「取引先から、社員向けの情報セキュリティ教育を実施しているか聞かれた」
「年に一度、資料をメールで送っているけれど、これで教育したことになるのか分からない」
「そもそも、社員に何を教えればよいのだろう」
専任のIT担当者や情報セキュリティ担当者がいない中小企業では、このような疑問が生じやすいものです。
中小企業のセキュリティ教育で大切なのは、難しい専門知識を覚えてもらうことではありません。社員が日常業務で迷ったときに、正しい行動を取れる状態を作ることです。
- 不審なメールや添付ファイルを開く前に確認する
- 顧客情報を許可されていない場所へ保存しない
- パソコンやスマートフォンをなくしたら、探し終わる前に報告する
- メールを誤送信したら、自分だけで解決しようとしない
- 生成AIへ入力してはいけない情報を判断する
- 問題が起きたときの連絡先を知っている
IPAは、中小企業向けに、1テーマを短時間で学べる「5分でできる！情報セキュリティポイント学習」や、ドラマ形式の「映像で知る情報セキュリティ」など、組織内研修に使用できる教材を公開しています。また、教育担当者向けに、教育計画の立て方や研修準備を学べるオンラインセミナーも案内しています。
この記事では、従業員10人から100人程度の中小企業を想定し、セキュリティ教育で扱う内容、年間計画、実施手順、教育記録、チェックリストまで具体的に解説します。
最初から長時間の研修や高額な教育サービスを導入する必要はありません。まずは総務担当者やIT兼任担当者が、全社員へ次の4点を説明できる15分程度の研修を行います。
- 不審なメールを受け取ったときの連絡先
- 会社の情報を保存してよい場所
- 端末紛失や誤送信時の報告方法
- 社内で使用してよいクラウドサービスや生成AI
研修後は、参加者名、実施日、説明内容、欠席者への対応を記録してください。
セキュリティ教育とは、社員を専門家にすることではない
情報セキュリティ教育とは、会社の情報やシステムを安全に利用するために、社員が守るルールと取るべき行動を共有することです。社員全員が、サイバー攻撃の詳細や高度な技術を理解する必要はありません。
例えば、添付ファイルに不正なプログラムが含まれているかを、営業担当者が技術的に分析することは現実的ではありません。営業担当者に必要なのは、予定していない添付ファイルを受け取ったときに、送信者へ別の方法で確認することや、社内の相談先へ報告することです。
教育の目的
| 教育前に起こりやすい状態 | 教育後に目指す状態 |
| 怪しいメールか一人で判断する | 判断できないときは社内窓口へ相談する |
| 紛失した端末を探してから報告する | 探すことと会社への報告を並行する |
| 誤送信を送信者だけで処理する | 上司や管理担当者へ第一報を入れる |
| 私物USBへ業務データを保存する | 会社が許可した保存先を使用する |
| 生成AIへ入力してよい情報が分からない | 入力禁止情報と相談先を確認する |
| ルールを読んだ記憶がない | 自分の業務で取る行動を説明できる |
教育のゴールは、「資料を配布したこと」ではありません。社員が実際の場面で正しい行動を選び、迷ったときに相談できることです。
なぜ中小企業にもセキュリティ教育が必要なのか
機器の設定だけでは防げない問題がある
ウイルス対策、迷惑メール対策、多要素認証などの技術的な対策は重要です。しかし、システムだけでは次のような行動まで決められません。
- 顧客情報をどのサービスへ保存してよいか
- 振込先変更のメールを誰が確認するか
- 私物USBメモリを使用してよいか
- 会社のスマートフォンを紛失したら誰へ連絡するか
- 生成AIへ取引先の資料を入力してよいか
- メールを誤送信したときに相手へ先に連絡するか、社内へ報告するか
技術的な対策と、ルール・教育の両方を組み合わせる必要があります。
社員が最初の発見者になることがある
不審メール、端末の紛失、誤送信、共有フォルダの異常などは、管理担当者より先に現場の社員が気づくことがあります。社員が自分のミスを恐れて報告を遅らせると、会社の対応開始も遅れます。教育では、異常を見つけた社員が早く報告できる状態を作ることが重要です。
取引先へ実施状況を説明しやすくなる
- 全社員へ情報セキュリティ教育を行っているか
- 入社時教育を行っているか
- 教育を定期的に実施しているか
- 教育の実施記録を保存しているか
- 未受講者へ再教育しているか
- 標的型攻撃メール訓練を行っているか
「実施しています」と回答するだけでなく、実施日、対象者、内容、使用教材、未受講者への対応を説明できるようにしておきます。
中小企業のセキュリティ教育で教える内容
すべてのテーマを一度に説明する必要はありません。まずは、社員が遭遇しやすい内容から始めます。
全社員へ最初に教える8つのテーマ
| テーマ | 社員に伝える内容 | 確認する行動 |
| 不審メール | 差出人名や自然な日本語だけで本物と判断しない | 開く前に確認・報告できる |
| パスワード | 使い回しや他人との共有を避ける | 会社指定の管理方法を使用できる |
| 多要素認証 | パスワード以外の追加認証を行う仕組み | 身に覚えのない認証要求を承認しない |
| 情報の保存 | 会社が許可した保存場所を使う | 私物クラウドや私物USBへ保存しない |
| メール誤送信 | 送信者だけで解決しない | 上司や社内窓口へ第一報を入れる |
| 端末紛失 | 探し終わる前に報告する | 連絡先と伝える項目が分かる |
| 生成AI | 個人情報、顧客情報、認証情報などを入力しない | 判断できない情報を入力前に相談する |
| 事故報告 | 原因が確定していなくても連絡する | 事実と未確認事項を分けて伝える |
1. 不審メールとフィッシング
社員に「怪しいメールに注意してください」とだけ伝えても、具体的な行動にはつながりません。次のような場面を使って説明します。
- 取引先を装った見積書
- Microsoft 365などのパスワード期限通知
- 配送業者を装った不在通知
- 社長を装った緊急送金依頼
- 取引先を装った振込先変更
- 採用応募を装った履歴書
- 多要素認証の承認を求める通知
- メールのリンクからログインしない
- 予定していない添付ファイルは、送信者へ別の方法で確認する
- 振込先の変更は、登録済みの電話番号などで確認する
- URLや添付ファイルを開いた後でも報告する
- 偽サイトへパスワードを入力した場合は、すぐに連絡する
2. パスワードと多要素認証
パスワード教育では、複雑な作成規則だけを暗記させないようにします。最低限、次の内容を伝えます。
- 複数のサービスで同じパスワードを使い回さない
- 初期パスワードを放置しない
- パスワードをメールやチャットで安易に共有しない
- 会社が許可したパスワード管理方法を使用する
- 会社メールや重要なクラウドサービスで多要素認証を利用する
- 身に覚えのない認証通知を承認しない
- 認証コードを他人へ教えない
多要素認証とは、パスワードに加えて、認証アプリや端末などで追加の本人確認を行う仕組みです。ただし、多要素認証を設定すれば、社員教育が不要になるわけではありません。
3. メール誤送信
メール誤送信の教育では、「送信前に注意する」だけでなく、送信後の対応も教えます。
- 送信済みメールを確認する
- 実際の宛先、本文、添付ファイルを確認する
- 上司や社内の管理責任者へ第一報を入れる
- 会社の判断に従って削除依頼などを行う
- 発生日時と対応内容を記録する
4. USBメモリと情報の持ち出し
USBメモリを全面禁止できる会社もあれば、製造設備や取引先とのデータ受け渡しで必要な会社もあります。社員へは、禁止だけでなく利用条件を伝えます。
- 私物USBメモリを業務で使用しない
- 会社支給または会社が許可したUSBだけを使用する
- 顧客情報や個人情報を無断で保存しない
- 社外へ持ち出す場合は承認と記録を行う
- 利用後はデータを削除し、所定の場所へ返却する
- 紛失したら、探し終わる前に報告する
- 拾ったUSBや所有者不明のUSBをパソコンへ接続しない
5. 会社のPC・スマートフォンの利用
社員が理解しておきたい基本ルールは次のとおりです。
- 離席時は画面をロックする
- 家族や第三者へ会社端末を貸さない
- 会社の許可なくアプリをインストールしない
- OSやソフトウェアの更新を意図的に停止しない
- 公共の場所で画面や資料を放置しない
- 端末を紛失したら、すぐに社内へ連絡する
- 会社が定めた場所以外へ業務データを保存しない
6. 生成AIの業務利用
生成AIの教育では、全面禁止だけで終わらせないことが大切です。社員が迷わないよう、利用できる例と禁止する例を並べます。
| 利用を認めやすい例 | 原則として入力しない例 |
| 公開済み情報の要約 | 顧客名簿 |
| 架空データを使った文章作成 | 契約書や秘密保持契約の対象資料 |
| 一般的なメール文面の作成 | 社員の人事・給与情報 |
| 公開情報を基にしたアイデア整理 | ID、パスワード、APIキー |
| 個人や会社を特定できない例文 | 未公開の売上、原価、事業計画 |
社内で利用する生成AIサービス、入力禁止情報、生成結果の確認方法、誤入力時の報告先を決めます。
7. 事故発生時の報告
セキュリティ教育で最も重要な内容の一つが、事故時の連絡先です。次の場合は、原因や被害が確定していなくても連絡するようにします。
- 不審な添付ファイルを開いた
- 偽サイトへパスワードを入力した
- メールを誤送信した
- 会社のPCやスマートフォンをなくした
- USBメモリが見当たらない
- 共有フォルダのファイルが急に開けなくなった
- 生成AIへ禁止情報を入力した
- 身に覚えのないログイン通知が届いた
社員が連絡するときは、いつ気づいたか、何が起きたか、使用していた端末やサービス、どの操作を行ったか、現在の状態、すでに行った対応、分かっていないことを伝えます。原因を推測して断定する必要はありません。
| 社長と担当者の会話 社長「セキュリティの資料を全社員へメールで送れば、それでいいんじゃないか？」 担当者「送るだけでは、社員が読んだか、行動を理解したか確認できません。」 社長「説明と確認、それから記録まで必要なんだな。」 |
資料配布も教育方法の一つですが、それだけで終了すると、社員がどこまで理解したか分かりません。朝礼や会議での説明、動画視聴、簡単な確認テスト、ケース問題、質問受付、受講者と未受講者の記録を組み合わせます。
中小企業がセキュリティ教育を始める7つの手順
手順1．経営者の承認を得る
教育を担当者個人の活動ではなく、会社の取組として実施します。
- 教育を実施すること
- 対象者
- 業務時間内に受講させること
- 教育の管理担当者
- 未受講者への対応
- 外部教材や研修サービスの予算
- 事故を報告した社員を一方的に責めない方針
完了の基準
□ 経営者が教育方針を承認している
□ 教育担当者が決まっている
□ 全社員が受講できる時間を確保している
手順2．教育を管理する人を決める
専任の情報セキュリティ担当者である必要はありません。総務担当者、ITを兼任する社員、情報管理責任者、管理部門の責任者などが担当できます。少人数の会社では、一人が複数の役割を兼ねても構いません。
- 教育責任者
- 実施担当者
- 教材の保存場所
- 受講記録の保存場所
- 外部協力先
- 代理担当者
手順3．自社で教えるべきテーマを決める
インターネットで見つけた教材を、そのまま一式使うのではなく、自社の業務とルールに合わせます。
- 顧客情報はどこに保存しているか
- 私物端末を業務利用しているか
- USBメモリを使う業務があるか
- Microsoft 365やGoogle Workspaceを利用しているか
- テレワークや出張があるか
- 生成AIを業務利用しているか
- 経理担当者が振込先変更メールを受け取るか
- 端末紛失時の連絡先は決まっているか
- 過去に誤送信や不審メールの相談があったか
- 取引先から教育を求められているか
手順4．対象者別に教育内容を分ける
全員に同じ教育だけを行うと、役割ごとの重要事項が抜けることがあります。
| 対象者 | 重点的に扱う内容 |
| 全社員 | 不審メール、パスワード、情報保存、事故報告 |
| 新入社員 | 社内ルール、利用可能なシステム、相談先 |
| 経理担当者 | 振込先変更、送金依頼、請求書メール |
| 人事・総務 | 個人情報、応募書類、退職者対応、誤送信 |
| 営業担当者 | 持ち出し端末、外出先利用、顧客データ |
| 管理職 | 事故の第一報、部下からの相談、経営者への報告 |
| システム管理者 | 管理者権限、ログ、アカウント、初動対応 |
| 経営者 | 業務停止、予算、対外説明、復旧の判断 |
社長や役員も教育対象に含めます。経営者を装った送金依頼や、経営者アカウントの乗っ取りも想定する必要があるためです。
手順5．短時間で実施する
初回から数時間の研修を計画すると、業務調整が難しくなります。次のような方法から始められます。
- 朝礼で5分間の注意喚起
- 月例会議で15分間のミニ研修
- 公的機関の動画を視聴
- 実際のメール例を示したケース問題
- 3問から5問の確認テスト
- 部署ごとの短い勉強会
| 短時間教育の例：スマートフォンの紛失 1. 紛失に気づいた場面を説明する 2. 探し終わる前に会社へ報告することを伝える 3. 社内の連絡先を表示する 4. 報告時に伝える項目を説明する 5. 社員に「最初に誰へ連絡するか」を答えてもらう |
手順6．理解できたか確認する
確認テストの目的は、社員を評価したり順位を付けたりすることではありません。説明が分かりにくかった部分や、社内ルールが曖昧な部分を見つけることです。
問題：取引先を名乗るメールで振込先変更の依頼が届きました。どうしますか。
回答例：メールだけで変更せず、登録済みの電話番号など別の方法で取引先へ確認する。
問題：会社のスマートフォンが見当たりません。まず駅や店を探し回ってから報告しますか。
回答例：探すことと会社への報告を並行する。
問題：生成AIへ顧客名を削除した契約書を入力してもよいですか。
回答例：顧客名だけを消しても相手を推測できる場合があるため、入力前に社内ルールと承認状況を確認する。
正答できなかった社員を責めるのではなく、再説明とルール改善につなげます。
手順7．実施内容を記録する
| 記録項目 | 記録例 |
| 教育名 | 全社員向け情報セキュリティ基礎研修 |
| 実施日 | 研修を実施した日 |
| 実施方法 | 会議室、オンライン、動画視聴 |
| 対象者 | 全社員、新入社員、経理部門など |
| 受講者 | 氏名または社員番号 |
| 未受講者 | 欠席者、休職者など |
| 教育内容 | 不審メール、端末紛失、生成AI |
| 使用教材 | 資料名、動画名、版数 |
| 実施担当者 | 総務担当者など |
| 理解度確認 | 確認テスト、口頭質問 |
| 質問・課題 | 社内ルールが不明だった項目 |
| 再教育 | 実施日、対象者 |
| 次回見直し | 予定日 |
完了の基準
□ 対象者と受講者を照合できる
□ 欠席者への再教育が完了している
□ 使用した教材を保管している
□ 研修で判明した課題に担当者と期限を設定している
□ 経営者や取引先へ実施内容を説明できる
中小企業向けの年間教育計画例
以下は、すべての会社に共通する法定回数ではありません。無理なく継続するための運用例です。自社の業務、取扱情報、契約上の条件に合わせて調整してください。
| 時期 | 教育内容 | 対象者 | 実施方法 | 記録 |
| 入社時 | 社内ルール、利用可能なサービス、事故報告 | 新入社員・中途採用者 | 30分程度の説明 | 受講日、担当者、確認結果 |
| 4月 | セキュリティの基本と社内連絡先 | 全社員 | 15分研修 | 受講者一覧 |
| 6月 | 不審メール・フィッシング | 全社員 | 動画、ケース問題 | 回答結果、質問 |
| 8月 | 端末紛失・外出先での利用 | 全社員 | 事例説明 | 連絡先の確認結果 |
| 10月 | メール誤送信・個人情報 | 全社員 | ケース問題 | 未受講者、再教育 |
| 12月 | 生成AI・未承認クラウド | 利用者・全社員 | 社内ルール説明 | 利用状況、質問 |
| 2月 | 年間の振り返り | 全社員・管理職 | 確認テスト | 改善項目 |
| 随時 | 新しい脅威、事故、ルール変更 | 関係社員 | 5分程度の注意喚起 | 発信日、対象者 |
教育の頻度はどのように決めるか
教育頻度は「年1回であれば必ず十分」というものではありません。次の場合は、定例教育を待たずに追加の周知を行います。
- 新しいクラウドサービスを導入した
- 生成AIの利用を開始した
- テレワークを始めた
- 社内で誤送信や紛失が発生した
- 取引先を装うメールが届いた
- 社内規程を変更した
- 新しい詐欺の手口が確認された
- 教育後も同じ質問や事故が続いた
外部IT業者へ確認する質問
教育内容について
- 当社の業務や社内ルールに合わせて内容を変更できますか
- 一般社員向けと管理者向けに内容を分けられますか
- 不審メール、誤送信、紛失、生成AIを扱えますか
- Microsoft 365やGoogle Workspaceの利用環境を反映できますか
- 最新版の教材へ更新する仕組みはありますか
記録について
- 誰が受講したか確認できますか
- 未受講者を確認できますか
- 理解度テストの結果を出力できますか
- 受講記録の保存期間はどのくらいですか
- 契約終了時に記録を出力できますか
個人情報について
- 個人別の受講結果を誰が閲覧できますか
- 受講データをどこへ保存しますか
- 保存期間と削除方法はどうなっていますか
- 再委託先はありますか
- 訓練結果を人事評価へ利用する前提になっていませんか
外部業者へ依頼しても、教育方針、対象者、社内ルール、事故時の判断は会社側に残ります。
よくある失敗と勘違い
年1回、長い動画を見せて終わる
長い教材を一度視聴しただけでは、日常業務で必要な行動を思い出せない場合があります。全体教育に加えて、短時間の周知を繰り返します。
全社員へ同じ内容だけを教える
経理、人事、営業、管理者では、遭遇しやすい問題が異なります。全社員向けの基本教育に、担当業務別の内容を追加してください。
「気をつけてください」で終わる
不審メールは総務担当者へ転送する、口座変更は登録済みの電話番号で確認するなど、行動として説明します。
確認テストの点数だけを見る
テストの目的は、成績の悪い社員を探すことではありません。多くの社員が同じ問題を間違えた場合は、説明や社内ルールが分かりにくい可能性があります。
事故を起こした社員だけ再教育する
本人への再説明だけでなく、社内ルール、連絡先、業務状況、システム面、他の社員にも起こり得るかを確認します。
教育記録だけを作り、実際には説明していない
記録は取引先への回答のためだけに整えるのではなく、実際の受講者、内容、理解度、未受講者対応を記載します。
よくある質問
小規模な会社でもセキュリティ教育は必要ですか
必要です。ただし、大企業と同じ規模の研修を行う必要はありません。従業員10人程度なら、朝礼や会議の一部を使い、不審メール、紛失、誤送信、報告先を短時間で確認する方法から始められます。
無料で始められますか
公的機関が公開している教材を使えば、教材費を抑えて始められます。自社の社内ルール、連絡先、実際の業務例を追加してください。
セキュリティ教育は法律で義務付けられていますか
すべての中小企業に対して同じ教育内容や回数が一律に定められているとは限りません。取り扱う情報、適用法令、契約、業界ガイドライン、認証制度に応じて確認してください。
年に何回実施すればよいですか
すべての会社に共通する回数はありません。全社員向けの定例教育に加え、入社時、ルール変更時、事故発生時、新サービス導入時に実施します。
外部IT業者へすべて任せてもよいですか
教材作成、講師、受講管理などは依頼できますが、社内ルールや事故時の連絡先は会社側で決める必要があります。
Microsoft 365やGoogle Workspaceを使っていても教育は必要ですか
必要です。クラウドサービスにセキュリティ機能があっても、誤送信、過剰な共有、偽の送金依頼、端末紛失など社員の判断が必要な場面は残ります。
派遣社員や業務委託者も対象にしますか
会社の情報やシステムを取り扱う場合は、教育やルール周知が必要かを契約と業務範囲に応じて確認します。
まとめ｜中小企業のセキュリティ教育は「正しい行動」を教える
中小企業のセキュリティ教育は、専門用語を覚えさせるためのものではありません。社員が次の行動を取れる状態を作ることが目的です。
- 不審なメールや依頼を受けたら、いったん止まる
- 分からないときは社内窓口へ相談する
- 情報は会社が許可した場所へ保存する
- 誤送信や紛失は、自分だけで解決しようとしない
- 生成AIやクラウドの利用ルールを確認する
- 問題が起きたら、原因確定を待たずに第一報を入れる
