--- title: "社員のセキュリティ教育を続けるには｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/security-education-continuous/ description: "社員のセキュリティ教育は、年に一度の研修だけで終わらせず、年間の計画を立てて、短い教材、訓練、事故の振り返りを組み合わせて続けると身につきやすくなります。はじめての担当の方に向けて、計画の立て方と、報告しやすい雰囲気づくりを説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 社員のセキュリティ教育を続けるには 社員のセキュリティ教育は、年に一度の研修だけで終わらせず、年間の計画を立てて、短い教材、訓練、事故の振り返りを組み合わせて続けると身につきやすくなります。はじめての担当の方に向けて、計画の立て方と、報告しやすい雰囲気づくりを説明します。 2026.11.12 [導入の進め方](https://www.ameliatechnology.co.jp/blog/category/adoption/) 執筆 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/)（取締役COO） 導入の進め方（ADOPTION）のコラム ## この記事の要点 - 教育は、入社のとき、年に一度の研修、毎月の短い教材、訓練を組み合わせた年間の計画にすると続けやすくなります。 - 教材は、IPAの「情報セキュリティ6か条」や「情報セキュリティ10大脅威」など、公的な機関の無料の資料から始められます。 - あわせて大事にしたいのは、怪しいメールを開いてしまったときに、すぐに報告できる雰囲気をつくることです。 社員のセキュリティ教育を続けるこつは、年に一度の研修だけに頼らず、短い教材と訓練を年間の計画に組み込むことです。入社のときの説明、年に一度のまとまった研修、毎月の5分ほどの話題、怪しいメールの訓練を組み合わせると、無理なく続けられます。あわせて、ミスをしたときに責められずに報告できる雰囲気をつくることが、事故の被害を小さくすることにつながります。 ## 一度の研修だけでは、なぜ足りないのか 一度の研修だけで足りないのは、攻撃の手口が変わり続けることと、人は時間がたつと学んだことを忘れてしまうことの2つが理由です。 IPA（独立行政法人情報処理推進機構）が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」の組織向けでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」で、「AIの利用をめぐるサイバーリスク」がはじめて選ばれて3位に入りました。5位には「機密情報を狙った標的型攻撃」、10位には「ビジネスメール詐欺」が入っています。 出典：[「情報セキュリティ10大脅威 2026」を決定（IPA、2026年1月29日）](https://www.ipa.go.jp/pressrelease/2025/press20260129.html) こうした攻撃の多くは、メールや電話、偽のウェブサイトなど、社員一人ひとりへの働きかけから始まります。手口が毎年少しずつ変わるため、教育も一度で終わりではなく、新しい話題を少しずつ届け続けることが大切です。AIを使った攻撃の変化は、[AIを使ったサイバー攻撃と、会社の備え](https://www.ameliatechnology.co.jp/blog/ai-era-cyber-attacks/)で詳しく説明しています。 ## 何を教えればよいか 最初に教えたいのは、毎日の仕事の中で守ってほしい基本の行動です。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版にある「情報セキュリティ6か条」が、そのまま教える内容の土台になります。 1. OSやソフトウェアは常に最新の状態にしよう！ 2. ウイルス対策ソフトを導入しよう！ 3. パスワードを強化しよう！ 4. 共有設定を見直そう！ 5. バックアップを取ろう！ 6. 脅威や攻撃の手口を知ろう！ 出典：[SECURITY ACTION「一つ星」を宣言する（IPA）](https://www.ipa.go.jp/security/security-action/onestar/) 6か条に加えて、次のような会社ごとの決まりも伝えます。 - 怪しいメールや、パソコンの様子がおかしいときの連絡先 - 社外の人と情報をやりとりするときの決まり（[情報の分類と取り扱いの決まりのつくり方](https://www.ameliatechnology.co.jp/blog/data-classification-rules/)） - [生成AI](https://www.ameliatechnology.co.jp/glossary/generative-ai/)のサービスに入力してよい情報と、いけない情報 - 振込先の変更などのお金に関わる依頼を、電話など別の手段で確かめる決まり ガイドラインの使い方は、[「中小企業の情報セキュリティ対策ガイドライン」の使い方](https://www.ameliatechnology.co.jp/blog/ipa-smb-security-guideline/)で説明しています。 ## 年間の計画は、どう立てるか 年間の計画は、時期と対象と内容を表にしておくと、担当者が替わっても続けやすくなります。 | 時期 | 対象 | 内容の例 | |---|---|---| | 入社のとき | 新しく入った社員 | 6か条、社内の決まり、連絡先、アカウントの扱い | | 年に一度 | 全員 | 30分〜1時間の研修。この1年の事故の例と、決まりの変更点 | | 毎月 | 全員 | 5分で読める短い話題。社内のチャットや朝礼で届ける | | 年に1〜2回 | 全員 | 怪しいメールの訓練と、その振り返り | | 役割に応じて | 経理、人事、管理者の権限を持つ人など | 狙われやすい業務の手口と、確かめ方 | 経理や人事など、お金や個人情報を扱う部門は狙われやすいため、別に短い時間をとって、その業務で起きやすい手口を伝えると、身につきやすくなると考えられます。 ## 教材は、どう用意するか 教材は、はじめから自社で作らなくても大丈夫です。公的な機関が無料で公開している資料から始められます。 - IPAの「情報セキュリティ10大脅威」の解説の資料 - IPAの「中小企業の情報セキュリティ対策ガイドライン」と、その付録 - 警察庁や都道府県の警察が公開している、詐欺やサイバー犯罪の注意喚起 毎月の短い話題は、「今月はこんなメールが届きました」「最近、こんな手口が増えています」のように、実際に社内で起きたことや、ニュースで見た話から作ると、読んでもらいやすくなります。1回に伝えることは1つにしぼり、最後に「こんなときは、ここに連絡してください」と書き添えるのがこつです。 第4.0版のガイドラインには、「中小企業のための人材確保・育成の実践ガイドブック」が付録として加わっています。教育を担う人をどう育てるかを考えるときの参考になります。 出典：[「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（IPA、2026年3月27日）](https://www.ipa.go.jp/pressrelease/2025/press20260327.html) ## 訓練は、どう行うか 怪しいメールの訓練は、本物に似せたメールを社員に送り、開いたか、報告したかを確かめるものです。[標的型攻撃メール](https://www.ameliatechnology.co.jp/glossary/targeted-attack-email/)や[フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/)への備えとして、多くの会社で行われています。 訓練で大事なのは、開いてしまった人を責めないことです。目的は社員を試すことではなく、見分け方を覚えてもらい、気づいたときにすぐ報告できるようにすることです。訓練の後は、どこを見れば見分けられたかを全員に伝えて振り返ります。開いた人の割合より、報告した人の割合が増えていくことを目標にすると、訓練の意味が伝わりやすくなります。訓練の進め方は、[標的型攻撃メール・フィッシングへの備えと訓練](https://www.ameliatechnology.co.jp/blog/phishing-drill/)で詳しく説明しています。 ## 報告しやすい雰囲気は、どうつくるか 教育の中で大事にしたいことの一つが、ミスをしたときにすぐに報告できる雰囲気です。怪しいメールのリンクを押してしまったときに、叱られるのが怖くて黙っていると、その間に被害が広がってしまうことがあります。 報告しやすくするための工夫の例です。 - 報告の窓口を1つにし、チャットでも電話でもよいことにする - 早く報告してくれた人には、まずお礼を伝える - 報告した人を責める言い方をしないことを、経営者や上司から伝えてもらう - 報告があったことと、その結果を（名前を伏せて）全員に共有する 経営者が研修の最初にひと言話すだけでも、「会社として大事にしていること」だと伝わりやすくなります。事故が起きたときの社内の動き方は、[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)にまとめています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、AIを使ったなりすましのメールや偽の音声への備えを含む社員の訓練と、事故が起きたときの連絡と手順の準備をご支援しています。「守りの継続」のパッケージでは、社員の訓練を、パッチの管理やログの確認、ご相談と同じ時間の枠でお使いいただけます。自社の状態をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - セキュリティ教育 - 社員研修 - 標的型攻撃メール - 中小企業 ## この記事に出てくる用語 - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [標的型攻撃メール](https://www.ameliatechnology.co.jp/glossary/targeted-attack-email/) - [ビジネスメール詐欺（BEC）](https://www.ameliatechnology.co.jp/glossary/bec/) - [Webサイト](https://www.ameliatechnology.co.jp/glossary/website/) - [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/) - [SECURITY ACTION](https://www.ameliatechnology.co.jp/glossary/security-action/) - [情報の分類（機密区分）](https://www.ameliatechnology.co.jp/glossary/data-classification/) - [生成AI](https://www.ameliatechnology.co.jp/glossary/generative-ai/) ## 関連する法令・指針（参考情報） - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/) 取締役COO システムエンジニアとして、ビジネスモデルの策定から要件定義、開発、コードレビューまでを担当してきました。運送管理、飲食業向けのDX、ECサイトなど、さまざまな業界のシステム開発に携わっています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [小さく作って広げる（MVP）の進め方](https://www.ameliatechnology.co.jp/blog/mvp-small-start/) - [業務の見える化（業務フロー）の進め方：はじめての方へ](https://www.ameliatechnology.co.jp/blog/business-process-visualization/) - [現場に入って開発する（FDE）とは](https://www.ameliatechnology.co.jp/blog/what-is-fde/) [導入の進め方のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/adoption/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 取り組む順番を決める AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。 [AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) ### 専門チームの時間を月単位で使う AIタイムシェアは、相談・レッスンから開発の補助、既存のシステムとの連携まで。月20時間・20万円（税別）からです。 [AIタイムシェアを見る](https://www.ameliatechnology.co.jp/timeshare/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「社員のセキュリティ教育を続けるには｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/security-education-continuous/