社員のセキュリティ教育は何をする？年1回⁠で終わらせない進め方を解説

社員のセキュリティ教育は、年1回⁠の研修にまとめず、短い題材を毎月回し、報告の練習と記録まで行うと続きます。担当者が1人でも、公的機関の無料の教材で1年分を組めます。

今日やることは、来月の朝礼や定例会の15分⁠を押さえることです。題材はIPAの映像「華麗なる情報セキュリティ対策」⁠の1話に決めれば、準備は再生して感想を聞くだけで済みます。

この記事は公開資料をもとに組んだ計画の案です。私たちが顧客企業で実施した結果ではなく、回数や効果を保証するものでもありません。ほかの基本は情報セキュリティの基礎のカテゴリ⁠にあります。

教育だけで会社を守れる？

守れません。警察庁の令和8年上半期の報告は、ランサムウェアの侵入経路は被害組織へのアンケートでVPN機器が約5割で、添付ファイルからの感染は少なくなっていると書いています。機器の更新や認証は、担当者と経営者の仕事として別に進めます。

教育の役割は別のところにあります。メールの誤送信、持ち出し、SNSへの書き込み、不審な電話への対応は、機器だけでは防げません。おかしいと感じた人が早く報告できれば、対処も早くできます。

IPAの2024年度の実態調査では、自社診断25項目⁠のうち実施と一部実施の割合が最も低いのは「新たな脅威や攻撃の手口を知り対策を社内共有する仕組み」⁠で⁠、37.9%でした。多くの会社で手が付いていない部分です。

年1回⁠の研修で足りないのはなぜ？

手口は1年⁠の間に変わります。たとえば警察庁の報告は、令和8年5月に、企業への電話を起点に遠隔操作ソフトを入れさせる新しい手口の被害が急増したとしています。年1回⁠の研修では、次の機会まで共有が遅れます。

中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版は、経営陣を含む全役職員や社外要員に教育を行うよう書いています。定期的に実施し、記録を保管し、理解度と受講状況の評価を踏まえて改善する形です。事故の対応についても、定められた頻度で教育と訓練を行うよう求めています。

長い研修を1回より、短い時間を何度か取るほうが、交代勤務の会社でも予定を組みやすくなります。効果の大きさを比べた資料を私たちは確かめていないので、ここは運用のしやすさからの判断です。

無料で使える教材はどれ？

IPAの教材だけで1年分は足ります。

ポイント学習は無料のPDF版で、各テーマの最後に確認テストが付きます。従業員向けは4テーマ、経営者・管理者向けは6テーマ、自社診断シートに対応したコースは25テーマです。オンライン版は公開を停止しています。

映像はYouTubeの「IPA Channel」⁠で公開され、そのままブラウザで再生して社内研修に使えます。動画ファイルでの提供もあります。使う前に同じページの二次利用の案内を確かめます。

担当者自身の学び方も用意されています。IPAの講習能力養成セミナーは、教育計画の立て方、準備の進め方、教材を使った研修会の進め方を動画で解説しています。

年間計画はどう組む？

毎月15分⁠と年2回⁠の訓練で組んだ案です。題材は自社診断の項目に合わせました。

計画どおりでなくて構いません。大きなニュースがあれば、その月の題材を差し替えます。10月⁠の電話の回にはサイバー対策の電話の見分け方を、事故の回には公開資料で確かめた攻撃の事例⁠を題材に使えます。

工場の現場ではどう進める？

パソコンを持たない人がいる工場では、全員を会議室に集める形は続きません。たとえば、交代勤務の工場なら、各直の朝礼の5分⁠に1話を流し、休憩所に要点の紙を貼ります。

題材も現場に寄せます。名古屋港の事案の中間取りまとめは、感染経路として考えられるものの1つ⁠にUSBメモリからの持ち込みを挙げています（報告はVPN機器からの侵入と見るのが適切としています⁠）⁠。工場なら、USBメモリの持ち込み、設備メーカーの人が持ち込むパソコン、私物のスマートフォンの扱いを話します。

協力会社や派遣の人も対象に入れます。ガイドライン第4.0版の「社外要員」⁠に当たる人です。入場時の説明に1枚加える形なら、負担は増えません。

訓練では何を見る？

IPAの標的型攻撃メール訓練についての解説（2017年）⁠は⁠、訓練の前に目的を明確にするよう求めています。挙げられている例は3つです。

• 警戒せずに添付ファイルを開く割合の計測
• 巧妙な攻撃を受けたときの、報告までの速さの計測
• 多数の報告が来たときの、対応の流れの問題点の洗い出し

この記事の計画では、2つ目を先に見る案にしました。開く人をゼロにするより、開いた人がすぐ言える状態のほうが、次の動きにつながるからです。開いた人の名前を社内に公表すると、次から隠されるおそれがあります。

同じ解説は、実在する組織名や酷似する組織名を使った訓練を避けるよう注意しています。訓練メールを見た人が、その組織に問い合わせる可能性があるためです。

外部の訓練サービスを使う場合は、標的型メール訓練サービスの比較で確かめられます。自社で行う場合も、報告先と記録の残し方は同じです。

記録は何を残す？

日付、題材、対象者、参加者数、確認テストや訓練の結果、次回に変えることの6つです。表計算1枚⁠で足ります。受けていない人が分かれば、次の朝礼で補えます。

記録は改善のためのものですが、取引先への説明にも使えます。IPAの実態調査では、発注元からセキュリティの要請を受けた経験がある企業は1割強でした。第4.0版のガイドラインはSCS評価制度の基本的な考え方に沿った内容になっています。

ISMSやプライバシーマークの取得を考えているなら、教育の記録も準備の一部として揃えます。ISMS・Pマーク取得支援ツールの比較があります。社内の点検と一緒に進めるときは、半日で見るチェックリスト⁠で自社診断を先に行い、低かった項目から題材を選びます。

担当者だけで回らないときは？

無料の教材で回せるうちは、それで足ります。受講の管理や教材の更新まで担当者が抱えられないときに、セキュリティ教育サービスの比較を見ます。比べるところは、受講記録を出力できるか、現場の人がスマートフォンで見られるか、最低人数と契約期間です。

外部の人に教えてもらう方法もあります。IPAのセキュリティマネジメント指導の資料は、専門家が中小企業を訪問する指導のテーマの1つに、従業員向けのセキュリティ教育を挙げています。受付の状況はIPAのページで確かめます。