情報セキュリティの社内テストは、用語を覚えているかではなく、職場の場面で次に何をするかを選ばせる問題で作ります。
今日やることは、最近社内でひやりとした場面を3つ書き出すことです。誤送信しかけたメール、取引先を名乗る不審な連絡、持ち込まれたUSBメモリなど、小さな話で足ります。次に、それぞれの正しい行動を1行で書きます。書けない場面が見つかれば、そこが問題の材料であり、決めていないルールでもあります。
暗記問題では何が足りない？
「フィッシングの説明として正しいものはどれか」に正解しても、月末の忙しい時間に届いたメールを疑えるとは限りません。実際に試されるのは、用語の知識より、急いでいるときの判断と報告だからです。
IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、全役職員等への意識向上教育を定期的に実施するよう示しています。実施記録の保管も求めています。理解度と受講状況の評価を踏まえた改善も挙げています。つまりテストは、受けさせて終わりではなく、次の教育を直すための材料です。
2つの問題を比べると、違いがはっきりします。
| 種類 |
問題の例 |
分かること |
| 暗記型 |
標的型攻撃メールとは何か |
言葉を知っているか |
| 場面型 |
取引先の名前で届いた見積依頼の添付を、担当者が開いて画面がおかしくなった。次に何をするか |
止める、連絡する、という行動を選べるか |
用語の確認が無駄なわけではありません。基礎は既存の教材に任せ、自分で作る問題は場面型に絞ると、担当者の手間も減ります。
場面型の問題はどう作る？
セキュリティの基本を一通り押さえたら、次の順で作ります。1問に30分もかけず、完璧より実際の業務に近いことを優先します。
1. 部署ごとに場面を集める
経理、営業、設計、製造現場、総務で、起きることは違います。担当者が1人で考えるより、各部署の人に「最近困った連絡は？」と5分聞くほうが、現場の言葉で書けます。
抜けている分野は、IPAの情報セキュリティ10大脅威 2026の組織編と照らします。1位のランサム攻撃、3位のAIの利用をめぐるサイバーリスク、7位の内部不正、10位のビジネスメール詐欺は、社員の行動に関わる項目です。
2. 誰が、いつ、何に困っているかを書く
問題文には、本人の立場と急ぐ理由を入れます。「上司は出張中」「今日中に図面が要る」といった事情があると、普段の判断に近づきます。最後は「あなたは次に何をしますか」で終えます。
3. 選択肢に、やりそうな行動を並べる
明らかに悪い選択肢は入れません。善意でやりそうな行動を並べると、誤解がそのまま結果に出ます。「分からないので担当者に聞く」を正解にできる問題も混ぜます。自分で判断しなくてよいと伝えるためです。
4. 解説に理由と連絡先を書く
正解の番号だけでは、翌日の行動に結びつきません。なぜその行動なのか、社内ルールのどこに書いてあるか、誰に連絡するかを2〜3行で書きます。
製造業なら、どんな問題になる？
たとえば、部品を作る会社の社内テストなら、次のような形が考えられます。解答は一例で、自社のルールに合わせて書き換えてください。
問1：経理の場面
長年の仕入先の名前で「来月から振込先が変わります」とメールが届きました。文面も署名も普段どおりで、月末の支払いが迫っています。あなたは次に何をしますか。
- 届いたメールに返信して確認する
- メールの署名にある番号へ電話する
- 取引先台帳に登録済みの番号へ電話する
- 期日に間に合わせるため、先に変更して後で確認する
正解は3です。メールが偽物なら、そこにある返信先や番号も偽物の可能性があります。IPAの従業員向け教材の確認テストでも、届いたメールへの返信で確認することは適切でないとし、自分が持っている連絡先から確かめるよう解説しています。
問2：設計の場面
外注先から「今日中に図面がほしい。メールでは容量で届かないので、こちらの個人のクラウドに上げてほしい」と電話がありました。上司は出張中です。あなたは次に何をしますか。
- 急ぎなので、指定されたクラウドへ上げる
- 図面を分割してメールで送る
- 会社が認めた受け渡し方法を伝え、難しければ担当者に相談する
- 自分の個人アカウントのクラウドを使って渡す
正解は3です。図面は取引先から預かった情報を含むことがあり、受け渡しの経路は個人の判断で変えません。会社として認めた方法が決まっていないなら、先にそれを決めます。
問3：製造現場の場面
設備の保守業者が、更新用のUSBメモリを持って来ました。「いつもの作業です」と言われましたが、持ち込みの手順は聞いていません。あなたは次に何をしますか。
- いつもの業者なので、そのまま挿してもらう
- 手順が分からないと伝え、工場の管理者に確認してもらう
- 代わりに自分のパソコンで中身を確かめる
- 断って帰ってもらう
正解は2です。作業を止める権限は現場の人だけに負わせず、確認する相手を決めておきます。
無料で使える教材はどう使い分ける？
基礎を一から作る必要はありません。公的機関や業界団体が公開している教材を、用途で分けます。
JNSAの無料版は、2025年8月の同協会の資料によると「管理者機能付き」と「セルフチェック」の2種類です。独自の設問を足せるのは「プレミアム」なので、自社の場面を問うなら別に用意します。
IPAのポイント学習には、従業員向け4テーマ、経営者・管理者向け6テーマのほか、自社診断25問に対応した25テーマのコースがあります。オンライン版は2024年7月に公開を停止しており、今はPDF版です。
コース名と最新のガイドラインの違い
「情報セキュリティ5か条対応コース」は5テーマで、バックアップのテーマを含みません。ガイドライン第4.0版の基本は「情報セキュリティ6か条」で、バックアップが入っています。学習コース案内を見ると、自社診断25問対応コースの11番がバックアップを扱っているので、ここで補えます。
動画や問題を社内で使うときの条件は？
IPAの映像コンテンツ一覧によると、YouTubeの動画をそのままブラウザで再生して社内研修に使う場合、事前申請は要りません。動画ファイルの提供は社内研修等、営利を目的としない用途に限り無償で、申込みフォームから依頼します。
教材の問題文を社内テストへ書き写すときは、提供元の利用条件をそれぞれ確かめます。場面と選択肢を自社の言葉で作り直せば、社内の実情にも合います。
年間でどう組み合わせる？
決まった回数を示す公的な基準は確認できなかったので、以下は私たちが考える組み方の一例です。
無理なく回す組み方
- 年1回：JNSAの理解度チェックで全社の基礎を測る
- 半期に1回：自社の場面を問う5問のテストを行う
- 問題の材料：ひやりとした出来事を担当者が書き溜めておく
- 記録：実施日、対象者、受講状況、直した内容を残す
結果を見るときは、個人の点数より問題ごとの正答率を見ます。多くの人が同じ選択肢を選んで間違えたなら、原因は個人より、教え方かルールにあると考えます。
点数を人事評価に使わないことも、最初に伝えます。IPAの教材も、不審なメールの情報を上司やシステム管理者へ報告して社内で共有するよう解説しています。低い点を恐れて報告が遅れるようになっては、本末転倒です。
なお、IPAの5分でできる！情報セキュリティ自社診断の20番は「従業員に情報セキュリティに関する教育や注意喚起を行っていますか？」です。解説編は、定期的な研修に加えて、インシデント発生時など必要に応じた適時の研修の機会を設ける例を挙げています。テストの結果と合わせて点検すると、次に何を教えるかが決めやすくなります。
テストの次に何を足す？
テストで分かるのは、落ち着いて読めば正しい行動を選べるかどうかです。メールが届いた瞬間の反応までは測れません。そこを確かめる手段が標的型メール訓練で、IPAは訓練の目的を先に明確にするよう呼びかけています（2017年公開）。開封率だけでなく、担当部門へ報告が届くまでの時間を測る訓練の例も示されています。
自社で試すなら、日本シーサート協議会のメール訓練手引書 一般公開版に計画から実施までの流れがあります。外に頼むときは標的型メール訓練サービスの比較で種類と価格の違いを確かめられます。
教材や受講の管理まで手が回らなくなったときの材料は、セキュリティ教育サービスの比較です。ISMSやプライバシーマークの運用で教育の記録を管理するなら、ISMS・Pマーク取得支援ツールの比較があります。
事故が起きた後の動きまで教えたいなら、IPAのセキュリティインシデント対応机上演習教材があります。ランサムウェア感染のシナリオをグループで話し合う内容で、実施マニュアルも付いています。テストで見つかった迷いを、話し合いの題材にすることもできます。
