実践ガイド

セキュリティ教育プログラムの作り方

半年に 1 回の教育でも社員の意識は大きく変わる。企業が実施すべきセキュリティ教育の頻度・内容・進め方の指針。

なぜセキュリティ教育が必要なのか

まずは現状把握から — セキュリティ理解度テストで社員の理解度をチェックできます。

セキュリティ事故の 6〜8 割は人的要因です（Verizon DBIR）。

ツールや仕組みだけでは防ぎきれない領域を、教育でカバーする必要があります。

よくある誤解	現実
「注意喚起メールを流せば十分」	読まれない。読まれても忘れる
「情報セキュリティ規程があるから大丈夫」	規程を読んだ人はほぼいない
「エンジニアだけやればいい」	事故は営業・経理・経営層でも起きる
「1 回やれば済む」	攻撃手法は変化する。知識は半年で陳腐化する

半年に 1 回、30 分の教育を継続するだけでも、フィッシングのクリック率は 50% 以上低下する（KnowBe4 調査）。

重要なのは「手厚さ」より「継続」です。

推奨スケジュール: 年 2 回 + 随時

大規模な研修を年 1 回やるより、短い教育を年 2 回以上行うほうが効果的です。

時期	内容	形式	所要時間
4 月（期初・新入社員）	基礎教育 + フィッシング演習	集合 or オンライン	60 分
10 月（下半期）	最新の攻撃事例 + 振り返りテスト	eラーニング	30 分
随時	重大インシデント発生時の緊急周知	メール + 5 分動画	5〜10 分
随時	新入社員・中途入社者のオンボーディング	個別 or eラーニング	30 分

ポイント: 4 月は新卒・異動が多いため必須。

10 月は年度の中間地点で記憶をリフレッシュするタイミング。

「半年に 1 回」のリズムが最もバランスが良い。

対象者別の教育内容

全員に同じ内容を教えるのではなく、役割に応じてカスタマイズします。

対象	必須トピック	追加トピック
全社員	フィッシングの見分け方、パスワード管理、メール誤送信防止、端末紛失時の対応	SNS リテラシー、リモートワークの注意点
管理職	上記 + インシデント報告フロー、部下への指導ポイント	経営リスクとしてのセキュリティ
経営層	セキュリティ投資の考え方、インシデント時の意思決定、対外発表の判断	サプライチェーンリスク、法規制動向
IT / 開発者	セキュアコーディング、脆弱性管理、クラウド設定、シークレット管理	OWASP Top 10、ペネトレーションテスト
人事 / 総務	オフボーディング手順、アカウント管理、物理セキュリティ	内部脅威の兆候、通報窓口の運用

全社員向けの基礎教育がベースにあり、その上に役割別の追加教育を積む構成が理想です。

効果が出る教育のコツ

「やって終わり」の教育は効果がほぼゼロです。

以下の工夫で定着率が大きく変わります。

工夫	効果	具体例
実例ベースで教える	「自分ごと」になる	「昨年、同業他社で起きた事故」を題材にする
体験型にする	記憶に残る	フィッシング模擬訓練で実際にクリックさせる
短く・頻繁に	忘却曲線に対抗	60 分 x 1 回より 30 分 x 2 回
テストで締める	理解度を可視化	5〜10 問の簡易クイズ
結果をフィードバック	次回の改善に繋がる	部門別の正答率をダッシュボードで共有
経営層が参加する	「本気度」が伝わる	社長が冒頭 5 分で話すだけでも効果あり

特にフィッシング模擬訓練は効果が高く、初回は 20〜30% がクリックしますが、3 回目には 5% 以下に低下するケースが一般的です。

フィッシング模擬訓練の進め方

フィッシング模擬訓練は最も費用対効果の高いセキュリティ教育手法です。

準備

ステップ	内容
1. ツール選定	KnowBe4、Proofpoint SAT、Microsoft Attack Simulation Training 等
2. シナリオ作成	実際に流行している手口を模倣（宅配不在通知、パスワード期限切れ等）
3. 対象選定	全社員。部門・役職をまたいで実施
4. 事前告知	しない（告知すると効果が下がる。ただし経営層には事前承認を取る）

実施後

ステップ	内容
5. クリック者への即時教育	クリックした瞬間に「これは訓練です」ページを表示し、見分けポイントを解説
6. 全体結果の共有	部門別クリック率を匿名で共有。個人名は出さない
7. 報告行動の評価	クリックしなかっただけでなく「不審メールとして報告した」人を称賛

注意: 訓練は「引っかかった人を罰する」ためではなく「気づく力を育てる」ためのものです。

懲罰的な運用は逆効果になり、報告文化を壊します。

低コストで始める方法

「予算がない」は教育をしない理由になりません。

無料〜低コストでも始められます。

方法	コスト	内容
社内勉強会	無料	IT 担当者が最新のフィッシング事例を 15 分で共有
IPA の教材活用	無料	IPA「情報セキュリティ10大脅威」の資料をそのまま教材に
JPCERT/CC の資料	無料	インシデント事例集を輪読
Google フォームでテスト	無料	理解度チェックのクイズを自作
動画教材の内製	低	5 分の画面録画で「フィッシングメールの見分け方」を解説
Microsoft Attack Simulation	M365 E5 に付属	フィッシング模擬訓練が追加費用なしで利用可能

最初は「全社メール + 15 分の勉強会 + 5 問クイズ」の組み合わせで十分です。

大事なのは 半年に 1 回を欠かさず続けること。

効果測定と改善サイクル

教育の効果を数値で追跡し、改善に繋げます。

指標	測定方法	目標
フィッシングクリック率	模擬訓練の結果	回を重ねるごとに低下（初回 20% → 3 回目 5% 以下）
不審メール報告率	報告件数 / 模擬訓練の配信数	回を重ねるごとに上昇
テスト正答率	教育後のクイズ結果	80% 以上
インシデント報告の初動時間	インシデント管理ツールのログ	短縮傾向
実際のインシデント件数	年間集計	減少傾向

改善サイクル

計画: 前回の結果をもとに弱点分野を特定し、教材を更新
実施: 教育 + フィッシング模擬訓練
測定: クリック率、テスト正答率、報告率を集計
改善: 結果を経営層に報告し、次回の内容に反映

この PDCA を半年サイクルで回すことで、組織のセキュリティ意識は着実に向上します。

まとめ: 最小限の教育プログラム

以下の 3 つを半年に 1 回実施するだけで、セキュリティ意識は大きく変わります。

#	やること	時間	コスト
1	最新事例の共有（勉強会 or eラーニング）	15〜30 分	無料
2	フィッシング模擬訓練	準備 2 時間 + 実施は自動	無料〜低
3	理解度テスト + 結果のフィードバック	10 分	無料

完璧な教育プログラムを目指して何もしないより、不完全でも半年に 1 回やるほうが 100 倍マシです。 まずは次の四半期に 1 回目を実施してみてください。