社員をフィッシング詐欺から守る

フィッシング被害の現状と影響

フィッシング詐欺は2024年に過去最高を更新し、報告件数は約171万8,036件、被害総額は約86億9,000万円に達しました。また、インターネットバンキングへの不正送金事犯の発生件数は5,147件にのぼり、被害総額は約80億1,000万円と深刻化しています。これらはすべて警察庁が公表した公式統計に基づく数値です[出典：警察庁『令和6年におけるサイバー空間をめぐる脅威の情勢等について』2025年]。

国内外の統計比較

国内におけるフィッシング報告件数は2023年上半期で前年同期比約10万件増加し、警察庁の調査ではこれが継続的に増加していることが示されています。また、SNSを利用した投資詐欺やロマンス詐欺も含めると、SNS型詐欺は前年比178.6％増の被害額1,268億円に達しています[出典：一般財団法人日本サイバー犯罪対策センターJC3『脅威情報』2025年]。

＿フィッシング詐欺被害の推移（年度別）＿

年度	報告件数	被害総額
2022年	150万件	80億円
2023年	171万8,036件	86億9,000万円
2024年上半期	約86千件増加	約43億円（上半期）

こうした急激な増加は、日本国内だけでなく米国やEUでも同様の傾向がみられ、グローバルな脅威レベルが高まっていることを示唆しています[出典：警察庁『令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について』2025年]。

　

関係者マッピングと責任分界

効果的なフィッシング対策には、＜経営層＞、＜戦略マネジメント層＞、＜実務者層／技術者層＞の三つの役割分担が不可欠です[出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』2024年]。

三層体制の概要

・経営層：全社のリスク受容水準の決定と投資判断を行います[出典：内閣サイバーセキュリティセンター『政府機関等の対策基準策定のためのガイドライン』令和６年７月]。
・戦略マネジメント層：ポリシー策定と定期レビュー、外部連携窓口の維持を担います[出典：内閣サイバーセキュリティセンター『官民連携関連』2025年]。
・実務者層／技術者層：メールプラットフォーム設定、教育実施、インシデント初動対応を実行します[出典：内閣サイバーセキュリティセンター『情報システム運用継続計画ガイドライン』令和３年改定]。

＿関係者役割マトリクス＿

層	主要ミッション	主な責任
経営層	経営方針・予算確保	リスク受容基準設定、投資承認
戦略マネジメント層	ポリシー策定・監査	インシデントレビュー、外部連携
実務者／技術者層	技術導入・運用	DMARC設定、訓練実施、初動対応

　 [出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』2024年] [出典：内閣サイバーセキュリティセンター『政府機関等の対策基準策定のためのガイドライン』令和６年７月] [出典：内閣サイバーセキュリティセンター『官民連携関連』2025年] [出典：内閣サイバーセキュリティセンター『情報システム運用継続計画ガイドライン』令和３年改定]

法令・政府方針で変わる社会活動

企業のフィッシング対策は、国内外の法令・政府方針の変化により大きく影響を受けます。日本の個人情報保護法をはじめ、米国 CISA ガイダンス、EU 指令(EU) 2019/713 がそれぞれの対応要件を定め、社会活動の在り方を再構築しています。

日本の個人情報保護法

2022年改正の個人情報保護法では、「安全管理措置」の厳格化が図られ、違反時の報告義務と罰則が強化されました[出典：内閣官房『改正個人情報保護法の概要』2022年]。企業はフィッシングに起因する情報漏えい時、遅滞なく報告しなければなりません。

米国 CISA ガイダンス

米国国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、フィッシング認識と報告を行う4ステップ教育モデルを公開しています[出典：DHS CISA『Phishing Guidance and Resources』2024年]。このガイダンスは多層防御の一環として国内企業にも参照されています。

EU 指令(EU) 2019/713

EU 指令(EU) 2019/713 は非現金型支払手段の詐欺防止を目的とし、加盟国に強化措置を義務づけます[出典：欧州委員会『Directive (EU) 2019/713』2019年]。日本企業も国際取引における対応が求められています。

＿法令・政府方針比較表＿

法令／指令	施行／公表年	主な要件
改正個人情報保護法	2022年	安全管理措置強化、報告義務化
CISA 教育モデル	2024年	フィッシング認識・報告4ステップ
EU 指令 2019/713	2019年	非現金詐欺防止措置義務付け

　 [出典：内閣官房『改正個人情報保護法の概要』2022年] [出典：DHS CISA『Phishing Guidance and Resources』2024年] [出典：欧州委員会『Directive (EU) 2019/713』2019年]

BCP 基本設計――データ３重化×運用３フェーズ

事業継続計画（BCP）においては、**データの三重化**と**運用の３フェーズ（緊急時・無電化時・システム停止時）**が基本設計として必須です。内閣府のガイドラインでも、多拠点バックアップによる冗長化を推奨し、単一拠点依存のリスクを排除するよう明記されています。また、経済産業省のガイドラインでも、**システム停止時でも24時間以内の復旧**を目標とし、ハードウェア・ソフトウェア・データの三層構造での備えを求めています。

データ三重化の具体構成

① **オンサイトバックアップ**：主要サーバー上に直接ミラーリングし、RPO（目標復旧時点）を最小化します。
② **オフサイトバックアップ**：遠隔拠点のストレージへ定期転送し、ローカル災害時のデータ保全を担保します。
③ **クラウドバックアップ**：第三者管理のクラウド環境へ自動同期し、全社的な可用性を確保します。

＿運用３フェーズ別オペレーション＿

フェーズ	電源状態	主要作業
緊急時	通常稼働	初動通報・アクセス遮断・オンサイトログ保全
無電化時	限定稼働	オフサイト媒体へ手動バックアップ・緊急電源運用
システム停止時	完全停止	クラウド環境切替・代替拠点で業務継続

　 [出典：内閣府『事業継続ガイドライン第一版、同第二版及び同解説書』令和２～３年] [出典：経済産業省『事業継続計画策定ガイドライン』2021年]

システム設計とデジタルフォレンジック

フィッシング攻撃への備えとしては、**システム設計段階でのログ保全**と**デジタルフォレンジック**（証拠保全・解析）の仕組み構築が不可欠です。内閣サイバーセキュリティセンターが公表する「情報システム運用継続計画ガイドライン」では、ログの時系列管理と改ざん検知機能の導入を推奨しています[出典：内閣サイバーセキュリティセンター『情報システム運用継続計画ガイドライン』令和３年改定]。

ログ保全の設計要件

① システムアクセスログは**タイムスタンプ付きで中央ログサーバ**に即時転送し、RPOを最小化します。
② 送受信メールの**ヘッダ情報・本文ハッシュ値**を一定期間保存し、疑わしい通信を後追いで解析できるようにします。
③ 改ざん防止のため、ログ保存領域は**WORM（Write Once Read Many）ストレージ**または**ブロックチェーン連携**を採用します。

＿デジタルフォレンジック要件一覧＿

機能	要件	参考基準
タイムスタンプ管理	NTP同期／分解能1秒以下	内閣サイバーセンター指針
メール証拠保全	ヘッダ・本文ハッシュ長期保存	総務省『情報法研究』2022年
改ざん検知	WORM／ブロックチェーン	経産省ガイドライン2021年

　 [出典：内閣サイバーセキュリティセンター『情報システム運用継続計画ガイドライン』令和３年改定] [出典：総務省『情報法研究』2022年] [出典：経済産業省『事業継続計画策定ガイドライン』2021年]

技術的対策（DMARC・MFA・ゼロトラスト）

フィッシングメールの流通を防ぐには、メール送信ドメイン認証、認証強化、ネットワーク分離といった技術的多層防御が重要です。本章では、DMARC、MFA、ゼロトラストの３つを中心に設計・運用のポイントを解説します。

1. DMARC設定

DMARC（Domain-based Message Authentication, Reporting & Conformance）は、SPF・DKIM と組み合わせ、送信ドメインの真正性を検証・報告する仕組みです。総務省の指針にも「DMARC レポートを分析し、フィルタリングポリシーを継続的に更新すること」が推奨されています[出典：総務省『情報通信セキュリティガイドライン』2023年]。

2. 多要素認証（MFA）導入

多要素認証は「知識」「所有」「生体」の３つの要素から最低２つを組み合わせる認証方式です。IPA のガイドラインでは「標的型攻撃対策の一環として、MFA の全社適用を推奨」しています[出典：独立行政法人情報処理推進機構『組織のための多要素認証ガイドライン』2024年]。

3. ゼロトラストアーキテクチャ

ゼロトラストは「ネットワーク内外の区別をせず、常に検証を行う」モデルです。内閣サイバーセキュリティセンターのホワイトペーパーでは、マイクロセグメンテーション技術とリアルタイムログ分析を組み合わせることが鍵とされています[出典：内閣サイバーセキュリティセンター『ゼロトラスト導入手引き』2025年]。

＿技術的対策まとめ表＿

対策	目的	導入ポイント
DMARC	なりすましメール防止	ポリシー p=reject から検証開始
MFA	認証強化	全社適用、例外なし
ゼロトラスト	社内外の検証徹底	マイクロセグメント運用

　 [出典：総務省『情報通信セキュリティガイドライン』2023年] [出典：独立行政法人情報処理推進機構『組織のための多要素認証ガイドライン』2024年] [出典：内閣サイバーセキュリティセンター『ゼロトラスト導入手引き』2025年]

組織的対策（ポリシーと教育モデル）

フィッシング対策を企業文化に定着させるには、**情報セキュリティポリシーの明確化**と**段階的教育モデル**の導入が不可欠です。経済産業省の「サイバーセキュリティ体制構築・人材確保の手引き」では、組織レベル・管理レベル・担当レベルの三層で教育を行い、継続的な見直しを行うことが推奨されています[出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』（第2.0版）2022年]。

セキュリティポリシー策定

① 全社ガイドライン：フィッシング防止のルール、禁止行為、インシデント報告手順を定めます。② 管理者マニュアル：各部門の管理者向けに監査・訓練実施手順を詳細化。③ 担当者手順書：技術担当者が設定変更やログ分析を行う具体手順を記載します[出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』2023年]。

段階的教育モデル

IPA の「多要素認証ガイドライン」でも示されるように、人材育成は**①基礎知識教育** → **②実践演習** → **③レビュー・訓練改善**の三段階で実施します。各フェーズでは、オンラインモジュール、フィッシング模擬演習、レポートフィードバックを組み合わせ、定着率の継続的評価を行います[出典：独立行政法人情報処理推進機構『組織のための多要素認証ガイドライン』2024年]。

＿教育モデルフェーズ別概要＿

フェーズ	内容	実施頻度
基礎知識	ポリシー解説・リスク理解	年1回
実践演習	フィッシング模擬メール送信	年2回
レビュー	結果分析・改善提案	年1回

　 [出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』（第2.0版）2022年] [出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』2023年] [出典：独立行政法人情報処理推進機構『組織のための多要素認証ガイドライン』2024年]

インシデント対応ライフサイクル

インシデント対応は、NIST SP 800-61 Revision 3 が定める「Detect」「Respond」「Recover」の三つのフェーズを中心としたライフサイクルで実施します【Detect：検知、Respond：対応、Recover：復旧】[出典：National Institute of Standards and Technology SP 800-61 Rev. 3 Final 2025年]。

検知（Detect）フェーズ

・リアルタイムログ分析やIDS/IPSアラートで異常を検知します[出典：National Institute of Standards and Technology SP 800-61 Rev. 3 Final 2025年]。
・セキュリティ情報イベント管理（SIEM）を用い、脅威インテリジェンスフィードと相関分析を行い、初動トリアージを実施します。

対応（Respond）フェーズ

・インシデントハンドラーチームを招集し、封じ込め、根絶、フォレンジック証拠保全を並行して実行します。
・エスカレーションポリシーに基づき、被害範囲を評価し、通信遮断やアカウント凍結を行います[出典：NIST SP 800-61 Rev. 3 Final 2025年]。

復旧（Recover）フェーズ

・データ三重化基盤からの復元と、代替システムへの切替を行い、業務継続を再開します。
・事後レポートを作成し、教訓を学び、ポリシー・教育・技術対策の改善策を立案・実装します[出典：National Institute of Standards and Technology SP 800-61 Rev. 3 Final 2025年]。

＿インシデント対応ライフサイクル概要＿

フェーズ	主要活動	参考基準
Detect	ログ検知・相関分析	NIST SP 800-61 Rev. 3
Respond	封じ込め・証拠保全	NIST SP 800-61 Rev. 3
Recover	復旧・教訓反映	NIST SP 800-61 Rev. 3

　 [出典：National Institute of Standards and Technology SP 800-61 Rev. 3 Final 2025年]

外部専門家（弊社）へのエスカレーション

フィッシング被害発生時には、速やかな外部エスカレーションが被害の拡大防止に直結します。重要インフラ事業者ガイドラインでは、都道府県警察やセキュリティ専門機関との連携体制構築を平時から整備することを義務化しています【港湾分野ガイドライン】[出典：国土交通省『 港湾分野における情報セキュリティ確保に係る安全ガイドライン』2025年]。同様に、産業サイバーセキュリティ研究会でも国家支援型攻撃の場合はまず政府機関への相談を推奨しています[出典：経済産業省『第9回産業サイバーセキュリティ研究会事務局説明資料』2024年]。

通報先とタイミング

都道府県警察サイバー犯罪対策室には、**被害認識後30分以内**の初動通報を推奨します【NPA統計報告】[出典：警察庁『令和6年におけるサイバー空間をめぐる脅威の情勢等について』2025年]。また、内閣サイバーセキュリティセンター（NISC）では、CSIRT間の情報共有プラットフォーム「J-CSIP」を通じ、被害概要の速やかな展開を求めています【CS2024】[出典：内閣サイバーセキュリティセンター『サイバーセキュリティ 2024』2023年]。

弊社へのエスカレーションフロー

弊社（情報工学研究所）では、24時間体制のサポート窓口を設置し、以下のフローで対応します：
① 初動通報受領後15分以内に技術アナリストが状況ヒアリング
② 同時に現地CSIRTと連携し、証拠保全方針を策定
③ デジタルフォレンジック解析チームがログ・メールデータを収集・解析
④ 改善策と技術支援を含むレポートを48時間以内に提出

＿外部エスカレーションフロー＿

ステップ	対応機関	目標時間
1	都道府県警察CSIRT	30分以内
2	NISC J-CSIP	1時間以内
3	弊社サポート窓口	15分以内
4	弊社フォレンジック部隊	48時間以内

　 [出典：国土交通省『港湾分野における情報セキュリティ確保に係る安全ガイドライン』2025年] [出典：経済産業省『第9回産業サイバーセキュリティ研究会事務局説明資料』2024年] [出典：警察庁『令和6年におけるサイバー空間をめぐる脅威の情勢等について』2025年] [出典：内閣サイバーセキュリティセンター『サイバーセキュリティ 2024』2023年]

財務・税務インパクトと保険適用ポイント

フィッシング被害による損失は、税務上の取り扱いが限定的である上、被害補填のための保険加入が重要です。

まず、雑損控除の対象は「災害、盗難、横領」に限定され、「詐欺」による損失は対象外とされています【所得税法第72条】[出典：国税庁『詐欺による損失に係る税務上の取扱い』2024年]。

したがって、フィッシング被害による金銭的損失は、原則として**税務上の損金算入や雑損控除が認められない**点を理解しておく必要があります。

次に、経済産業省ではIPAを通じて中小企業向けの「サイバーセキュリティお助け隊サービス」を運用し、復旧費用の簡易保険付帯パッケージを提供しています[出典：経済産業省『サイバーセキュリティお助け隊サービス』2021年度]。

さらに、OECDの推計では、世界のサイバー保険市場は2019年時点で約40億～50億米ドル規模に達し、サイバーリスク移転の手段として注目されています[出典：経済産業省『令和3年度サイバー・フィジカル・セキュリティ対策促進事業報告書』2021年]。

＿財務・保険適用ポイント比較表＿

財務・税務と保険適用の概要

項目	税務取扱い	保険適用
フィッシング損失	雑損控除×（詐欺損失は対象外）	民間サイバー保険要加入
復旧費用	原則損金算入不可	IPA「お助け隊」簡易保険付帯
事業中断損失	損金算入可（事業損失として）	サイバー中断保険で補償

　 [出典：国税庁『詐欺による損失に係る税務上の取扱い』2024年] [出典：経済産業省『サイバーセキュリティお助け隊サービス』2021年度] [出典：経済産業省『令和3年度サイバー・フィジカル・セキュリティ対策促進事業報告書』2021年]

人材育成・募集戦略

サイバーセキュリティ人材の確保と育成は、組織の防御力を左右する最重要課題です。経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』（第2.0版）では、組織内外の多様な人材を対象にしたスキル要件定義と教育計画を推奨しています[出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』2022年]。

現状把握とギャップ分析

まず、既存人材のスキルマトリクスを作成し、必要スキルとのギャップを可視化します[出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』2022年]。多くの中小企業では「教育未実施」や「専門部署がない」ケースが70％を超えており、外部研修活用の検討が急務です[出典：経済産業省『サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ』2025年]。

募集戦略と採用チャネル

サイバー人材は市場需給が逼迫しているため、国家資格「情報処理安全確保支援士（登録セキスペ）」保有者の積極採用を推奨します[出典：経済産業省『サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ』2025年]。また、インターンシップや学内合同説明会を通じ、早期育成プールを構築すると人材不足に対応しやすくなります[出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』2022年]。

育成プログラム設計

育成プログラムは「基礎講義」「実践演習」「OJT」の三階層構造とし、社内運用ルールやツール利用訓練を組み込みます[出典：内閣サイバーセキュリティセンター『サイバーセキュリティ体制構築・人材確保の手引き』2024年]。プログラム修了後は定期的にスキル評価を実施し、キャリアパスを明確化します[出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』2022年]。

＿人材育成・募集戦略概要表＿

フェーズ	主な施策	参考資料
現状把握	スキルマトリクス作成・ギャップ分析	手引き2022年
募集戦略	登録セキスペ採用・インターン活用	検討会最終取りまとめ2025年
育成設計	基礎→実践→OJTプログラム	NISC 手引き2024年

　 [出典：経済産業省『サイバーセキュリティ体制構築・人材確保の手引き』2022年] [出典：経済産業省『サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ』2025年] [出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』2022年] [出典：内閣サイバーセキュリティセンター『サイバーセキュリティ体制構築・人材確保の手引き』2024年]

社内共有・コンセンサス【稟議テンプレ】

フィッシング対策の社内導入には、具体的な稟議書フォーマットと決裁フローを整備し、全ての関係部署の合意を得ることが重要です[出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』2023年]。

稟議書フォーマット例

＿稟議書主要項目一覧＿

項目	内容
件名	フィッシング対策システム導入稟議
目的	全社的な多層防御強化及びBCP対応
投資額	内部見積もりに基づく（別紙参照）
効果測定	検知率向上、対応時間短縮指標

決裁フロー

提案から承認までの典型的なフローは以下の通りです。

　 [出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver3.0』2023年] [出典：内閣サイバーセキュリティセンター『政府機関等の対策基準策定のためのガイドライン』令和6年7月]

おまけの章：重要キーワード・関連キーワードマトリクス

本章では、本記事で扱った主要用語を整理し、その説明をマトリクス形式で示します。

＿キーワードマトリクス＿

キーワード	説明	関連章
フィッシング詐欺	メールやSMSで偽サイトへ誘導し認証情報を奪う詐欺行為	1章
BCP（事業継続計画）	災害・障害発生時の事業継続手順を定めた計画	4章
デジタルフォレンジック	サイバー攻撃の証拠保全・解析手法	5章
DMARC	送信ドメイン認証技術（SPF・DKIM連携）	6章
MFA	多要素認証によりアカウント強化	6章
ゼロトラスト	常に検証するセキュリティモデル	6章
CSIRT	インシデント対応組織	8章,9章
稟議テンプレート	社内決裁用稟議書フォーマット	12章
多重化バックアップ	オンサイト・オフサイト・クラウドの三重冗長化	4章
サイバー保険	サイバーリスクを補償する保険	10章