社員のセキュリティ教育を続けるには

社員のセキュリティ教育を続けるこつは、年に一度の研修だけに頼らず、短い教材と訓練を年間の計画に組み込むことです。入社のときの説明、年に一度のまとまった研修、毎月の5分ほどの話題、怪しいメールの訓練を組み合わせると、無理なく続けられます。あわせて、ミスをしたときに責められずに報告できる雰囲気をつくることが、事故の被害を小さくすることにつながります。

一度の研修だけでは、なぜ足りないのか

一度の研修だけで足りないのは、攻撃の手口が変わり続けることと、人は時間がたつと学んだことを忘れてしまうことの2つが理由です。

IPA（独立行政法人 情報処理推進機構）が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」の組織向けでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」で、「AIの利用をめぐるサイバーリスク」がはじめて選ばれて3位に入りました。5位には「機密情報を狙った標的型攻撃」、10位には「ビジネスメール詐欺」が入っています。

出典：「情報セキュリティ10大脅威 2026」を決定（IPA、2026年1月29日）

こうした攻撃の多くは、メールや電話、偽のウェブサイトなど、社員一人ひとりへの働きかけから始まります。手口が毎年少しずつ変わるため、教育も一度で終わりではなく、新しい話題を少しずつ届け続けることが大切です。AIを使った攻撃の変化は、AIを使ったサイバー攻撃と、会社の備えで詳しく説明しています。

何を教えればよいか

最初に教えたいのは、毎日の仕事の中で守ってほしい基本の行動です。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版にある「情報セキュリティ6か条」が、そのまま教える内容の土台になります。

1. OSやソフトウェアは常に最新の状態にしよう！
2. ウイルス対策ソフトを導入しよう！
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. バックアップを取ろう！
6. 脅威や攻撃の手口を知ろう！

出典：SECURITY ACTION「一つ星」を宣言する（IPA）

6か条に加えて、次のような会社ごとの決まりも伝えます。

• 怪しいメールや、パソコンの様子がおかしいときの連絡先
• 社外の人と情報をやりとりするときの決まり（情報の分類と取り扱いの決まりのつくり方）
• 生成AIのサービスに入力してよい情報と、いけない情報
• 振込先の変更などのお金に関わる依頼を、電話など別の手段で確かめる決まり

ガイドラインの使い方は、「中小企業の情報セキュリティ対策ガイドライン」の使い方で説明しています。

年間の計画は、どう立てるか

年間の計画は、時期と対象と内容を表にしておくと、担当者が替わっても続けやすくなります。

経理や人事など、お金や個人情報を扱う部門は狙われやすいため、別に短い時間をとって、その業務で起きやすい手口を伝えると、身につきやすくなると考えられます。

教材は、どう用意するか

教材は、はじめから自社で作らなくても大丈夫です。公的な機関が無料で公開している資料から始められます。

• IPAの「情報セキュリティ10大脅威」の解説の資料
• IPAの「中小企業の情報セキュリティ対策ガイドライン」と、その付録
• 警察庁や都道府県の警察が公開している、詐欺やサイバー犯罪の注意喚起

毎月の短い話題は、「今月はこんなメールが届きました」「最近、こんな手口が増えています」のように、実際に社内で起きたことや、ニュースで見た話から作ると、読んでもらいやすくなります。1回に伝えることは1つにしぼり、最後に「こんなときは、ここに連絡してください」と書き添えるのがこつです。

第4.0版のガイドラインには、「中小企業のための人材確保・育成の実践ガイドブック」が付録として加わっています。教育を担う人をどう育てるかを考えるときの参考になります。

出典：「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）

訓練は、どう行うか

怪しいメールの訓練は、本物に似せたメールを社員に送り、開いたか、報告したかを確かめるものです。標的型攻撃メールやフィッシングへの備えとして、多くの会社で行われています。

訓練で大事なのは、開いてしまった人を責めないことです。目的は社員を試すことではなく、見分け方を覚えてもらい、気づいたときにすぐ報告できるようにすることです。訓練の後は、どこを見れば見分けられたかを全員に伝えて振り返ります。開いた人の割合より、報告した人の割合が増えていくことを目標にすると、訓練の意味が伝わりやすくなります。訓練の進め方は、標的型攻撃メール・フィッシングへの備えと訓練で詳しく説明しています。

報告しやすい雰囲気は、どうつくるか

教育の中で大事にしたいことの一つが、ミスをしたときにすぐに報告できる雰囲気です。怪しいメールのリンクを押してしまったときに、叱られるのが怖くて黙っていると、その間に被害が広がってしまうことがあります。

報告しやすくするための工夫の例です。

• 報告の窓口を1つにし、チャットでも電話でもよいことにする
• 早く報告してくれた人には、まずお礼を伝える
• 報告した人を責める言い方をしないことを、経営者や上司から伝えてもらう
• 報告があったことと、その結果を（名前を伏せて）全員に共有する

経営者が研修の最初にひと言話すだけでも、「会社として大事にしていること」だと伝わりやすくなります。事故が起きたときの社内の動き方は、セキュリティ事故に備える、初動の手順書のつくり方にまとめています。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、AIを使ったなりすましのメールや偽の音声への備えを含む社員の訓練と、事故が起きたときの連絡と手順の準備をご支援しています。「守りの継続」のパッケージでは、社員の訓練を、パッチの管理やログの確認、ご相談と同じ時間の枠でお使いいただけます。自社の状態をおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。