社内のセキュリティ人材は、関連業務の経験者を兼任で1人任命し、最初の1年は基本の対策、社内への周知、試験の学習、事故の訓練の順に育てます。専門家になってもらう必要はありません。目標は、自社の状況を説明でき、外部の専門家の提案を理解して判断できる人です。
今日やることは、社長が担当者を決めて、週に何時間をこの仕事に使ってよいかを本人に伝えることです。時間を決めずに任命すると、本業に押されて進みません。
最初の1年を何の順番で進めるのか？
IPAは2026年3月に中小企業の情報セキュリティ対策ガイドライン第4.0版を公開し、付録に中小企業のためのセキュリティ人材の確保・育成の実践ガイドブックを加えました。全14ページで、対策の4段階に合わせて人材の確保と育成の方法を示しています。
次の表は、そのSTEP1からSTEP3の一部を、兼任担当者の1年に私たちが割り当てた案です。区切りはガイドブックのものではありません。会社の状況で前後させてください。
| 時期 |
身につけること |
使う教材 |
| 1〜3か月目 |
基本の対策と自社の現状 |
6か条、自社診断、5分学習 |
| 4〜6か月目 |
社員に説明し、窓口になる |
映像教材、基本方針のサンプル |
| 7〜9か月目 |
管理の考え方の体系 |
情報セキュリティマネジメント試験 |
| 10〜12か月目 |
事故のときの動き |
対応の手引き、机上演習 |
技術の細部より先に、自社の現状と社内への説明を置いています。兼任の担当者に最初に求められるのは、更新や周知のような地味な仕事だからです。
1〜3か月目は何を学ぶのか？
ガイドブックのSTEP1で担当者の仕事とされているのは、OSやソフトウェアの更新、従業員への周知と相談窓口、権限設定とバックアップの確認、これらに必要なITの知識です。
教材は3つで足ります。
ポイント学習には自社診断の25問に対応したコースがあります。単純に計算すると125分で、診断で弱かった項目から見れば十分です。マナビDXの「はじめてのサイバーセキュリティ」は、無料で標準学習時間が41分です。社長にも一緒に受けてもらうと、担当者が説明しやすくなります。
この時期の成果物は、会社のPCとソフトの一覧、診断の結果、直す順番のメモです。自社診断と基本方針の策定は、SECURITY ACTIONの宣言にも使えます。北海道経済産業局のガイドブックの説明では、一つ星は6か条、二つ星は自社診断の実施と基本方針の策定、公開で宣言できます。
4〜6か月目は何を学ぶのか？
ここからは、社内で話せるようになることが目標です。IPAの映像で知る情報セキュリティは、脅威と対策をドラマなどで学べる映像シリーズで、社内研修に使えます。担当者が先に見て、朝礼や部門の集まりで短く流し、質問を受けます。人に説明すると、自分の理解の穴が分かります。
ガイドブックのSTEP2では、基本方針の作成と周知、対策の実施状況の把握に加えて、IPAの重要なセキュリティ情報の確認や、地域のコミュニティへの参加が挙げられています。付録2の基本方針のサンプルは1ページなので、社長と一緒に自社の言葉に直します。
外の人とつながる場所として、IPAの中小企業支援セミナーがあります。経営者やIT担当者、教育担当者などが対象で受講料は無料です。全国の支援団体とともに開かれるので、地元の開催を確かめて参加します。社員全員の教育まで手が回らないときは、セキュリティ教育（eラーニング・メール訓練）の比較で外部のサービスも検討できます。
7〜9か月目は、資格の勉強でよいのか？
試験は、知識を体系にするための道具として使えます。IPAの情報セキュリティマネジメント試験は、情報セキュリティマネジメントの計画、運用、評価、改善を通して組織を守るための基本的なスキルを認定する試験です。部門を問わず、情報管理を担当する人や委託先の評価を行う人が対象に挙げられています。
ガイドブックは、STEP1でITパスポート試験、STEP2で情報セキュリティマネジメント試験の受験を促す形を示しています。ITの基礎に不安があれば、ITパスポートを先に受けます。
受験手数料は7,500円で、CBT方式で通年実施です。ただし2026年12月28日以降はシステムの入れ替えで休止の予定があり、2027年1月以降の日程は同じページの案内で確かめる必要があります。
試験が役に立った例として、ガイドブックには総務と兼務の担当者の事例が載っています。専門家の提案で社長と担当者が資格を取り、取得前はITベンダーの提案を理解しきれないまま採用していたものが、取得後は理解を深めて採用できるようになったという内容です。ベンダーと話せるようになることが、兼任の担当者にとっての実利です。
10〜12か月目は何を学ぶのか？
最後は事故の練習です。IPAのセキュリティインシデント対応の手引きの説明資料を読み、自社用の手順を作ります。作り方はインシデント対応マニュアルの作り方にまとめました。依頼のときに何を触らないかはフォレンジック調査の進め方が近い内容です。
そのうえで、IPAの机上演習教材を使って、社長と現場の責任者も入れて1回やります。実施マニュアルにファシリテーター向けの解説があるので、担当者が司会を務められます。人を育てる意味では、ここが1年で一番学びの多い場面です。自分の手順の穴を自分で見つけられるからです。
何を教えないで、外に任せるのか？
1年目に、脆弱性診断の手法やログの詳しい解析を学ばせる必要はありません。ガイドブックのSTEP3でも、特に技術的、専門的な対策は、社内のリテラシーを高めつつ外部の専門家やサービスを活用する形です。
担当者が持つ仕事と外に任せる仕事は、次のように分けます。
| 社内の担当者 |
外部 |
| 自社の情報と業務の把握 |
脆弱性診断 |
| 更新と権限の管理の確認 |
夜間の監視 |
| 社員への周知と相談窓口 |
事故の調査 |
| 外部の提案の評価と発注 |
規程や訓練づくりの支援 |
ガイドブックは、相談先として、付き合いのあるITベンダー、商工会や商工会議所などの支援機関、IPAの企業組織向けサイバーセキュリティ相談窓口を挙げています。相談するときは自社の業種と規模、実施中の対策を簡単に伝えると具体的な助言を受けやすい、とも書かれています。
有料で支援を受けるなら、セキュリティコンサル・CSIRT支援の比較を見ておくと、頼める範囲の違いが分かります。取引先からISMSを求められているなら、ISMS・Pマーク取得支援ツールの比較も関係します。
費用はどのくらい見ておくのか？
公的な教材を中心にした1年目の現金の支出は、受験手数料が中心です。
| 項目 |
費用 |
| ポイント学習 |
無料 |
| 自社診断、机上演習教材 |
IPAが公開している資料を使う |
| マナビDX「はじめてのサイバーセキュリティ」 |
無料 |
| IPAの中小企業支援セミナー |
無料 |
| 情報セキュリティマネジメント試験 |
7,500円（1回） |
| 市販の参考書、有料の研修 |
選ぶものによる |
大きいのは勤務時間です。社長が見ておくべき費用は、担当者の本業が減る分です。週に何時間を空けるかは会社の規模で決めるとして、その分の仕事を誰が引き受けるかまで決めます。これを決めないと、育成の計画は止まります。
有料の研修の価格は講座ごとに違います。ここでは相場を書きません。マナビDXにはセキュリティ関連の講座も載っていますが、1年目は無料の教材を一通り終えてから、足りないところが分かった段階で選ぶほうが無駄がありません。
2年目以降はどう広げるのか？
ガイドブックのSTEP2は、兼務の担当者を役割に応じて複数名確保するよう示しています。1人に集めたままだと、その人の退職や異動で積み上げたものが消えるので、2年目は2人目を置きます。
STEP3は、専任の担当者の確保や、IPAの産業サイバーセキュリティセンターの短期プログラムを挙げています。責任者向けの演習などがあり、募集の内容は順次公開されます。費用や条件は募集の案内で確かめます。
取引先の要請も、次の段階を決める材料です。経済産業省と国家サイバー統括室が進めるSCS評価制度は、北海道経済産業局のガイドブックでは★3と★4が2026年度末頃の制度開始予定とされています。取引先から求められそうであれば、担当者の2年目の学習に入れます。
製造業ではどんな人を選ぶのか？
たとえば、社員50人の機械部品メーカーで、IT部門がない場合です。候補は、社内のPCの導入を担当している総務の人や、設備の更新や保全の担当者です。ガイドブックの「関連業務の経験者」という考え方に当てはめれば、現場の監督者も候補になります。
設備の保全の担当者は、工場のどの機器が止まると何が止まるかを知っています。総務の担当者は、取引先や社員への連絡に強みがあります。2年目に2人目を置くなら、この2つの立場を組み合わせると、事務所と工場の両方を見られます。
工場のネットワークや制御の機器については、1年目に深入りしません。どの機器がどこにつながっているかを一覧にする作業までを担当者の仕事にして、判断が要る部分は保守業者や外部の専門家と一緒に進めます。
運用全体の考え方は、セキュリティ運用のカテゴリにまとめています。
