[事例ニュース]

2026年7月22日(水)IT Leaders編集部、日川 佳三

シェアする

リスト

　サーバーワークスはAmazon Web Services（AWS）に特化したクラウドインテグレーター（CIer）である。導入・構築から保守運用、さらには請求代行などAWS関連のサービスを包括的に提供している。

　同社は10年ほど前から標的型攻撃メール訓練を実施していたが、運用負荷の高さが課題だった。コーポレートエンジニアリング部 情報システム管理者の宮澤慶氏は次のように振り返る。

　「当時はオープンソースのツールでインフラを構築し、従業員リストをCSVで登録・配信する方法で行っていたが、訓練メール1通の作成にも手間がかかり、年1回の実施が限界だった。さらに、自社が取得したドメインからしか送信できず、ITリテラシーの高いエンジニアがすぐに見破ってしまうなど、訓練の質も高くなかった」。

　宮澤氏によれば、社内コミュニケーションがSlackへ移行し、メールに触れる機会が減ったことも懸念材料となっていた。「メールの利用頻度が下がっても、リスクが消えるわけではない。事業成長に伴い、セールスやバックオフィスなどメールを頻繁に利用する人員も増えている。全社的なリテラシを維持するにはメール訓練の精度と頻度を高める必要があったが、運用負荷の高さが障壁となっていた」という。

画面1：「HENNGE Tadrill」のメール訓練サマリー画面の例（出典：HENNGE）
拡大画像表示

　そこで、メール訓練の運用負荷軽減と精度向上を目的に、HENNGEの標的型メール訓練サービス「HENNGE Tadrill（タドリル）」（画面1）を導入。導入後は3カ月に1回のペースで訓練を実施し、月末に訓練を終えると翌月上旬に結果をレポートにまとめるサイクルを確立した。

　宮澤氏は「年1回では手順を忘れてしまい、定着しない。訓練かどうかを気にするのではなく、日常の業務の中で不審な挙動に対して常に報告を上げ続けられるよう習慣化させたい」と話す。

　以前は訓練メールを一斉送信すると、Slack上で瞬く間に共有が広がってしまうこともあったという。Tadrillは送信タイミングをランダム化し、複数のメールパターンを織り交ぜることで、こうしたネタバレによる訓練の形骸化を防いでいる。

　社長（大石良氏）の助言もあり、うっかりURLをクリックした人を晒さない運用を徹底している。ミスを責めるのではなく、正しく報告した人を勉強会などで模範として称賛する方針に切り替えたところ、初回は約30件だった報告数が次回で約120件と4倍に増えた。

　「以前と比べて運用が楽になった」と宮澤氏。HENNGEが随時追加するメールテンプレートや、実在するかのような巧妙なドメインを利用できるため、実施方法に悩むことがなくなったという。管理画面ではユーザーの行動をリアルタイムに可視化し、合格、及第点、グレーゾーン、要注意の4象限で把握できる。

　ユーザーが不審なメールを受信した際に2クリックで管理者に報告できるメールアドオン機能「Tadrill Alert」を活用している。運用開始後は報告数が着実に増加するなど、正しい行動が社内に浸透しているという。

　今後はeラーニング機能を活用し、訓練メールでつまずいた人にフォローアップ学習を提供する仕組みを整える計画である。「トレンドを反映した最新の巧妙な手口を体験させるなど、セキュリティ教育をさらに高度化したい」（宮澤氏）。