「セキュリティ研修を導入したいが、どの形式を選べば良いのか。費用はいくらかかるのか」——情報システム部門やセキュリティ担当者が必ず直面する問いである。
IPA「情報セキュリティ10大脅威 2026」では、「ランサムウェアによる被害」が6年連続で組織部門の1位を占めた。そしてランサムウェア感染の最大の入口は依然として「人」である。Verizon「Data Breach Investigations Report 2025」によれば、侵害事例の68%にヒューマンエラーまたはソーシャルエンジニアリングが関与している。
技術的対策だけでは防ぎきれない。だからこそ、従業員のセキュリティ意識を高める「研修」が不可欠となる。本記事では、eラーニング型SaaS・標的型メール訓練・対面研修の3形式について、費用相場・主要サービスの比較・効果測定の方法までを網羅する。
セキュリティ研修が必要な理由
攻撃の入口は「人」
サイバー攻撃の多くは、技術的な脆弱性ではなく人間の判断ミスを突いてくる。代表的な攻撃経路は以下のとおりである。
| 攻撃手法 | 概要 | 人的要因の割合 |
|---|---|---|
| フィッシングメール | 正規サービスを装った偽メールでID・パスワードを窃取 | ほぼ100% |
| ビジネスメール詐欺（BEC） | 経営者や取引先を装い、送金を指示 | ほぼ100% |
| USBドロップ攻撃 | マルウェア入りUSBを拾わせて接続させる | 100% |
| 標的型攻撃メール | 特定の組織・個人を狙った精巧な攻撃メール | 90%以上 |
法規制・ガイドラインの要請
2026年時点で、従業員教育を求める主な法規制・ガイドラインは以下のとおりである。
- 個人情報保護法：安全管理措置の一環として「従業者の監督」（第24条）が義務付けられている
- 経済産業省「サイバーセキュリティ経営ガイドライン v3.0」：指示7「インシデント発生に備えた体制構築」の中で従業員教育を明記
- ISMS（ISO 27001:2022）：附属書A.6.3「情報セキュリティの意識向上、教育及び訓練」が管理策として規定
- IPAサイバーセキュリティお助け隊サービス：利用要件として従業員向け研修の実施を推奨
つまり、セキュリティ研修は「やったほうがいい」ではなく「やらなければならない」ものである。
セキュリティ研修の3つの形式
研修の形式は大きく3つに分かれる。それぞれの特徴と適用場面を理解し、自社に合った組み合わせを選ぶことが重要である。
| 形式 | 概要 | 主な対象 | 費用感 |
|---|---|---|---|
| eラーニングSaaS | オンラインで受講する動画・テスト型の学習 | 全従業員 | 月額2万〜10万円 |
| 標的型メール訓練 | 擬似的な攻撃メールを送信し、対応を測定 | 全従業員 | 50万〜200万円/回 |
| 対面研修（講師派遣） | 専門講師による集合研修・ワークショップ | 管理職・IT部門 | 30万〜100万円/回 |
eラーニングSaaS：月額2万〜10万円
概要と特徴
eラーニング型セキュリティ研修は、クラウド上の学習プラットフォームを通じて、従業員が各自のペースで受講する形式である。動画視聴、テスト、修了証発行などの機能を備え、管理者は受講状況をダッシュボードで一元管理できる。
メリット
- 全従業員に一律の教育を効率的に実施できる
- 場所・時間を選ばず受講可能（リモートワーク環境にも対応）
- 受講履歴が自動で記録される（監査対応に有用）
- コンテンツが定期的に更新される（最新の脅威情報を反映）
デメリット
- 受講者の集中力が維持しにくい（「流し見」のリスク）
- 実践的なスキルの習得には不向き
- カスタマイズの幅がサービスによって異なる
費用の内訳
| 項目 | 費用目安 |
|---|---|
| 月額基本料金 | 2万〜10万円（従業員数・プランにより変動） |
| 1人あたり月額換算 | 200〜500円/人 |
| 初期設定費用 | 0〜10万円（サービスにより異なる） |
| カスタムコンテンツ追加 | 5万〜30万円/本 |
| 年間総費用の目安（100名規模） | 24万〜120万円 |
主要サービス比較
| サービス名 | 提供元 | 月額目安 | コンテンツ数 | 日本語対応 | 特徴 |
|---|---|---|---|---|---|
| KnowBe4 Security Awareness Training | KnowBe4 | 3万〜8万円（100名） | 1,000本以上 | 対応 | 世界最大手。標的型メール訓練との統合が強み |
| Proofpoint Security Awareness | Proofpoint | 4万〜10万円（100名） | 500本以上 | 対応 | メールセキュリティとの連携が充実 |
| LANSCOPE セキュリティオーディター | MOTEX | 2万〜5万円（100名） | 200本以上 | 国産 | 国内企業向けに特化。日本語UIが使いやすい |
| セキュリオ | LRM | 2万〜6万円（100名） | 150本以上 | 国産 | ISMS運用支援との統合。中小企業に人気 |
| learningBOX | learningBOX | 2万〜4万円（100名） | カスタム中心 | 国産 | 自社コンテンツの作成・配信に強み |
KnowBe4 vs Proofpoint：選び方のポイント
この2社はグローバルで圧倒的なシェアを持つ。選定時の判断基準を整理する。
| 比較項目 | KnowBe4 | Proofpoint |
|---|---|---|
| 標的型メール訓練の統合 | プラットフォーム内で完結 | メールセキュリティ製品と連携 |
| コンテンツの更新頻度 | 月次以上 | 四半期ごと |
| 日本語コンテンツの充実度 | 増加中だが英語が主 | 日本語コンテンツ充実 |
| UIの使いやすさ | 直感的で管理が容易 | 多機能だが設定項目が多い |
| 中小企業向けプラン | あり（Diamondプランから） | あり（Essentialsプランから） |
| 価格帯 | やや低め | やや高め |
| 導入実績（日本国内） | 増加傾向 | 大手企業に強い |
- 「まず始めたい」「標的型訓練と一体で管理したい」 → KnowBe4
- 「既にProofpointのメールセキュリティを利用している」「大企業・グループ会社での統一展開」 → Proofpoint
- 「国産サービスでサポートを重視したい」 → セキュリオ or LANSCOPE
標的型メール訓練：50万〜200万円/回
概要と特徴
標的型メール訓練とは、実際の攻撃メールを模した擬似メールを従業員に送信し、開封率・リンククリック率・報告率などを測定する訓練である。「知識」ではなく「行動」を変えることを目的とする。
メリット
- 従業員の実際の行動を数値で可視化できる
- 繰り返し実施することで開封率が確実に下がる（行動変容の効果が高い）
- 部門別・役職別のリスク分析が可能
- 経営層への報告に使える定量データが得られる
デメリット
- 従業員が「試されている」と感じモチベーションが下がるリスクがある
- 訓練メールの品質が低いと実効性が薄い
- 単発実施では効果が持続しない
費用の内訳
| 項目 | 費用目安 |
|---|---|
| 基本料金（1回の訓練） | 50万〜200万円 |
| 1人あたり単価 | 500〜2,000円/人 |
| メールテンプレート作成 | 基本料金に含む場合が多い |
| カスタムシナリオ（自社を装ったメール等） | +10万〜30万円 |
| 結果レポート作成 | 基本料金に含む場合が多い |
| 年間契約（年4回実施） | 150万〜600万円 |
費用に影響する要因
- 従業員数：規模が大きいほど1人あたり単価は下がる傾向
- 訓練回数：年間契約で複数回実施するとボリュームディスカウントがある
- シナリオの複雑さ：汎用テンプレートか、自社固有のカスタムシナリオかで費用が変わる
- 事後教育の有無：クリックした従業員への即時フィードバック機能がある場合、追加費用が発生することがある
主要サービス比較
| サービス名 | 提供元 | 費用目安（100名/回） | 特徴 |
|---|---|---|---|
| KnowBe4 フィッシングシミュレーション | KnowBe4 | eラーニング料金に含む | eラーニングと統合管理。テンプレート数が豊富 |
| Proofpoint Attack Simulation | Proofpoint | 80万〜150万円 | 実際の脅威インテリジェンスに基づくシナリオ |
| 標的型攻撃メール訓練サービス | NRIセキュアテクノロジーズ | 100万〜200万円 | 国内大手。詳細なレポーティングに強み |
| セキュリティ教育・訓練サービス | ラック | 80万〜180万円 | 日本語シナリオの品質が高い。対面研修との組み合わせ可能 |
| HENNGE Tadrill | HENNGE | 50万〜120万円 | 中小企業向け。導入が簡便 |
訓練の効果を最大化するポイント
- 年3〜4回の定期実施：単発では行動変容が定着しない。四半期ごとの実施が推奨される
- 段階的な難易度設定：初回は判別しやすいメールから始め、回を重ねるごとに巧妙なシナリオへ
- 即時フィードバック：リンクをクリックした従業員にはその場で教育コンテンツを表示する
- 罰則ではなく学習の機会に：「引っかかった人を叱る」のではなく「報告した人を褒める」文化を作る
- 結果の可視化と共有：部門別の開封率を経営会議で共有し、組織全体の意識を高める
対面研修（講師派遣）：30万〜100万円/回
概要と特徴
セキュリティの専門講師が自社に出向き（またはオンラインで）、集合研修・ワークショップ形式で実施する。座学だけでなく、グループディスカッションやインシデント対応演習を含むプログラムが一般的である。
メリット
- 双方向のコミュニケーションにより理解度が深まる
- 自社の業種・業態に合わせたカスタマイズが可能
- 経営層・管理職向けの高度なプログラムに適している
- 受講者の反応を見ながら進行を調整できる
デメリット
- 全従業員を対象にすると複数回の実施が必要でコストが膨らむ
- 日程調整が必要（特に全国拠点がある場合）
- 講師の質によって効果にばらつきがある
費用の内訳
| 項目 | 費用目安 |
|---|---|
| 講師派遣料（半日/3時間） | 15万〜50万円 |
| 講師派遣料（1日/6時間） | 30万〜100万円 |
| カスタマイズ費用（自社事例の組み込み等） | +10万〜30万円 |
| テキスト・教材費 | 0〜3,000円/人 |
| オンライン実施の場合 | 対面の70〜80%程度 |
| 交通費・宿泊費（地方の場合） | 実費 |
研修プログラムの例
| プログラム | 対象 | 時間 | 費用目安 | 内容 |
|---|---|---|---|---|
| 全社員向けセキュリティ基礎 | 全従業員 | 2時間 | 15万〜30万円 | フィッシング対策、パスワード管理、SNSリスク |
| 管理職向けリスクマネジメント | 管理職 | 3時間 | 20万〜40万円 | インシデント時の判断基準、報告フロー、法的責任 |
| IT部門向けインシデント対応演習 | IT部門 | 6時間 | 50万〜100万円 | 机上演習（TTX）、初動対応、フォレンジック基礎 |
| 経営層向けサイバーリスクブリーフィング | 役員 | 1.5時間 | 20万〜50万円 | 経営責任、情報開示、BCP連携 |
対面研修の提供会社
| 会社名 | 費用目安（半日） | 特徴 |
|---|---|---|
| ラック | 20万〜50万円 | 国内最大手のセキュリティ企業。実践的な演習に定評 |
| NRIセキュアテクノロジーズ | 30万〜80万円 | 大企業向け。高度なインシデント対応演習が得意 |
| GSX | 15万〜40万円 | 中小企業向けプログラムが充実 |
| トレンドマイクロ | 20万〜50万円 | 最新の脅威動向に基づくコンテンツ |
| IPA（独立行政法人） | 無料〜5万円 | 「中小企業の情報セキュリティ対策ガイドライン」に基づく研修教材を提供 |
3形式の費用比較一覧
100名規模の企業を想定し、年間費用を比較する。
| 形式 | 年間費用目安 | 1人あたり年額 | 対象 | 効果の特徴 |
|---|---|---|---|---|
| eラーニングSaaS | 24万〜120万円 | 2,400〜12,000円 | 全従業員 | 知識の底上げ |
| 標的型メール訓練（年4回） | 150万〜600万円 | 15,000〜60,000円 | 全従業員 | 行動変容の促進 |
| 対面研修（年2回） | 60万〜200万円 | 6,000〜20,000円 | 管理職・IT部門 | 深い理解と応用力 |
| 3形式の組み合わせ | 234万〜920万円 | 23,400〜92,000円 | 全従業員＋管理層 | 最も効果的 |
費用対効果の考え方
研修費用を「コスト」と捉えるのではなく、インシデント被害額の回避額として捉えることが重要である。
- ランサムウェア被害の平均損害額：中小企業で3,000万〜5,000万円
- ビジネスメール詐欺（BEC）1件あたりの被害額：平均1,000万〜3,000万円
- 年間研修費用（3形式組み合わせ）：234万〜920万円
たった1件のインシデントを未然に防ぐだけで、研修費用の数倍から数十倍のリターンがある計算になる。
効果測定の方法
研修を実施して終わりでは意味がない。効果を定量的に測定し、継続的に改善するサイクルが不可欠である。
測定すべきKPI
| KPI | 測定方法 | 目標値の目安 |
|---|---|---|
| eラーニング受講率 | LMSの受講ログ | 95%以上 |
| eラーニングテスト合格率 | LMSのテスト結果 | 80%以上（80点以上で合格） |
| 標的型メール開封率 | 訓練結果レポート | 初回20%以下 → 年度末10%以下 |
| 標的型メールリンククリック率 | 訓練結果レポート | 初回15%以下 → 年度末5%以下 |
| 不審メール報告率 | 報告窓口の集計 | 60%以上（受信者のうち報告した割合） |
| インシデント報告までの平均時間 | インシデント管理システム | 30分以内 |
| セキュリティポリシー認知率 | アンケート調査 | 90%以上 |
効果測定のフレームワーク：カークパトリックモデル
研修の効果測定には、カークパトリックの4段階評価モデルが有効である。
| レベル | 評価内容 | セキュリティ研修での適用例 |
|---|---|---|
| Level 1：反応 | 受講者の満足度 | 研修後アンケート（5段階評価） |
| Level 2：学習 | 知識の習得度 | eラーニングのテストスコア |
| Level 3：行動 | 実務での行動変容 | 標的型メール訓練の開封率推移 |
| Level 4：結果 | 組織成果への貢献 | インシデント件数の減少、報告率の向上 |
効果測定レポートの作成例
経営層への報告に使えるレポート構成の例を示す。
自社に合った研修プログラムの選び方
企業規模別のおすすめ構成
| 企業規模 | おすすめの構成 | 年間費用目安 |
|---|---|---|
| 小規模（30名以下） | eラーニング＋標的型訓練（年2回） | 50万〜180万円 |
| 中小規模（30〜100名） | eラーニング＋標的型訓練（年4回）＋対面研修（管理職向け年1回） | 200万〜500万円 |
| 中堅規模（100〜300名） | eラーニング＋標的型訓練（年4回）＋対面研修（階層別年2回） | 400万〜1,000万円 |
予算別の優先順位
予算に制約がある場合、以下の優先順位で導入を検討するとよい。
予算50万円以下の場合：
- IPAの無料教材を活用した社内研修（無料）
- 低価格帯のeラーニング（月額2万円〜）
予算100万〜200万円の場合：
- eラーニングSaaS（年間24万〜60万円）
- 標的型メール訓練 年2回（100万〜150万円）
予算300万円以上の場合：
- eラーニングSaaS（年間24万〜120万円）
- 標的型メール訓練 年4回（150万〜400万円）
- 対面研修 年1〜2回（30万〜200万円）
選定時のチェックリスト
サービスを選定する際に確認すべきポイントを以下にまとめる。
- [ ] 日本語コンテンツは十分に用意されているか
- [ ] 自社の業種・業態に合ったシナリオが含まれているか
- [ ] 管理画面は日本語対応しているか
- [ ] 受講履歴のエクスポート機能はあるか（監査対応）
- [ ] 標的型メール訓練との統合は可能か
- [ ] カスタムコンテンツの作成は対応可能か
- [ ] サポート体制は日本語で対応可能か
- [ ] 無料トライアルまたはデモは利用できるか
- [ ] 契約期間と解約条件は許容範囲か
- [ ] ISMS・Pマーク対応のレポート出力機能はあるか
導入から運用までのステップ
導入スケジュール（標準的な例）
| フェーズ | 期間 | 実施内容 |
|---|---|---|
| 1. 現状把握 | 1〜2週間 | 現在のセキュリティ教育状況の棚卸し、従業員のリテラシーレベル調査 |
| 2. サービス選定 | 2〜3週間 | 要件整理、3社程度の比較検討、デモ・トライアル評価 |
| 3. 稟議・契約 | 1〜2週間 | 稟議書作成、経営層への説明、契約締結 |
| 4. 環境構築 | 1〜2週間 | アカウント設定、従業員リスト登録、テスト配信 |
| 5. パイロット実施 | 2週間 | IT部門など一部で先行実施し、運用上の課題を洗い出す |
| 6. 全社展開 | 2〜4週間 | 全従業員への展開、受講促進 |
| 7. 効果測定・改善 | 継続 | KPIモニタリング、四半期ごとの訓練実施、年次レビュー |
運用のポイント
- 経営層のコミットメント：トップダウンで「全従業員必須」と明確に発信する
- 負担を最小化する設計：1回の受講時間を15〜20分以内に収め、業務への影響を抑える
- ポジティブな動機づけ：受講完了者への表彰、部門対抗の報告率ランキングなど
- 最新脅威の反映：四半期ごとにコンテンツを見直し、直近の攻撃トレンドを反映する
よくある質問（FAQ）
Q. 研修は年に何回実施すべきか？
eラーニングは毎月新しいコンテンツを配信するのが理想的だが、最低でも四半期に1回は新しいコンテンツを提供したい。標的型メール訓練は年3〜4回の実施が推奨される。対面研修は年1〜2回で十分である。
Q. 研修の受講を義務化すべきか？
はい。任意受講にすると受講率が50%程度にとどまることが多い。全従業員必須とし、期限内に未受講の場合は上長にリマインドが飛ぶ仕組みにするのが効果的である。
Q. 標的型メール訓練で「引っかかった」従業員にペナルティを科すべきか？
科すべきではない。ペナルティを設けると「報告しない文化」が生まれ、実際のインシデント時に報告が遅れるリスクがある。訓練はあくまで「学びの機会」と位置づけ、クリックした従業員にはその場で教育コンテンツを表示する形が望ましい。
Q. IT補助金は使えるか？
2026年度の「デジタル化・AI化推進補助金」（旧IT導入補助金）では、セキュリティ対策推進枠でeラーニングSaaSの導入費用が補助対象となる場合がある。補助率は1/2〜2/3、上限額は100万円が目安である。申請前に最新の公募要領を確認してほしい。
Q. 従業員数が少ない場合でも導入すべきか？
はい。従業員数が少ない企業ほど、1人のミスが組織全体に与える影響が大きい。10名以下の企業であれば、IPAの無料教材と年1〜2回の標的型メール訓練の組み合わせから始めるとよい。