは極めて速く、84％が受信後10分以内に機微情報を返信するか、不正なリンク・添付ファイルを操作していました。一方、標的となった従業員のうちフィッシングを報告した割合は13％でした。

世界銀行が2026年5月に公開した「e-GP Cybersecurity Manual」では、インシデントの検知とアラートをリアルタイムで行い、検知から1時間以内に封じ込め手順を起動する考え方を示しています。別の技術要件では「15分以内の内部アラート、1時間以内のCERT通知」というエスカレーション例も示されています。

これらは民間企業の標的型メール訓練にそのまま適用する世界共通の合格基準ではありません。しかし、攻撃側の時間軸と公的機関が示すインシデント対応時間を組み合わせれば、「10分で初報、15分でCSIRT起動、60分以内に封じ込めを開始する」という実践的な訓練SLOを設定できます。

標的型攻撃メール訓練を、従業員を試すイベントから、組織全体の検知・対応能力を測るインシデント対応訓練へ変える方法を整理します。

標的型攻撃メール訓練を時間で測るサマリー

• 【確認済み】CISAのフィッシング関連アセスメントでは、攻撃に反応した従業員の行動が受信後早期に発生しており、84％が最初の10分以内に機微情報を返信するか、不正なリンク・添付ファイルを操作しています。
• 【確認済み】同じCISA資料では、標的となった従業員のうちフィッシングを報告した割合は13％でした。
• 【確認済み】IPAは2026年4月、標的型メール訓練で開封率だけでなく報告率を計測し、報告スピードが遅い場合には原因分析と初動対応のフォローアップを行う実践例を紹介しています。
• 【確認済み】世界銀行の2026年版e-GP Cybersecurity Manualは、インシデントの検知・アラートをリアルタイムで行い、検知から1時間以内に封じ込め手順を起動するよう示しています。
• 【確認済み】同マニュアルは、インシデントエスカレーションの技術要件例として「15分以内の内部アラート、1時間以内のCERT通知」を示しています。
• 【確認済み】同マニュアルでは、根絶24時間以内、復旧72時間以内、インシデント解決後7日以内の事後レビューという時間軸も示されています。
• 【確認済み】米連邦政府機関向けのCISAガイドラインでは、トップレベルのCSIRT、SOC、IT部門がインシデントを特定してから1時間以内にUS-CERTへ通知する基準が示されています。
• 【確認済み】NISTは、クリック率と報告率だけでは組織のフィッシングリスクを完全には説明できず、訓練メールの検知難易度も加味する必要があるとしています。
• 【本記事の提案】標的型攻撃メール訓練では、初回報告10分以内、CSIRTへのエスカレーション15分以内、影響範囲の一次特定30分以内、封じ込め手順の起動60分以内を初期SLOとして設定する方法が考えられます。
• 【注意】10分、15分、30分、60分を一律の法的・公的合格基準として扱うべきではありません。組織規模、24時間監視の有無、業務時間、利用ツール、リスクに応じて調整が必要です。

時間・割合	公的ソースで確認できる内容	適用範囲・注意点
10分	CISAのアセスメントで、84％が受信後10分以内に攻撃へ反応	CISAアセスメントの観測値であり、全企業共通の目標値ではない
13％	CISAアセスメントで、標的従業員の13％がフィッシングを報告	現在の世界平均ではなく、CISAの評価データ
15分	世界銀行が内部アラートの標準化例として15分を提示	e-GP向け技術要件。民間企業共通の規制値ではない
1時間	世界銀行が検知から1時間以内に封じ込め手順を起動するよう提示	「封じ込め完了」ではなく「封じ込め手順の起動」
1時間	世界銀行がCERT通知例、CISAが米連邦機関のインシデント通知期限として提示	外部通知の制度・組織ごとの基準
24時間	世界銀行が根絶フェーズの目安として提示	e-GPシステム向け
72時間	世界銀行が復旧フェーズの目安として提示	e-GPシステム向け
7日	世界銀行がインシデント解決後の事後レビュー期限として提示	e-GPシステム向け

CISAのデータが示す「最初の10分」の重要性

標的型攻撃メール訓練に時間軸を入れる理由は、攻撃者が待ってくれないからです。

CISAの「Phishing Infographic」は、連邦政府機関や重要インフラ組織などを対象にCISAが実施したサイバーセキュリティ評価のデータを基にしています。

同資料では、悪性メールを受信して攻撃に反応した従業員の行動について、受信後最初の10分という短い時間帯に84％が機微情報を返信するか、不正なリンク・添付ファイルを操作したとしています。

さらに、標的となった従業員のうちフィッシングを報告した割合は13％でした。CISAは、従業員から報告されないことが、組織による侵入対応や他の利用者への警告を難しくすると指摘しています。

この84％と13％は、2026年の全企業に共通するフィッシング統計ではありません。CISAが実施したアセスメントに基づく観測値です。

それでも、「悪性メールへの反応は受信後の早い段階で起きる」という点は、訓練KPIを考えるうえで重要です。

攻撃に反応する時間が分単位なら、防御側の報告・検知も「その日のうち」では遅すぎる可能性があります。

関連：標的型攻撃メール訓練 ツール/サービスの比較と選び方-マストの機能

初回報告10分以内を訓練SLOにする

CISAは「従業員は10分以内に報告しなければならない」という基準を定めているわけではありません。

そのため、「CISA推奨値は10分」と記載するのは不正確です。

一方、CISAの観測では攻撃への反応の多くが最初の10分で発生しています。これを防御側の時間軸として利用し、「最初の不審メール報告を10分以内に受ける」という社内SLOを設定することは合理的です。

例えば1,000人に同じフィッシングメールが届いた場合、全員が見破る必要はありません。

最初の1人が3分で報告し、情報システム部門が悪性と判断できれば、残る999人のメールボックスを検索し、同一メールの削除やURL遮断に進めます。

逆に、クリック率が低くても最初の報告が4時間後であれば、攻撃者には長い活動時間を与えることになります。

IPAも2026年4月に公開した企業事例で、標的型メール訓練では開封率だけでなく報告率を計測し、報告スピードが遅い場合には原因分析と初動対応方法の周知を行う例を示しています。

つまり、「報告したか」に加えて「何分で報告したか」まで測ることが、訓練を実戦に近づけます。

15分以内に情シス・CSIRTへエスカレーションする

世界銀行の「e-GP Cybersecurity Manual」は、電子政府調達システムを対象としたサイバーセキュリティマニュアルです。

同マニュアルの技術要件では、インシデントエスカレーションの標準化例として「15-minute internal alert, 1-hour CERT notification」と記載されています。

この15分を、一般企業の標的型メール訓練にそのまま適用しなければならないわけではありません。

ただし、従業員から報告された不審メールが共有メールボックスやチケットシステムに入り、担当者が数時間後まで確認しない運用では、早期報告の効果が失われます。

そこで訓練では、次の時間を分けて測定します。

計測区間	例
メール配信→従業員の初回報告	10分以内
初回報告→情シス・CSIRT受付	5分以内
メール配信→情シス・CSIRTエスカレーション	15分以内

従業員が10分で報告してもCSIRTが50分後に確認したのであれば、改善対象は従業員ではなく社内プロセスです。

標的型攻撃メール訓練に時間軸を入れる最大の意味は、このボトルネックを可視化できることにあります。

30分以内に影響範囲を一次特定する

「30分以内に同一メールの受信者やクリック者を特定する」という値は、CISA、NIST、世界銀行が標的型攻撃メール訓練の基準として定めている数字ではありません。

本記事では、初動訓練を実施するための内部SLOとして30分を提案します。

報告されたメールが悪性と判断された場合、情報システム部門やSOCでは少なくとも次の情報を確認します。

• 同じ送信元・件名・URLを含むメールを受信したユーザー
• 配信済み・隔離済み・削除済みの件数
• URLをクリックした可能性があるユーザー
• 認証情報を入力した可能性があるユーザー
• 添付ファイルを開いた端末
• 同一IOCが他のログやEDRで検知されていないか

Microsoft 365やGoogle Workspace、メールセキュリティ製品、SIEM、EDRなどを利用している場合、これらを何分で検索できるかは訓練前に確認しておく必要があります。

ツールが導入されていても、検索権限がない、担当者が操作方法を知らない、承認者が不在で削除できない状態なら、実際の攻撃時には封じ込めが遅れます。

30分というSLOは、ツール性能ではなく運用プロセスを試すための目標として利用します。

世界銀行は「検知から1時間以内に封じ込め手順を起動」

世界銀行のe-GP Cybersecurity Manualでは、インシデント検知後の対応を具体的な時間軸で示しています。

最初のDetection and Alertingはリアルタイムです。

その後のContainmentについては、検知から1時間以内に影響を受けたシステム、アカウント、プロセスを隔離し、横展開や追加の情報侵害を防止するための封じ込め手順を起動するよう示しています。

ここで注意したいのは、「1時間以内にすべての封じ込めを完了する」とは書かれていない点です。

要求されているのは、検知から1時間以内に封じ込めプロセスへ移ることです。

フィッシングの場合であれば、次のような措置が対象になります。

• 同一メールの組織内削除
• 悪性URL・ドメインの遮断
• 不正な添付ファイルの隔離
• 影響アカウントのセッション無効化
• 必要な認証情報のリセット
• 侵害が疑われる端末のネットワーク隔離
• 関係するユーザーへの注意喚起

標的型メール訓練でも、リンクをクリックした従業員を数えて終了するのではなく、これらの措置を60分以内に開始できるかまで確認すると、インシデント対応演習としての価値が高まります。

米連邦政府も「1時間」をインシデント通知の基準にしている

CISAの「Federal Incident Notification Guidelines」では、米連邦政府の文民行政機関について、トップレベルのCSIRT、SOCまたはIT部門がインシデントを特定してから1時間以内にUS-CERTへ通知するよう定めています。

ガイドラインは、完全な原因分析を終えてから報告するのではなく、通知時点で把握している情報を報告し、追加情報は判明後に更新する考え方です。

この1時間は、日本企業の標的型メール訓練に適用される法的期限ではありません。

ただし、「情報が全部そろうまで社内で調べてからエスカレーションする」のではなく、一定の確度で重大性を認識した段階で早く共有し、その後情報を更新するという考え方は参考になります。

初動で求められるのは、最初から完璧な報告書を作ることではありません。

攻撃を止めるために必要な相手へ、判断に必要な最低限の情報を早く届けることです。

24時間で根絶、72時間で復旧、7日以内に振り返る

世界銀行のe-GP Cybersecurity Manualは、封じ込め以降についても具体的な時間を示しています。

フェーズ	世界銀行の目安	主な内容
Detection and Alerting	リアルタイム	異常・不正活動を検知し担当者へ通知
Containment	検知から1時間以内	隔離、資格情報失効、セグメンテーションなどを開始
Eradication	24時間以内	悪性コード除去、脆弱性修正、不正アカウント無効化
Recovery	72時間以内	システム・サービスを安全に復旧
Post-Incident Review	解決後7日以内	原因、対応時間、統制上の不足、改善策をレビュー

標的型攻撃メール訓練で毎回72時間の復旧演習まで実施する必要はありません。

しかし、年に一度程度は、メール受信からアカウント侵害まで発展したシナリオを用意し、初報、調査、封じ込め、認証情報変更、復旧、振り返りまで通しで演習する価値があります。

世界銀行も同マニュアルで、フィッシングや認証情報侵害などシナリオ別のインシデント対応プレイブックを整備し、少なくとも年1回、部門横断の机上演習やシミュレーションを行うよう示しています。

「10分・15分・30分・60分」の訓練モデル

以上を踏まえると、標的型攻撃メール訓練では次のような時間軸を初期SLOとして設定できます。

経過時間	目標	根拠
0分	訓練メール配信	起点
10分以内	最初の従業員報告	CISAの「攻撃への反応が最初の10分に集中」というデータを基にした本記事の提案
15分以内	情シス・CSIRTへエスカレーション	世界銀行の15分内部アラートを参考
30分以内	同一メール受信者・クリック者等を一次特定	セキュリティ対策Labが提案する内部SLO
60分以内	メール削除、URL遮断、アカウント保護など封じ込め手順を起動	世界銀行の「検知から1時間以内にContainment」を参考
24時間以内	必要に応じ根絶フェーズ	世界銀行の目安
72時間以内	必要に応じ復旧	世界銀行の目安
解決後7日以内	振り返りと改善策決定	世界銀行の目安

この表のうち、10分と30分は標的型メール訓練向けの法的・公的基準ではありません。

10分はCISAが観測した攻撃側の行動速度を逆算した訓練目標、30分は影響範囲特定のために本記事が提案する内部SLOです。

15分と60分も世界銀行のe-GPシステム向けマニュアルを参考にした値であり、自社の体制に合わせて調整する必要があります。

重要なのは、数字を絶対値として守ることではなく、毎回同じ起点と終点で計測し、組織の対応速度が改善しているかを確認することです。

実際の訓練ではタイムラインを残す

訓練結果は、次のようなタイムラインとして記録します。

時刻	イベント
10:00	訓練メール配信
10:06	従業員Aが不審メールとして報告
10:09	セキュリティ窓口が受付
10:12	CSIRTへエスカレーション
10:18	悪性メールと判定
10:25	同一メールの受信者を特定
10:31	クリック者を特定
10:38	URL・ドメイン遮断を実施
10:46	未開封メールの削除を開始
10:52	影響アカウントの保護措置を開始
11:00	初動状況を関係者へ共有

この場合、クリック率が何％だったかに加えて、

「初回報告6分」
「CSIRT起動12分」
「影響範囲特定31分」
「封じ込め措置開始38分」

という組織能力を評価できます。

次回の訓練で初回報告が4分、影響範囲特定が20分まで短縮すれば、対応プロセスが改善したことを具体的に説明できます。

クリック率は捨てず、難易度とセットで残す

時間を重視するからといって、クリック率を廃止する必要はありません。

NISTのPhish Scale User Guideは、クリック率と報告率について、それだけでは組織のフィッシングリスクを完全には説明できないとしています。

理由は、訓練メールによって見破りやすさが異なるからです。

セキュリティ対策Labでは、標的型攻撃メール訓練の効果 測定方法-NIST Phish Scaleで難易度を客観的に評価で、訓練メールの手掛かりと業務文脈から検知難易度を評価する方法を解説しています。

また、フィッシングメールをクリックした社員は悪なのか？海外研究に見るフィッシング被害と心理トリガーの関係では、クリックを従業員個人の注意力だけの問題として扱うことの限界を整理しています。

今回の時間KPIは、これらを置き換えるものではありません。

クリック率と認証情報入力率でPrevent、報告率と初回報告時間でDetect、トリアージと封じ込め時間でRespondを測ることで、訓練を立体的に評価できます。

経営層には「何％引っかかったか」より「何分で止めたか」を示す

標的型攻撃メール訓練の結果を経営層へ報告するとき、クリック率だけではサイバー攻撃への対応能力を説明しきれません。

例えば、次のような報告に変えることができます。

KPI	前回	今回
クリック率	8.5％	7.9％
報告率	31％	58％
初回報告	22分	6分
CSIRTエスカレーション	35分	12分
影響範囲一次特定	64分	31分
封じ込め措置開始	92分	38分

クリック率の改善は0.6ポイントにとどまっていても、初回報告と封じ込めが大きく早まっていれば、実際のインシデント対応能力は改善しています。

反対に、クリック率が3％まで下がっていても、誰も報告せず、セキュリティ部門が攻撃に気づくまで4時間かかったのであれば、組織の検知能力には課題が残ります。

経営層が知りたいのは、社員がテストで何点を取ったかではありません。

本物の攻撃が発生したとき、事業への影響をどれだけ早く抑えられるかです。

数字を「合格ライン」に固定しない

10分、15分、30分、60分という数字は、訓練を始めるための目安です。

24時間365日のSOCを持つ企業と、情報システム担当者が数人の企業では、実現可能な時間は異なります。

海外拠点を持つ企業では、夜間や休日のエスカレーション経路も考慮する必要があります。

また、1,000人規模の組織でメール検索・削除を自動化できる場合と、各端末を個別確認する組織でも対応速度は異なります。

そのため、最初の訓練では現状値を測定し、次回から改善目標を設定する方法が現実的です。

例えば、

「初回報告を20分から10分へ」
「CSIRT起動を30分から15分へ」
「封じ込め着手を90分から60分へ」

という形です。

公的機関の数値は、自社のSLOを検討するための参考値として使い、達成できなかった従業員や担当者を責めるための基準にはしないことが重要です。

情報システム部門への示唆

標的型攻撃メール訓練をインシデント対応訓練へ変える場合、訓練対象は従業員だけではありません。

報告ボタンや窓口が機能するか、担当者へ通知されるか、SOC・CSIRTへ正しくエスカレーションされるか、メール検索や一斉削除を実行できるか、URLを遮断できるか、クリック者を追跡できるか、認証情報の失効や端末隔離を速やかに実施できるかまで確認する必要があります。

標的型攻撃メール訓練サービスを選定する場合も、単にテンプレート数やクリック率集計機能を見るのではなく、報告時刻を取得できるか、報告者とクリック者を突合できるか、ログをエクスポートできるか、メール環境やSOC運用と連携できるかを確認したいところです。

製品選定の観点については、標的型攻撃メール訓練 ツール/サービスの選び方-確認すべき比較項目とマストの機能でも整理しています。

標的型攻撃メール訓練の最終目的は、クリック率を0％にすることではありません。

攻撃メールが届いたとき、最初の1人が早く気づき、迷わず報告し、その情報を受けた組織が短時間で影響範囲を把握して封じ込めに移れる状態を作ることです。

「何人がクリックしたか」に加えて、「何分で発見し、何分で動き、何分で止め始めたか」を測る。

この時間軸を加えることで、標的型攻撃メール訓練はセキュリティ教育から、実際のサイバー攻撃に備えるインシデント対応演習へ変わります。

出典

• Phishing Infographic – CISA
• Federal Incident Notification Guidelines – CISA
• e-GP Cybersecurity Manual – World Bank
• NIST Phish Scale User Guide – NIST
• SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management – NIST
• 悩み(9) インシデント対応の初動における社内での情報共有に不安がある – IPA
• 標的型攻撃メール訓練の効果 測定方法-NIST Phish Scaleで難易度を客観的に評価 – セキュリティ対策Lab
• フィッシングメールをクリックした社員は悪なのか？海外研究に見るフィッシング被害と心理トリガーの関係 – セキュリティ対策Lab
• 標的型攻撃メール訓練 ツール/サービスの選び方-確認すべき比較項目とマストの機能 – セキュリティ対策Lab