自治体における標的型メール対策

「実在する国や上位組織を騙った不審なメールが職員に届き、ヒヤッとした」

「自治体をターゲットにした標的型攻撃メールに対して、技術面だけでなく運用の面からどのような備えをしておくべきか」

このように、地方公共団体（地方自治体）や公的機関において、特定の組織を執拗に狙う「標的型攻撃メール」への対策や、職員の訓練方法に悩む情報政策・情報セキュリティ担当者の方は少なくありません。

自治体は、住民の個人情報や公金に関するデータなど、極めて重要度の高い情報を大量に保有しているため、サイバー犯罪者にとって格好の標的になりやすいと指摘されています。

近年では、業務連絡や災害対応、公的な通知などを巧妙に装い、職員の心理的隙を突いてウイルス（ランサムウェア等）を仕込まれたり、認証情報を盗まれたりするインシデントが後を絶ちません。

どれほど高度な検知システムを導入していても、最後の防衛ラインとなるのはメールを開く「職員一人ひとりの判断」です。

本記事では、自治体が標的型メール対策を講じる上で押さえるべき主要なリスクと、組織を守るための実務的な対策について解説します。

1. 自治体が直面する「標的型メール」の巧妙な手口とリスク
1. 手口①：実在する公的機関や業務関係者を装った「騙し」
2. 手口②：無害なファイルに見せかけた「二重の罠」
2. 標的型メールによる被害を最小限に抑える「3つの実務的アプローチ」
3. 訓練を形骸化させないための「職員向けリテラシー教育」
よくある質問（FAQ）
1. Q. 「標的型メール訓練」を外部委託して実施する際、どのような点に注意すればよいですか？
2. Q. 職員が「標的型メール」の添付ファイルを実際に開いてしまった場合、人事的な処分や責任を問うべきでしょうか？
まとめ
1. 情報セキュリティ研修をご検討中の方へ

1. 自治体が直面する「標的型メール」の巧妙な手口とリスク

標的型メールは、不特定多数に送りつけられる迷惑メールとは異なり、明確な意図を持って特定の組織（自治体など）にカスタマイズされた内容で送られてくる特徴があります。

手口①：実在する公的機関や業務関係者を装った「騙し」

「総務省からの緊急通達」「近隣自治体からの照会文書」「住民からの苦情・問い合わせ」など、職員が日常の業務として開封せざるを得ないタイトルや差出人名を偽装するケースが目立ちます。

近年では、過去の正規のメールのやり取り（スレッド）に割り込む形でウイルスメールを送りつける「Emotet（エモテット）」のような、見分けることが極めて困難な手口も報告されています。

手口②：無害なファイルに見せかけた「二重の罠」

メールに添付されているPDFやWord、Excel、あるいは圧縮ファイル（ZIP）の中に、マクロと呼ばれるプログラムや悪意あるウイルスが仕込まれているケースです。ファイルを開いた瞬間にバックグラウンドでネットワークへの侵入を許してしまい、庁内システム全体へ被害が拡大する恐れが想定されます。

💡あわせて読みたい

不審メール受信時の社内対応手順｜従業員の自己判断を防ぐ初動マニュアル

「社員から『怪しいメールが届いた』と報告があったが、システム部門としてまず何を指示すべきだろう」「不審なメールを従業員が勝手に削除したり、放置したりするのを防ぐための明確なルールを作りたい」このような社内の運用フロー（インシデントレスポ...

2. 標的型メールによる被害を最小限に抑える「3つの実務的アプローチ」

総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」等でも推奨されている、技術面と運用面を組み合わせた多層防御の考え方です。

アプローチ1：ネットワークの分離（三層の対策）の維持・徹底

実務前対策：マイナンバーを利用する「個人番号利用事務系」、住民基本台帳などを扱う「LGWAN（地方公共団体情報システム機構）接続系」、そして外部とのメール交換やインターネット閲覧を行う「インターネット接続系」を分離する対策です。万が一、インターネット接続系のメールでウイルスに感染しても、重要な住民データが格納されているコアネットワークへ影響を及ぼさないよう、境界での通信制御を厳格に維持することが重要と考えられています。

アプローチ2：怪しいと感じた場合の「初動対応（通報フロー）」の標準化

実務的対策：どれほど対策をしても、職員が誤って添付ファイルをクリックしたり、リンクを開いたりするリスクをゼロにすることは困難です。重要なのは、「おかしい」と気づいた瞬間に、速やかにPCのネットワークケーブルを抜く（またはWi-Fiを切る）などの物理的隔離を行い、情報システム部門へ最速で報告を上げられる手順をマニュアル化しておくことです。

💡あわせて読みたい

インシデント発生時の初動対応｜最初の1時間で情シスが絶対にやるべきこと

「社内のパソコンがランサムウェアらしき画面に切り替わったと連絡があった」「機密データが入ったサーバーに、海外から不自然なアクセスがあった形跡を見つけた」このような緊急事態（セキュリティインシデント）に直面した際、情報システム部門（情シス）...

アプローチ3：会計年度任用職員（非常勤職員）までを含めた網羅的な対策

実務的対策：標的型メールは、組織の中で最もセキュリティ対策や教育の手が届きにくい「隙」を狙ってきます。窓口業務や事務補助を担い、住民からのメールを直接処理することの多い会計年度任用職員（非常勤職員）に対しても、正規職員と差をつけることなく、不審メールの判断基準や緊急時の連絡ルートを共有しておくことが不可欠です。

💡あわせて読みたい

会計年度任用職員（非常勤職員）へのセキュリティ教育｜自治体が抱える課題と対策

「会計年度任用職員への情報セキュリティ教育は、正規職員と同じ内容で本当に効果があるのだろうか」「勤務形態や任期が異なる非常勤職員に対して、負担をかけずにセキュリティ意識を定着させる手段を知りたい」このように、地方公共団体（地方自治体）や公...

3. 訓練を形骸化させないための「職員向けリテラシー教育」

多くの自治体では、ダミーの不審メールを職員に送り、開封率を測定する「標的型メール訓練」が実施されています。

しかし、「開いてしまった職員を責める」ような運用や、ただ結果の数字（開封率）を一喜一憂するだけでは、ルールの形骸化を招きかねません。

要点を凝縮した「ケーススタディ動画」による底上げ：訓練の目的は、職員を引っ掛けることではなく、万が一の際の正しい行動（開かない、開いたら即通報する）を体得してもらうことにあります。日頃から、「最新の標的型メールはどれほど巧妙化しているのか」「実際のインシデント事例において、なぜ最初の15分の通報が生死を分けたのか」を、具体的かつ直感的に学べる動画教材を導入します。業務の合間に効率よく学べる動画を活用し、定期的な研修を通じて全庁的な「防犯の目」を養っておくことが、システム的な防御壁をすり抜けてくる未知の脅威に対抗するための最も強固な防衛ラインとなります。