怪しいメールを報告しやすくする。責めない窓口と伝える項目

間違えたかもしれない時点でも、短い情報で相談できる入口を用意する。

見抜けなかった人を責める運用にしない

NCSCの組織向けフィッシング対策は、報告しやすい仕組みと、責める文化を避けることを説明しています。SONAEは、社員が怪しいメールを見つけたとき、真偽を確定する前に相談できる窓口を用意する方法を提案します。クリックしていない人だけの報告先にしません。開いた、入力した、判断できない、という状況も早く共有できることが大切です。文章の不自然さを探す教育だけでなく、確認と対応を組織が引き受ける準備を整えましょう。

報告する項目を、短い言葉で案内する

利用する端末やアカウント、受信した時刻、件名など対象を特定する情報、気になった点、自分が行った操作を伝えます。秘密のパスワードや認証コードを、報告の欄へ書かせません。社員が送信元の技術的な情報を調べきることを、相談の条件にしないようにします。会社が正式に導入した報告機能を使う場合は、何がどこへ送られるかを担当が確認します。製品が違っても同じボタンがあると案内せず、自社の入口を具体的に示します。

怪しい情報を、社内へ広く配らない

周囲へ注意を促す場合も、疑わしいリンクや添付をそのまま全員へ転送する運用にはしません。必要な担当へ、会社が認めた方法で渡します。窓口が確認できる原本や記録の扱いを決め、秘密や無関係な個人情報を余分に集めないようにします。架空の演習では、害のない文面と無効な参照だけを使い、実際の不審サイトを開かせません。困った本人が相手へ返信して本物か尋ねる方法も避け、既知の社内窓口へ相談する流れにします。

受けた担当が、次の行動を返す

受領したこと、追加で確認する事実、利用者が次にすることを窓口から伝えます。調査中なら未確認と次の連絡を示し、社員が自分で不審サイトをもう一度開いて説明する状況を減らします。真偽の判断や停止は正式な担当が行います。見間違いだった場合も、報告してよかったと分かる返答を用意します。詳しい攻撃の再現や、利用者を試す罠を増やすことが目的ではありません。確認を引き受ける責任を明確にし、報告が途切れない運用にしましょう。

報告件数が少ないことを、安心の根拠にしない

窓口が分かりにくい、責められそう、返信が来ない、という理由で報告が減る場合も考えます。件数だけで社員の良し悪しを評価せず、報告までの迷いや、受けた後の対応が回るかを見ます。架空の読み合わせでは、リンクを開く前、開いた後、入力した可能性がある場合を比べます。どの段階でも相談でき、必要な担当へ届くかを確認します。数字をきれいにするために相談を減らすのではなく、早く分かる仕組みを目指すことが大切です。

業務の例外も、確認の経路へ戻す

請求、送金、資料の共有、認証の再登録など、メールから始まる重要な仕事には、既知の別経路で確認する条件を用意します。報告の教育だけで、すべてを見抜ける保証にはしません。技術的な保護と、取引や承認の運用を合わせて点検します。完了の目安は、社員が迷った時点で相談でき、窓口が確認と返答を引き受けることです。担当変更や新しいサービスの導入時も、報告先と必要な項目を案内し直しましょう。

相談前の確認表

• 真偽を確定せず相談できる
• 開いた後も責めず報告を受ける
• 秘密や不審物を広く配らない
• 窓口から次の行動を返す

参考資料（確認日：2026年10月23日）：NCSC：Phishing attacks — defending your organisation ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。