情報セキュリティで社員が気を付けること　朝礼で話せる10か条の案

情報セキュリティで社員が気を付けることは、次の10か条に言い切れます。総務の担当者が、朝礼でそのまま読める言葉にしました。

1. 更新の通知は後回しにしない
2. ウイルス対策ソフトを自分で止めない
3. パスワードは10文字以上、使い回さない
4. 共有は必要な人だけにする
5. 大事なファイルは決められた場所に置く
6. メールの添付とURLは、開く前に疑う
7. 振込先の変更は、メール以外で確かめる
8. 生成AIとSNSに、社外秘を入れない
9. 書類、USBメモリ、パソコンを置きっぱなしにしない
10. 変だと思ったら、すぐ言う。消さない

今日やることは1つです。第10条⁠の「誰に言うか」⁠を決めて、担当者の名前と内線を第10条⁠の話に書き込みます。報告先が決まっていないと、ほかの9か条を読んでも、困ったときに動けません。明日の朝礼で第1条⁠を読めば、平日なら2週間で一巡します。

この10か条は、IPAの情報セキュリティ6か条の解説（2026年9月）⁠と⁠、5分⁠でできる自社診断⁠の従業員向けの項目がもとです。私たちが社員向けの言葉に直した案です。IPAの文書そのものではありません。自社に合わせて書き換えて使ってください。

朝礼でどう話す？

「」⁠の中をそのまま読みます。1条1分ほどです。下の一文は、話す人が知っておくための理由です。

第1条　更新の通知は後回しにしない

「パソコンやスマホに更新の通知が出たら、その日のうちに入れてください。忙しくて今できないときは、昼休みか帰る前に入れてください。古いまま使うと、その穴を狙われます」

IPAは6か条の1番目に、OSやソフトウェアを最新にすることを挙げています。

第2条　ウイルス対策ソフトを自分で止めない

「パソコンが遅いからといって、ウイルス対策ソフトを止めないでください。止めたくなるほど遅いときは、担当者に言ってください。警告が出たら、閉じずに画面を写真に撮って知らせてください」

IPAは定義ファイルを常に最新にすることも求めています。ただし新種を検知できない場合もあるので、これだけでは防げません。

第3条　パスワードは10文字以上、使い回さない

「パスワードは10文字以上にしてください。名前や誕生日は使わないでください。仕事のパスワードを、私用の通販サイトなどで使い回さないでください。メモを机や画面に貼らないでください」

10文字以上と使い回しの禁止は、IPAの解説にあります。多要素認証やパスキーが使えるサービスでは使います。覚えきれない問題は、法人向けパスワード管理ツールの比較にある道具で会社が解決する話です。

第4条　共有は必要な人だけにする

「クラウドや共有フォルダで資料を渡すときは、『リンクを知っている全員』⁠にしないでください。渡し終わったら共有を外してください。複合機やカメラの設定で分からないことがあれば聞いてください」

IPAは、ウェブサービスや複合機、カメラ、NASの共有範囲を限定することを挙げています。

第5条　大事なファイルは決められた場所に置く

「大事なファイルを、自分のパソコンの中だけに置かないでください。会社で決めた保存場所に置いてください。そこならバックアップが取れます」

バックアップは2026年⁠の改訂で6か条に加わった項目です。社員に頼むのは保存場所を守ることで、バックアップの仕組みと戻す確認は会社の仕事です。

第6条　メールの添付とURLは、開く前に疑う

「知っている会社の名前でも、添付やURLは開く前に一度止まってください。急がせる文面、いつもと違う言い回しは疑ってください。迷ったらメールを開いたまま、担当者を呼んでください」

自社診断は、添付ファイルと本文中のURLを介した感染に気を付けているかを問うています。訓練を足すなら標的型メール訓練サービスの比較で確かめられます。

第7条　振込先の変更は、メール以外で確かめる

「取引先から振込先を変えたいと連絡が来たら、振り込む前に電話で確かめてください。かける番号は、メールの署名ではなく、前からある台帳の番号です。一人で決めず、もう一人に確認してもらってください」

IPAのビジネスメール詐欺の資料は、署名欄も偽装されている可能性があるとして、信頼できる方法で入手した連絡先で確かめるよう勧めています。経理と購買の担当者には、個別にも伝えます。

第8条　生成AIとSNSに、社外秘を入れない

「ChatGPTのような生成AIに、お客様の名前、取引先の図面、見積もりの金額を入れないでください。使ってよいサービスは会社で決めます。SNSにも、仕事の中身や職場の写真を載せないでください」

IPAの手引書（2026年7月）⁠は⁠、入力禁止の情報を定めることや、未許可のAIの禁止を規定の項目に挙げています。会社の決まりがまだ無いなら、話す前に決めます。

第9条　書類、USBメモリ、パソコンを置きっぱなしにしない

「図面や名簿を机に置いたまま帰らないでください。席を立つときは画面をロックしてください。拾ったUSBメモリや、出所の分からないUSBメモリはつながないでください。持ち出すときは決まりに従ってください」

自社診断の項目と、6か条の解説の感染経路の説明をまとめました。工場では、機械につないだパソコンにも同じ話をします。たとえば、加工データをUSBメモリで運ぶ現場なら、会社で決めた1本だけを使う決まりにできます。

第10条　変だと思ったら、すぐ言う。消さない

「変なメールを開いた、画面がおかしい、パソコンをなくした。そう思ったら、すぐ〇〇さん（内線〇〇）⁠に言ってください。間違いでも構いません。自分で消したり、直そうとしたりしないでください」

IPAの解説は、従業員がセキュリティの懸念を速やかに報告することを挙げています。ビジネスメール詐欺の資料も、管理部門が確保するまで不審なメールを削除しないよう勧めています。報告した人を叱らないことも、社長の口から伝えておきます。

総務はどう回す？

10か条を読むだけで終わらせないために、3つ決めておきます。

話す内容を毎回同じにする必要はありません。IPAの情報セキュリティ10大脅威2026⁠の組織編は、1位⁠がランサム攻撃による被害、3位⁠がAIの利用をめぐるサイバーリスク（初選出）⁠で⁠す⁠。7位⁠が内部不正、10位⁠がビジネスメール詐欺です。半年に1回⁠、新しい手口を足すのに使えます。

朝礼だけで防げる？

防げません。ここは総務から社長に伝えてください。

警察庁の令和8年上半期の資料⁠によると、ランサムウェアの被害組織へのアンケートでは、侵入経路はVPN機器が約5割です。標的型攻撃メールなどの添付ファイルによる感染は少なくなっているとされています。社員がどれだけ気を付けても、会社のVPN機器が古ければ入り口は残ります。

IPAの解説も、事故はどれか一つの対策だけでは防げないとし、起きる前提で防ぐ対策と復旧する対策を組み合わせるよう書いています。社員の10か条と別に、会社としてやることを分けて持ちます。

朝礼は、教育の入口です。IPAの関連規程のサンプルは、新規受け入れ時、異動時、役割変更時、年1回以上⁠の教育を例に挙げています。10か条を社内の規程に入れるなら、セキュリティポリシーの雛形を自社版に直す手順⁠と合わせて進めます。研修や動画まで足す場合はセキュリティ教育サービスの比較で、形式と価格を確かめられます。

ほかの基本の話はセキュリティの基本⁠に並べています。