標的型メール訓練10製品の地図 差は料金の数え方と報告を誰が調べるか

年に3回の訓練と全員のeラーニングで、100人の会社の年額は36万円から約90万円まで開きます。公式に金額が載っていた、標的型メール訓練の4製品で計算した幅です。訓練メールを送ってリンクを押した人を数えるところまでなら、日本の会社が使える10製品のどれでもできます。差が出たのは、料金の数え方と、社員が「怪しい」と報告したメールを誰が調べるか、でした。

報告されたメールを調べる機能まで公式ページで確かめられた製品は、10製品のうち4製品にとどまります。¹

送るところと、開いた人に示すところはほぼそろう

10製品とも、訓練メールを送り、開封やクリックを集計できます。用意された文面を選ぶだけでなく、自社に合わせて書き換えられる製品も多くありました。たとえばSelphishはドメインや件名、本文を変えられ、Cofenseも、差出人や件名、本文を自由に直せる仕様です。

違いは、メール以外の経路と文面の作り方でした。AironWorksはメールに加えてSMSやWebの経路を再現し、攻撃者の視点を持つAIが組織や時期に合わせてシナリオを作ります。KnowBe4も、上位のAdvancedではAIDAというAIがテンプレートを生成する仕組み。MicrosoftのDefender for Office 365は、QRコードや、アプリへのアクセスの同意を求める画面を使う訓練も選べます。

リンクを押した人への示し方も、多くの製品にあります。HENNGE Tadrillはどこが不審だったかの解説を出し、Microsoftは押したかどうかに応じてトレーニングを割り当てる形です。Selphishには種明かしを出さない設定もあり、本物と同じ条件で動けるかを見たい回に向きます。

「記載なし」は、確認したページに書かれていなかったという意味です。

ここまで差が小さいと、機能の一覧を見比べても決め手は見つかりにくいでしょう。それより先に、1年に何回送りたいかと、報告を受けたあとに誰が動くかを先に決めておくと、候補は絞りやすくなります。

料金は4通りの数え方に分かれる

料金の数え方は、人数やIDで数える型、送った通数で数える型、人数と回数を掛ける型、そしてほかの契約に含まれる型の4通りでした。

金額まで公式ページに載せていた会社は、Microsoft、HENNGE、Selphish、ラックの4社です。²この4製品の年額を同じ条件にそろえると、次のとおりです。条件は、1年に3回訓練し、全員にeラーニングを受けてもらうこと。金額は税抜で、HENNGEだけは税の記載がありません。

100人なら、ラックの教育つきとSelphishがほぼ並び、1人あたり年3,600〜3,800円に収まりました。HENNGE Tadrillが倍の7,200円になるのは、最小の契約が200IDだからです。200人以上の会社なら、1人あたり年3,600円の計算に戻ります。

通数で数えるSelphishは、回数で損得が変わる料金です。100人に年1回なら、訓練は100通で10万円（6か月のライトプラン）、教育を足しても18万円です。ところが毎月送ると年1,200通になり、公式の表では1,000通の42万円を超えるので、2,000通の54万円の段に上がります。何度送っても同じ額のラックの教育つきは、毎月でも36万円のまま。年1回なら通数の型、年3回でほぼ並び、毎月なら定額の型が安い、と分かれそうです。

Microsoftの約90万円は、訓練だけの金額ではありません。Plan 2には受信のメール対策や脅威の調査の機能も入っていて、Microsoft 365 E5の会社なら追加の費用なしで使えます。そのため、E5の会社が別の訓練サービスを足すなら、手元の機能で何が足りないのかを先に言えるようにしておきたいところです。

1,000人になると、Selphishの1人あたりは1,520円まで下がる計算です。ただし内訳は訓練が72万円、教材が80万円で、教材のほうが大きくなりました。ラックは1,000人の金額を出していないので、この人数では比べられません。²

教材を誰が用意するかで、手間と費用が入れ替わる

教材の持ち方は、製品でまるで違いました。セキュリオは170種類以上、KnowBe4はFoundationで200以上、Advancedで1,000以上のモジュールを用意しています。KnowBe4の教材はSCORMに沿うので、自社のLMSでも使えます。ラックの教育つきのプランは5分前後の動画で、新しい動画も足していくといいます。

逆に、HENNGE Tadrillのeラーニングは配るための仕組みで、教材そのものは付きません。HENNGEは2026年1月の発表で、GoogleスライドやPowerPointの教材を配り、テストを作り、受講の状況をつかめると説明しました。ただし「コンテンツは企業側で準備いただきます」とあります。TrendAI Vision Oneも、用意されたライブラリのほかに自社の教材を上げられます。

教材を作る人がいない会社なら、既製の教材が多い製品のほうが手間は少ないはずです。ただ、報告の宛先や、取引先を名乗るメールの確かめ方のような自社だけの手順は、既製の教材には入っていません。既製の教材に自社のスライドを1枚足せるかは、試用で見ておく価値があります。

費用の面では、無料の教材も候補に入るでしょう。IPAは「映像で知る情報セキュリティ」の動画を、YouTubeでそのまま再生して社内研修に使ってよく、事前の申請も要らないとしています。標的型メールの訓練を舞台にした回もあります。Selphishの計算のように1,000人分の教材が年80万円になるなら、教材はIPAの映像で済ませ、訓練だけを契約する組み方もできます。Selphishはメール訓練だけでも契約でき、ラックも訓練だけのT3を別に用意しています。

報告を受けたあと、調べる人は誰か

訓練の目当ては、開封率を下げることより、怪しいメールを報告する習慣を育てることでしょう。報告を受ける機能は10製品のうち8製品の公式ページにあり、報告率を訓練の結果に並べて出せる製品もあります。ところが、報告されたメールの扱いになると、差は大きく開いていました。

調べるところまで持つ4製品も、やり方は分かれます。セキュリオでは、担当者が報告メールのヘッダーやリンクを押せない状態で見て、報告者に判定を返します。社員が訓練メールを報告したときは、その場で訓練だと分かる仕組み。Cofenseは別製品のTriageで報告メールをヘッダーや本文、URL、添付ファイルに分けて調べ、同じく別製品のVisionで、同じメールを受信箱から探して隔離します。KnowBe4の場合は、別製品のPhishER Plusで分類し、同じ型のメールをすべての受信箱から消す形です。

一方、HENNGE Tadrillの製品ページの説明は、管理者への報告と、報告状況の確認までです。通報の分類や管理のしやすさは導入事例の利用者の声に出てきますが、製品の機能としての説明は見当たりませんでした。

報告が増えると、どうなるでしょうか。HENNGEが公開しているジャパネットホールディングスの事例によると、2022年10月にTadrillを使い始めた同社では、グループ13社の約2,000人が訓練の対象です。以前は訓練メールの作成から、押してしまった社員への注意までを手作業でこなし、年に1回ほどしか実施できなかったといいます。取材の時点でも、通報アドオンが浸透せず、メールで通報してくる社員はまだいたそうです。

報告の文化が育つほど、本物の不審メールの報告も同じ受け口に集まります。調べる機能のない製品なら、その受け口は情シスの受信箱です。訓練の翌週、「これも訓練ですか」という問い合わせが続けて届く光景は、どの会社でも目にすることになりそうです。「このメール、詐欺ですか?」問い合わせを減らす判定と報告の型のように、返事の型を先に決めておけば、報告を嫌がらずに受けられます。

もう一つ、訓練で開いた人には解説が出ても、本物のメールで開いてしまった人の初動は、自社で決めることです。開いた人を責める空気があると、報告そのものが止まりかねません。セキュリティ研修を身につく場にする工夫にも、報告した行動をたたえる話が出てきます。

うちの会社が先に見る型

まずは手元の契約から。Microsoft 365 E5かDefender for Office 365 Plan 2がある会社は、「攻撃シミュレーション トレーニング」をもう使える状態です。E3の会社でも、試用として一部の機能を使えます。

100人前後で、訓練は年に1〜3回という会社なら、通数のSelphishと、定額のラックの教育つきを並べるところから始められます。毎月送るつもりなら、定額や人数の型のほうが読みやすいでしょう。

報告が多いのに調べる人が足りない会社は、報告の解析まで持つ製品が候補です。CofenseのTriage、KnowBe4のPhishER Plus、セキュリオの上位プランです。どれも金額は見積もりなので、月に何通くらい報告が来るかを添えて頼むと、比べやすい答えが返ってくるはずです。

自社で訓練を回す余力がないなら、代行の形もあります。ラックのT3 Plusは、配信から報告書までをラックが受け持つ形。Selphishを出す神戸デジタル・ラボも、送信の対象者の数で値付けする業務委託型の訓練を別に設けています。

契約の前に確認すること

1. Microsoft 365でほかの会社の訓練を使うなら、Defenderポータルの高度な配信ポリシーに、そのシミュレーションを登録できるかを確かめます。登録した訓練メールには、Microsoft 365のフィルターや安全なリンクのブロックがかかりません。
2. 報告の宛先と、返事をする担当を決めておきましょう。Microsoftの報告用メールボックスを使うなら、SecOpsメールボックスとして設定します。そうしないと、報告したメールが訓練製品のトレーニングの割り当てを起こしてしまう場合があります。
3. 訓練サービスに渡す名簿の項目を絞ります。JNSAは11月6日、理解度チェックのサービスへの不正アクセスを公表しました。受講者IDに何を使っていたかで、漏れた恐れのある中身が変わる件です。社員の氏名を入れずに回せるかを見ておきます。
4. 試用で、数え方が正しいかを確かめます。メールの安全対策の製品がリンクを先に開くと、それが社員のクリックに数えられることがあります。Selphishにはそうしたアクセスを集計から外す機能があり、ほかの製品にも同じ手当てがあるかを聞いておくと、結果の数字を信じやすくなります。
5. 見積もりは、人数、1年の回数、教材の要否をそろえて、2社以上から取るのが近道です。今回の4製品の計算と同じ条件で頼めば、表の行にそのまま足せます。

訓練の結果で本当に見たいのは、開封率の低さより、報告が何分で届いたかのほうかもしれません。その報告に返事をする人まで決めてから、1通目を送るのが順番でしょう。