最近、企業の大規模な情報漏えいが相次いで報じられています。ニュースを見て、「自社の従業員教育は今のままで大丈夫だろうか」と気になった担当者の方もいるのではないでしょうか。
セキュリティ対策は、ウイルス対策ソフトを入れれば終わり、というものではありません。メールの誤送信や不審なメールの開封など、従業員一人ひとりの行動が事故のきっかけになることもあります。
この記事では、全社員におすすめのセキュリティ研修のテーマと、対象者別のテーマの選び方を紹介します。研修を一度きりで終わらせないための工夫も取り上げます。
目次
研修の内容を考える前に、いま企業がどのような脅威にさらされているのかを確認しておきましょう。
IPA(情報処理推進機構)は、毎年「情報セキュリティ10大脅威」を公表しています。2026年版の組織向けランキングでは、1位が「ランサム攻撃による被害」です。2位には「サプライチェーンや委託先を狙った攻撃」が入りました。
こうした攻撃の侵入経路はさまざまですが、従業員のメールやアカウントが入り口として狙われることもあります。技術的な対策を担う部門だけの問題とは言い切れません。
ランキングには、従業員の行動がきっかけで被害につながりうる脅威も複数入っています。
| 順位 | 脅威 | 人の行動との関わりの例 |
|---|---|---|
| 3位 | AIの利用をめぐるサイバーリスク(初選出) | 業務情報を生成AIに入力する |
| 5位 | 機密情報を狙った標的型攻撃 | 攻撃メールの添付ファイルを開く |
| 7位 | 内部不正による情報漏えい等 | 権限を使って情報を持ち出す |
| 10位 | ビジネスメール詐欺 | 偽の振込依頼に応じてしまう |
2026年版で初めて選ばれた「AIの利用をめぐるサイバーリスク」は、3位に入りました。生成AIを業務で使う企業は増えています。便利な一方で、使い方を誤ると情報漏えいにつながるおそれがあります。
生成AIの安全な使い方は、従来のセキュリティ研修には含まれていないこともあるテーマです。研修の内容は、こうした変化に合わせて見直していく必要があります。
技術的な対策を整えている企業でも、従業員向けの研修は欠かせません。主な理由を3つ紹介します。
社内に情報セキュリティのルールがあっても、従業員が内容を知らなければ守られません。たとえば、パスワードの基準を決めても、付箋に書いてモニターに貼っていては効果がないでしょう。
研修では、ルールの文面だけでなく、なぜそのルールが必要なのかを伝えます。理由がわかると、従業員が自分で判断して行動しやすくなります。
1通の攻撃メールを開いたことがきっかけで、社内のネットワーク全体にウイルスが広がることもあります。取引先の情報が漏れれば、自社だけでなく相手先にも影響が及びます。
セキュリティは、一部の担当者だけでなく全社員で守るものだと伝えることが、研修の大きな役割です。
ウイルス対策ソフトやメールのフィルタリングは、多くの攻撃を防いでくれます。ただし、巧妙な攻撃メールや、悪意のない誤送信まですべて止めることはできません。
たとえば、実在する取引先の担当者名を使い、過去のやり取りに返信する形で届く攻撃メールもあります。こうしたメールは、システムでは通常の業務メールと区別しにくいのが実情です。
最後の防波堤になるのは、従業員一人ひとりの判断です。システムで防げない部分を補うために、研修で全社員の知識と行動の水準をそろえておく必要があります。
ここからは、職種や役職に関係なく、全社員におすすめの研修内容を紹介します。日々の業務で起こりやすい人的ミスを防ぐテーマが中心です。
まず、社内の情報を「誰が・どこまで・どう扱ってよいか」を伝えます。「社外秘」「社内限定」「公開可」のように区分を設けている場合は、それぞれの扱い方を具体的に示しましょう。
たとえば、社外秘の資料は印刷しない、社内限定の資料は社外の人に画面を見せない、といったルールです。自社のルールを題材にすると、受講者が自分の業務に置き換えて考えやすくなります。
パスワードは長く、推測されにくいものにし、サービスごとに使い分けるのが基本です。使い回したパスワードが外部で漏れると、社内システムに不正ログインされるおそれがあります。
あわせて多要素認証の仕組みと必要性も伝えておきます。多要素認証とは、パスワードに加え、スマートフォンに届く確認コードなどで本人確認する仕組みです。
攻撃メールは年々巧妙になり、取引先や社内の別部署を名乗るものもあります。見分け方を教えるだけでは十分ではありません。「ログインを要するリンクはクリックしない」「論理的な流れとして送られて来たものではない添付ファイルは開かない」などの行動を身に付けてもらうことが重要です。
ビジネスメール詐欺への備えとして、振込先の変更依頼は電話など別の手段で確認するルールも伝えましょう。
誤送信は、どの部署でも起こりうる身近な事故です。宛先の候補表示から別の取引先を選んでしまう、といったミスは誰にでもありえます。
研修では、送信前に宛先を指差しで確認する習慣を紹介します。社外にファイルを送る際に、閲覧できる人を限定した共有リンクを使う方法もあわせて伝えるとよいでしょう。
テレワークや外出先での作業が増え、PCや資料を社外へ持ち出す機会も多くなりました。持ち出してよい情報の範囲を伝えましょう。カフェや電車内で画面をのぞき見されないよう注意することも、あわせて伝えます。
紛失に気づいたときは、自分で探し回る前にまず会社へ連絡するよう伝えておきましょう。端末を遠隔でロックできる仕組みがあれば、早めの連絡で情報が見られるリスクを下げられます。
生成AIを業務で使う場合は、「入力してよい情報・いけない情報」を明確にします。顧客名や社外秘の資料をそのまま入力して要約させる、といった使い方は避けるべき例として示すとわかりやすいでしょう。
会社が認めていないクラウドサービスやAIツールを従業員が独自に使う、いわゆるシャドーITにも注意が必要です。
どれだけ注意しても、ミスを完全になくすことは難しいものです。大切なのは、起きたときに被害を広げないことです。
報告先と、伝える内容(いつ・何が起きたか、関係する情報、すでにとった対応)を全社員が知っている状態にしておきます。上司や会社がミスを責めるより、早く報告したことを評価する姿勢を示すと、報告が上がりやすくなります。
全社員共通の内容に加えて、役割に応じたテーマを扱うと研修の効果が高まります。
どのテーマを選ぶかは、対象者の役割と、社内で起きているヒヤリハットや課題から考えるとよいでしょう。対象者ごとのテーマの例は次のとおりです。
| 対象者 | 研修で扱いたいテーマの例 |
|---|---|
| 管理職 | 部下からの報告の受け方、インシデント発生時の初動、部署内のルール運用 |
| 情報システム担当者 | サイバー攻撃の手口、サーバー・ネットワークの対策、Webアプリケーションの脆弱性 |
| 個人情報を扱う部署 | 個人情報保護法の基本、漏えい時の対応、マイナンバーの取り扱い |
管理職には、自分が気をつけるだけでなく、部署全体を見る役割があります。部下からミスの報告を受けたときに、どう対応し、誰に連絡するかを確認しておくことが大切です。
報告した部下を強く叱ると、次から報告が上がりにくくなります。インシデントの初動対応とあわせて、報告しやすい雰囲気づくりも研修のテーマに入れるとよいでしょう。部署内でルールが守られているかの確認方法や、内部不正を防ぐための権限管理の考え方も、管理職に押さえてほしい内容です。
管理職向けの研修は、全社員研修とは別に、管理職だけを集めて実施する方法もあります。立場が近い人同士で話し合えるため、部署を運営するうえでの課題を共有しやすくなります。
情報システム担当者やエンジニアには、より専門的な内容が必要です。サイバー攻撃の手口と対策、サーバーやネットワークの防御、Webアプリケーションの脆弱性などが主なテーマになります。
実機を使った演習を取り入れると、攻撃の仕組みや対策を具体的にイメージしやすくなります。
人事部門や営業部門、カスタマーサポートなど、顧客や従業員の個人情報を日常的に扱う部署もあります。こうした部署では、個人情報保護法の基本や、漏えいが起きたときの対応を押さえておくと安心です。
個人情報保護法は改正が重ねられているため、研修内容も定期的に見直しましょう。リスキルでは個人情報保護研修も用意しています。
ここまで紹介した内容は、1日かけてじっくり扱うこともできれば、半日程度に絞って実施することもできます。
講義だけで終わらせない工夫も大切です。「この場面ならどう行動するか」を受講者同士で話し合うワークを入れると、自分事として捉えやすくなります。
実際に、リスキルのセキュリティ研修の受講者からは、次のような感想が寄せられています。
普段の業務と照らし合わせて、情報セキュリティ対策を正しく理解することができました。
日々、惰性で行っていた部分もあったので、研修を受けて改めて自分の作業を振り返ることができた
研修の内容が決まったら、どう続けるかもあわせて考えておきましょう。
年1回の全社研修だけでは、次の研修までの間に内容を忘れてしまいがちです。攻撃の手口も変わり続けるため、新しい情報を定期的に届ける仕組みが必要です。
研修と日常的な取り組みを組み合わせた、年間の流れの例を紹介します。
| 時期 | 取り組みの例 |
|---|---|
| 4月 | 新入社員研修で、情報の扱い方と社内ルールを伝える |
| 上期 | 全社員向けのセキュリティ研修を実施する |
| 毎月 | 短いクイズで、研修の内容を思い出してもらう |
| 年2回程度 | 標的型攻撃メール訓練で、実際の行動を確認する |
| 下期 | 訓練の結果を踏まえて、フォロー研修を行う |
研修で伝えた内容を忘れないように、短いクイズを定期的に出す方法もあります。たとえば月に1〜2回、社内メールやチャットツールで2〜3問のクイズを送ります。回答は社内のアンケートフォームなどで集計します。
問題は、業務の場面に近いものにすると答えやすくなります。回答結果を部署ごとに見ると、理解が不十分な分野がわかります。その分野を次の研修で重点的に扱うことで、より効果的な教育になります。
配信や集計の手間を減らしたい場合は、クイズを自動で配信できるツールを使う方法もあります。
研修で知識を得ても、実際の場面で正しく行動できるとは限りません。そこで役立つのが、本物に似せた模擬メールを従業員に送る標的型攻撃メール訓練です。
リスキルクラウドの標的型攻撃メール訓練では、10種類以上のテンプレートを自社用にアレンジして配信できます。開封率などの分析や前回結果との比較ができ、1名1通から利用できます。
結果は個人を責める材料にせず、次の研修内容を見直すために使いましょう。
研修と日常的な取り組みを続けることで目指したいのは、次のような状態です。
企業を狙う脅威には、従業員の行動が入り口になるものも含まれます。セキュリティ研修では、全社員共通の内容として、人的ミスを防ぐ具体的な行動を伝えることが基本です。
全社員向けには情報の扱い方やメール対応などの基本を、管理職やシステム担当者向けには役割に応じたテーマを選びます。研修は一度きりにせず、クイズや訓練と組み合わせて続けることが大切です。
自社の課題や対象者に合わせて、研修の内容を組み立ててみてください。
リスキル事務局が記事の執筆・監修をしています。人材育成にまつわるお役立ち情報を分かりやすく解説します。
■社員研修のリスキルとは？
社員研修のリスキルは、一人でも多くの人に人材育成を届けるために、利便性の高い研修サービスを提供しています。検索をすれば、一社で実施する研修、日程が決まっている参加型公開講座、eラーニング動画講座などをすぐに見つけ、簡単に申込みや見積書を作成することができます。
■プロフィール
会社名：株式会社リスキル
（「リスキル」は株式会社リスキルの登録商標です。）
設立：2022年5月2日
上場市場：東京証券取引所グロース市場
■研修実績
・利用社数は年間3900社以上
・年間受講者数 前年比157%
・プロフェッショナルの講師陣300名以上在籍
