社員のセキュリティ教育の進め方

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

不審なメールを開かない、パスワードを使い回さない、怪しいと思ったらすぐ相談する。セキュリティの対策の多くは、社員一人ひとりの行動で決まります。この記事では、IPA（情報処理推進機構）の資料をもとに、中小・中堅企業でも続けやすい教育の進め方をまとめます。

なぜ、社員の教育が大切なのですか？

IPAの「情報セキュリティ10大脅威 2026」の組織向けには、5位に「機密情報を狙った標的型攻撃」、10位に「ビジネスメール詐欺」が入っています。どちらも、社員にメールを開かせたり、送金させたりするところから被害が始まることがあります。3位には「AIの利用をめぐるサイバーリスク」も入っています。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、まず取り組む「情報セキュリティ6か条」の一つに「脅威や攻撃の手口を知ろう」を挙げています。解説編では、IPAなどの専門機関の発信や、利用しているサービスからの注意喚起を確かめること、管理者が従業員に注意を促し、従業員は気になることをすぐに報告することが示されています。

教育のねらいは、知識を覚えることより、「おかしいと思ったら止まって、すぐ報告する」行動を身につけることにあります。

何を伝えればよいですか？

伝える内容は、次の4つに分けると整理しやすくなります。

IPAのガイドラインの自社診断にも、従業員にセキュリティに関する教育や注意喚起を行っているかを問う項目があります。付録の「情報セキュリティ関連規程（サンプル）」は、人の面の対策として、取締役・従業員の責務や教育のルールを定めることを挙げています。

AIの使い方も、あわせて扱います

生成AIが広がり、セキュリティの教育とAIの使い方の教育は重なる部分が増えています。社外のAIサービスに入力してはいけない情報、会社が認めたツールだけを使うこと、AIの出力をそのまま信じないことを、セキュリティ教育の中でも伝えます。

立場ごとに、どう分ければよいですか？

全員に同じ内容を伝えるだけでなく、立場ごとに重点を分けると、行動に結びつきやすくなります。

IPAのガイドラインの第4.0版には、人材の確保と育成を支援する方策と取り組みの事例をまとめた「中小企業のためのセキュリティ人材確保・育成の実践ガイドブック」が付録として加わっています。担当者を育てる計画を考えるときの参考になります。

1年の進め方は、どう組み立てればよいですか？

一度の研修で終わらせず、短い機会をくり返すと続けやすくなります。次の流れが目安です。

① 年の初めに計画を立てます。 前の年の事故やヒヤリとした例、社内のルールの変更をもとに、伝えるテーマを決めます。

② 全員向けの研修を行います。 30分〜1時間ほどで、自社のルールと連絡先を中心に伝えます。

③ 短い注意喚起を続けます。 月に1回など時期を決め、新しい手口や社内で起きた例を、数分で読める長さで届けます。

④ 練習の機会をつくります。 不審なメールを模した訓練や、報告の手順を確かめる練習を行います。

⑤ 振り返って直します。 報告の数や、訓練の結果を見て、次の年の計画に反映します。

訓練は、どう進めればよいですか？

不審なメールを模した訓練を行う場合は、次の点に気をつけます。

• 目的を伝えておきます。 社員を試すためではなく、報告の流れを確かめるためであることを、あらかじめ説明します。
• 報告できたかを大切にします。 開いたかどうかより、気づいたときにすぐ報告できたかを結果として見ます。
• 責めない形で振り返ります。 引っかかった人を責めると、本物の被害のときに報告が遅れるおそれがあります。

報告しやすい職場は、どうつくればよいですか？

教育で伝えたことが生きるかどうかは、報告のしやすさで変わります。

① 報告の窓口を一つに決め、連絡先を見えるところに掲示します。
② 「間違いかもしれない」段階でも報告してよいと、経営者や管理職から伝えます。
③ 報告してくれた人に、お礼を伝えます。
④ 社内で起きた例を、個人が特定されない形で共有します。

社内の事故の対応の手順と、報告の窓口をそろえておくと、初動が早くなります。

効果は、どう確かめればよいですか？

次のような数字を、年ごとに比べます。

• 研修や注意喚起を受けた人の割合
• 訓練で報告した人の割合と、報告までの時間
• 社員からの「これは大丈夫ですか」という相談の数
• 理解度を確かめる小テストの結果

相談の数が増えるのは、意識が高まった表れと考えられます。数が多いことを前向きに受け止める姿勢が大切です。

チェックリスト

• 教育で伝える内容（自社のルール・最新の手口・日々の基本・連絡先）を決めている
• 全社員向けの研修を、少なくとも年に1回行っている
• 新しい手口などの短い注意喚起を、定期的に届けている
• 立場ごとに重点を分けている（管理職・経理や人事・担当者・経営者）
• AIツールの使い方とルールも、教育の中で扱っている
• 報告の窓口を一つに決め、連絡先を掲示している
• 訓練の目的をあらかじめ伝え、報告できたかを重視している
• 報告した人を責めず、お礼を伝える運用にしている
• 研修の受講や訓練の結果を記録し、次の計画に反映している