情報セキュリティ教育が必要な理由と研修の流れ、注意点を解説

監修者：小田悟史

インターネットの普及により、仕事の現場は一変しました。

あらゆる情報がインターネット上に保存され、仕事の効率化に大きく貢献している一方で、システムやセキュリティの脆弱性を狙ったサイバー攻撃が後を絶ちません。

セキュリティへの意識を高め、事故を防止するには、日頃からシステムを使用している従業員への情報セキュリティ教育が効果的です。

本記事では、情報セキュリティ教育が必要な理由と研修の流れ、注意点を解説します。

情報セキュリティ教育とは

情報セキュリティ教育とは、IT機器やシステムの利用者に対して、誤った運用や危険な操作をしないよう周知や理解を促し、事故を起こさせないようにするものです。

システムが人間の操作を介せず全自動で動くならば、システムさえ適切に定義されていれば安全です。しかし、システムには人間の操作と判断が必要です。

また、人間の判断はシステムよりも自由度が高く、権限が強いものです。

人間の操作や判断に誤りがある、もしくは本来その操作をすべきではない人間が不正に操作できてしまうことが、セキュリティの事故につながります。

このような事故を発生させないための適切な振る舞いを利用者が身に付けることが、情報セキュリティ教育の基本です。

【関連記事はこちら】

情報セキュリティ教育が必要な理由

情報セキュリティ教育が必要な理由は、主に次の4つです。

1. 人間の脆弱性を狙った攻撃が増えているから

近年、主要金融機関や大手通販サイト、政府系組織を騙った（かたった）フィッシングメールが横行しています。「クレジットカードの情報が確認できない」「未払い請求がある」などと、緊急性を要するようなメッセージを使って、巧みに偽サイトに誘導するのがよくある手口です。

また、ブラウザの通知機能を使って「ウイルス感染の疑い」「コンピューターの処理低下」などと表示することで、利用者を焦らせるような仕組みもあります。焦った利用者が表示されたボタンをクリックすることで、マルウェアやスパイウェアを潜伏させたり、パスワードなどを搾取したりします。

2. システムで防ぎきれない情報漏えいリスクがあるから

新種の脅威や、広く認知されていない特定の企業や組織を狙った攻撃は、汎用のセキュリティ対策で防ぐのが難しいでしょう。

また、システムでは人間の操作が比較的強い権限を持って実行されます。そのため、Microsoft製品のマクロやバッチファイルといった、日常的に利用しているソフトウェアに悪意を持った操作が組み込まれていても、通常の操作として実行されてしまう問題があります。

出所の不明なファイルを実行しない、心当たりのない添付ファイルを開かないといった、利用者側の作法が求められます。

3. 情報はすぐに陳腐化し、新たな脅威が登場するから

インターネット上には常に新たな脅威が生まれ、同時に利用者側のシステムも進化しています。

攻撃者とシステムの対策はいたちごっこであり、システムの対策は常に後追いとなります。定期的にセキュリティ教育を実施するなかで、新たな脅威を理解し、継続的にアップデートしていく必要があります。

情報セキュリティ研修の進め方

ここでは、情報セキュリティ研修の進め方を見ていきましょう。

1. 研修目的を決定する

情報セキュリティは覚えることが多く、一度ですべて身に付けるのは困難です。研修を実施する際は、テーマと目的を明確にしましょう。

自社にどのようなリスクがあるのかを把握し、リスクの重大さから、教育するテーマの優先順位をつけるのがおすすめです。教育を複数回に分けることも有効といえます。

2. 自社で研修を企画するか、外部に委託するか決める

情報セキュリティ研修は、自社で企画するやり方と、外部に委託するやり方があります。それぞれの流れを順に解説します。

自社で研修を行う際の流れ

総務省や情報処理推進機構（IPA）から、情報セキュリティ関係の資料が無償で公開されています。それらの資料を研修のベースにしてみましょう。テーマを絞り、メリハリがある研修になるよう流れを考えます。

また、自社のケーススタディを盛り込むことで、より実務的な内容になります。自社のリスクを把握し、セキュリティリスクにかかわる事象への通報窓口、社内監査などの仕組みも、研修を機に整備するとよいでしょう。すでにそのような仕組みが整っている場合は、活用方法を研修に組み込みましょう。

外部に委託する際の流れ

セキュリティ情報研修を行っている外部の企業や専門家に委託する際は、自社が訴えたいテーマを事前にすり合わせましょう。

あらかじめテーマが決まっている形式の研修の場合は、自社に必要なテーマであることを確認してください。受講する従業員の知識レベルに合っていることも重要です。研修実施後は、アンケートなどで受講者に感想を聞きましょう。

研修は対面式以外に、eラーニングやWebセミナーによる受講形式もあります。対面形式以外の研修は、気軽に受けられる一方で、受講者の姿勢や理解度によって効果にばらつきが出てくる可能性があります。

受講後に理解度テストを行うなどして、適切に効果が出るように運用しましょう。

3. 研修後に振り返りを行う

多くの従業員は、情報セキュリティの研修に対して真面目に取り組むでしょう。しかし、研修の時間も確保することすら難しいほど多忙な人や、「自分は十分理解している」「研修よりも業務のほうが大事」と、セキュリティリスクを軽視している人もいます。そのような人ほど、適切に知識をアップデートできていない可能性があるので、注意が必要です。

このようなわずかな隙が、セキュリティリスクの一因になります。テストの実施や抜き打ちテスト、アンケートを行うなどして、研修の振り返りを積極的に行いましょう。