情報セキュリティの事故は、システムの不備だけが原因とは限りません。メールの誤送信や不審なリンクのクリックなど、社員の何気ない行動から起こることもあります。
こうした事故を防ぐため、社内教育を行います。とはいえ、何をどう教えればよいのか、一度の研修で十分なのか、迷う担当者の方も多いでしょう。本記事では、対象者別の教育内容を整理したうえで、教育を進める5ステップ、実施方法、継続のポイントを紹介します。
目次
情報セキュリティ対策というと、ウイルス対策ソフトの導入など、システム面の対策を思い浮かべる方が多いでしょう。システム面の対策はもちろん重要ですが、それだけで事故を防げるわけではありません。システムを使うのは社員であり、社員の行動によってリスクが生じる場面もあるためです。
社員の行動が原因となる事故には、次のような例が挙げられます。
こうした事故は、社員がリスクを見分け、正しい行動を取れるよう教育することで、発生する可能性を下げられます。また、攻撃の手口は年々変化しているため、教育は一度で終わらせず、継続して取り組むことが望ましいでしょう。
情報セキュリティの社内教育の目的は、社員一人ひとりがリスクに気づき、日々の業務で適切に行動できる状態をつくることです。知識を伝えるだけでなく、行動につなげることを意識して教育を設計しましょう。
まずは、社内教育を企画・実施する全体の流れを確認しておきましょう。大きく分けると、次の5つのステップで進めます。
最初に、自社のどこに課題があるのかを整理しましょう。課題が曖昧なまま教育を始めると、一般的な内容をなぞるだけになりがちです。課題を把握する際は、次のような情報が手がかりになります。
課題把握のための確認項目
一方で、これらを確認しても、特に目立った課題が見当たらないケースも少なくありません。その場合は、全社員を対象に、基礎から幅広く扱う教育を実施するとよいでしょう。教育後のテストや訓練の結果から、自社の課題が見えてくることもあります。
次に、把握した課題をもとに、誰に向けた教育なのかを明確にします。あわせて、教育後に社員が何をできるようになればよいかを、行動レベルで決めておきましょう。目的の例としては、次のようなものが挙げられます。
行動レベルで目的を決めておくと、振り返りの際に効果を確認しやすくなります。
目的が決まったら、それに合わせて教育内容を選びます。全社員に共通する内容を土台に、必要に応じて役割別の内容を加えましょう。
たとえば、誤送信が多いことが課題であれば、メール利用時の注意点に多くの時間を割くといった調整が考えられます。すべてを均等に扱うのではなく、自社の課題に関わる内容を厚くすることがポイントです。
教育内容が決まったら、実施方法を選びます。主な方法には、一社研修、他社合同の公開講座、eラーニング、実践型の訓練があります。対象者の人数や勤務形態、実施頻度などを踏まえ、必要に応じて組み合わせましょう。
教育を実施したら、受講状況や理解度テストの結果、アンケートの回答、訓練での社員の対応などを確認します。
受講率が低い部署があれば実施時期や方法を見直し、正答率が低い問題があれば次回の教育で補うとよいでしょう。振り返りまでを1つの流れとして計画しておくと、教育が単発で終わりにくくなります。
教育の対象者を決める際は、役割ごとに必要な内容を整理しておくとよいでしょう。役割によって、扱う情報や求められる判断が異なるためです。
全社員に共通する教育を土台にしながら、役割に応じた内容を加えていくと、より実務に合った教育になります。対象者ごとの教育の重点は、次のとおりです。
| 対象者 | 教育の重点 | 主な内容 |
|---|---|---|
| 全社員 | 基本的なリテラシーと日常の行動 | 基礎知識 日常業務での対策 メール・Web利用 生成AIの利用 情報漏洩防止 インシデント発生時の報告 |
| 管理職 | 部下と部署の情報管理 | 部下のセキュリティ管理 報告を受けた際の判断 組織としての情報管理 |
| エンジニア・情報システム担当者 | 専門知識と体制づくり | システムの脆弱性対策 アクセス管理 インシデント対応 管理体制の整備 |
新入社員や中途入社の社員には、入社時に全社員共通の内容を受講してもらうと、知識のばらつきを防ぎやすくなります。派遣社員や業務委託先のスタッフが社内システムを使う場合は、教育の対象に含めるかどうかも検討しておくと安心です。ここからは、上の表で挙げた教育内容を、対象者ごとに詳しく見ていきます。
まずは、全社員に共通する教育内容です。表で挙げたとおり、大きく次の6つに分けられます。自社の課題に合わせて、必要な内容を組み合わせましょう。
教育の第一歩として、情報セキュリティの基本的な考え方を伝えておくとよいでしょう。顧客情報や技術情報などの「情報資産」が外部に漏れたり、失われたりすると、取引先や顧客からの信頼を失うおそれがあります。
あわせて、「脅威」「脆弱性」「リスク」の関係を理解してもらうと、対策の必要性が伝わりやすくなります。書類の保管にたとえると、次のように整理できます。
| 意味 | 例 | |
|---|---|---|
| 脅威 | 情報資産に損害を与える要因 | 書類を持ち出そうとする第三者 |
| 脆弱性 | 脅威につけ込まれる弱点 | 鍵のかかっていない書庫 |
| リスク | 損害が実際に発生する可能性 | 書類が持ち出される可能性 |
脅威と脆弱性がそろうと、リスクが高まります。社員には、こうした身近な例で説明すると理解してもらいやすくなります。
日常業務の中で社員に意識してほしい行動も、具体的に伝えておきたい内容です。主な教育内容は次のとおりです。
ルールを伝えるだけでなく、「なぜその行動が必要なのか」もあわせて説明しましょう。理由が分かると、社員が自分の業務に置き換えて考えやすくなります。
メールやWebの利用は、情報セキュリティの事故が起こりやすい場面の一つです。取引先や公的機関を装った不審なメール、偽サイトに誘導するフィッシングなど、手口は多様です。
なかでも注意したいのが、取引先や社内の担当者を装って特定の企業を狙う標的型攻撃メールです。社員には、ログインなどが必要なサイトへのリンクは絶対にクリックしない、などを伝えることが大切です。
文章作成や情報収集に生成AIを使う社員が増えています。便利な一方で、使い方を誤ると情報漏洩などにつながるおそれがあります。主な教育内容は次のとおりです。
生成AIに関するルールを定めていない場合は、教育とあわせて社内ルールを整備しておくと安心です。
セキュリティポリシーなどの社内規程は、定めるだけでなく、社員に正しく理解してもらうことが大切です。機密情報の取り扱いや社外への持ち出し、情報共有時の注意点は、具体的な行動に落とし込んで伝えるのが効果的です。
このように示すと何をすればよいかが明確になり、日常業務で実践しやすくなります。
インシデントとは
情報漏洩やウイルス感染など、情報セキュリティを脅かす事故や出来事のことです。
全社員には、対応手順の詳細よりも、発生時の基本的な行動を確実に伝えることを優先するとよいでしょう。
インシデント発生時に社員へ伝えたい行動
報告をためらうと、被害が広がるおそれがあります。ミスをしたときほど早く報告することが大切だと、繰り返し伝えていきましょう。
管理職やエンジニアには、全社員共通の内容に加えて、役割に応じた教育も検討しましょう。
管理職には、部下の情報管理を見守る役割があります。たとえば、部下から「不審なメールを開いてしまった」と報告を受けたとします。この場合、管理職はどこへ、どのタイミングで報告を上げるかを判断する必要があります。
こうした場面で迷わず動けるよう、組織としての視点で情報管理を理解してもらうことが、管理職向け教育の狙いです。
システムの開発や運用に携わるエンジニア、社内の情報システム担当者には、より専門的な知識が求められます。主な教育内容は次のとおりです。
いずれも専門性が高く、技術の変化も速い分野です。社内だけで知識を補うのが難しい場合は、外部の研修を活用するのも一つの方法です。
情報セキュリティ教育は、担当者が教材を用意して社内で実施することもできます。ただ、攻撃の手口や対策は変化が速く、最新の内容を社内だけで用意し続けるのは負担が大きいものです。
そこで検討したいのが、専門知識を持つ外部の研修やサービスの活用です。外部の教育方法は、知識を身につける「研修」と、行動を確認する「実践型の訓練」に大きく分けられます。
研修には、主に次の3つの形式があります。
| 形式 | 特徴 | 向いている場面 |
|---|---|---|
| 一社研修 | 自社の社員だけを対象に実施し、課題やルールに合わせて内容を調整できる | 全社員や部署単位での教育 |
| 公開講座 | 他社の参加者と一緒に、参加型で受講できる | 少人数で受講させたい場合 |
| eラーニング | 動画教材を、時間や場所を問わず繰り返し視聴できる | 全社員の基礎教育、新入社員の初期教育 |
形式ごとの費用相場や選び方は、以下の記事で詳しく紹介しています。
研修が知識を身につける方法であるのに対し、実践型の訓練は社員の行動を確認する方法です。知識があっても、実際に不審なメールが届いたときに正しく行動できるとは限りません。訓練を行うことで、「知っている」と「できる」の差を把握しやすくなります。
代表的なものに、社員に模擬の攻撃メールを送り、開封せずに報告できるかを確認する標的型攻撃メール訓練があります。
リスキルの「標的型攻撃メール訓練サービス」では、実際の環境に模擬攻撃メールを送信し、開封率などの結果を分析できます。部署単位など、小規模での実施にも対応しています。
教育の効果を高めるには、継続の仕組みづくりも大切です。押さえておきたいポイントは、次の3つです。
攻撃の手口は変化し続けており、異動や入退社によって社員も入れ替わります。一度受講した社員でも、時間がたつと意識が薄れていくことがあります。
年に1回の全社研修だけでなく、短時間のeラーニングや訓練を定期的に挟み、教育の機会を継続してつくりましょう。
リスキルの「コンプラ習慣」では、クイズ形式の問題を月1〜2回自動で配信できます。1回2分程度で回答できるため、社員の負担を抑えながら、定期的に意識付けができます。
教育内容は、新しい攻撃手法の動向や社内で発生したインシデント、訓練の結果などをもとに更新していくことが大切です。
たとえば、社内で誤送信が続いた場合は、次回の教育で実際の事例として取り上げる方法があります。身近な出来事を題材にすると、社員が自分ごととして受け止めやすくなるでしょう。
テストで正解できても、実際の場面で適切に行動できるとは限りません。理解度はテストやアンケートで、行動は実践型の訓練で確認するなど、複数の方法を組み合わせましょう。
3つのポイントを踏まえると、目指したい教育のあり方は次のように整理できます。
Before
年に1回研修を実施し、受講したことで完了とする
After
結果をもとに内容を見直し、社員の行動まで確認し続ける
社内教育では、対象者に合わせて内容を決め、複数の方法を組み合わせながら継続的に見直すことが大切です。こうした教育を進めるうえで、外部の研修を活用すると次のような効果が期待できます。
担当者の負担軽減
教材づくりにかかる手間や時間を抑えられる
体系的な教育
全社員に、抜け漏れのない内容を届けやすくなる
最新情報の反映
最新の脅威や対策を踏まえた内容を取り入れやすくなる
研修で基礎や専門的な内容を押さえ、自社のルールや過去の事例は社内で補足すると、より実務に合った教育になります。
リスキルでは、情報セキュリティの基礎やセキュリティリテラシー、メールセキュリティ対策などの研修を提供しています。一社研修・公開講座・eラーニングから、目的に合った形式を選べます。
自社の課題に合った教育内容や実施方法についてのご相談も受け付けています。
リスキル事務局が記事の執筆・監修をしています。人材育成にまつわるお役立ち情報を分かりやすく解説します。
■社員研修のリスキルとは？
社員研修のリスキルは、一人でも多くの人に人材育成を届けるために、利便性の高い研修サービスを提供しています。検索をすれば、一社で実施する研修、日程が決まっている参加型公開講座、eラーニング動画講座などをすぐに見つけ、簡単に申込みや見積書を作成することができます。
■プロフィール
会社名：株式会社リスキル
（「リスキル」は株式会社リスキルの登録商標です。）
設立：2022年5月2日
上場市場：東京証券取引所グロース市場
■研修実績
・利用社数は年間3900社以上
・年間受講者数 前年比157%
・プロフェッショナルの講師陣300名以上在籍
