変更要約: 初版
5.3情報セキュリティ教育・訓練と規程運用
従業員教育の設計、標的型攻撃訓練の実施と評価、規程/手順の周知徹底、入退社時の手続き（アカウント発行・権限剥奪）、規程違反時の対応、組織全体の意識向上の取り組みを、具体的な組織シナリオで学びます。
どれほど技術的な対策を積み重ねても、最終的に操作するのは人です。フィッシングメールを開いてしまう、規程を知らずに機密情報を私用USBへ持ち出してしまう、退職者のアカウントが放置される――こうした「人・運用」に起因する事故は後を絶ちません。情報セキュリティ管理者は、規程を作るだけでなく、組織全体に根づかせ、継続的に検証する仕組みを設計する必要があります。
5.3.1従業員教育と標的型攻撃訓練
- 従業員教育は、入社時の一度きりの研修で終わらせず、定期的（年1回以上が目安）に反復することが重要です。教育内容は一般論の講義に留めず、自社で実際に起きた（あるいは起きうる）事例を扱うことで、当事者意識を持たせやすくなります。教育の効果は受講率だけでなく、理解度テストの正答率や、後述する訓練での引っかかり率の推移で測定します。
- 標的型攻撃訓練＝実際の攻撃を模した訓練メール（偽の請求書や偽の人事連絡を装う等）を従業員に送り、開封率・リンククリック率・添付ファイル実行率を計測する取り組み。目的は特定の従業員を吊し上げて処罰することではなく、組織全体の脆弱な箇所を把握し、教育内容の改善につなげることです。引っかかった従業員には、その場で注意喚起の教材を表示するなど即時のフィードバックを行うと定着しやすくなります。
5.3.2規程/手順の周知徹底と入退社時の手続き
- 規程・手順は策定して社内ポータルに掲載しただけでは周知徹底とは言えません。読了確認（署名やチェックの取得）、定期的な再確認、違反しやすい箇所を絞ったリマインドなど、規程を「知っている」状態から「守っている」状態へ引き上げる仕組みが必要です。規程の改定時には、変更点を明示した上で再周知するプロセスも欠かせません。
- 入退社時の手続き＝入社時は業務上必要な最小限の権限（最小権限の原則）でアカウントを発行し、退社時は退職日当日、遅くとも当日中にアカウントを無効化・権限を剥奪することが原則です。異動時にも旧部署の権限を残したまま新部署の権限を追加する「権限の塩漬け（積み残し）」が起きやすく、定期的な棚卸しで不要な権限を洗い出す必要があります。
「標的型攻撃訓練の目的は従業員の処罰ではなく組織の脆弱箇所の把握と教育改善」「退職者のアカウントは退職日当日に無効化する」「異動時は旧権限を棚卸しで洗い出し不要な権限を剥奪する」「規程は策定・掲載だけでなく読了確認や反復教育で定着させる」が最頻出です。「訓練で引っかかった従業員を懲戒する」「退職後しばらくアカウントを残しておく」といった誤答が典型です。
5.3.3違反時の対応と意識向上
- 規程違反が発覚した場合、まず事実関係の確認（意図的な不正か、知識不足による過失か）を行い、その上で就業規則に基づく処分の要否と、再発防止のための教育・仕組み改善を分けて検討します。処分だけを重視して原因分析を怠ると、同種の違反が別の従業員で再発しやすくなります。
- 組織全体のセキュリティ意識向上には、経営層自らが率先して規程を守る姿勢を見せる（トップのコミットメント）、部署ごとの引っかかり率や違反件数を可視化して改善を促す、報告しやすい雰囲気（咎めない文化）を作り軽微なミスも早期に共有される状態を目指す、といった取り組みが有効です。懲罰を強めるほど報告が隠蔽され、かえって発見が遅れることがある点に注意します。
ある製造業の人事・情報システム部門の年間サイクルを例に、教育と規程運用のつながりを見てみます。まず年度初めに全従業員を対象とした情報セキュリティ研修を実施し、パスワード管理・機密情報の取扱い・標的型メールの見分け方について、実際に自社で過去に発生した「取引先を装った偽請求書メール」の事例を用いて説明しました。研修後には理解度テストを課し、合格するまで再受講を求める運用としています。半年後、抜き打ちで標的型攻撃訓練を実施したところ、営業部門のリンククリック率が全社平均の3倍近くに達していることが判明しました。情報システム部門はこの結果を特定の従業員個人を処罰する材料としてではなく、営業部門向けに追加のピンポイント教育（取引先とのメールが多い業務特性を踏まえた事例）を企画する材料として活用しました。同じ時期、ある社員が「業務が立て込んでいたため」社内規程で禁止されている個人所有のクラウドストレージに顧客資料を保存していたことが発覚しました。人事・情報システム部門は、まず事実関係を確認し、意図的な情報持ち出しではなく規程の周知不足と業務多忙による判断ミスであったと認定した上で、当該社員への追加教育と、部署内での類似事例の有無を横展開で確認する対応を取りました。さらに、この四半期に3名の退職者が発生しましたが、いずれも退職日当日中にアカウントを無効化し権限を剥奪する手続きが完了していることをチェックリストで確認しました。一方、同時期に2名の異動があり、棚卸しの結果、異動後1か月が経過しても旧部署のフォルダへのアクセス権限が残ったままになっている「権限の塩漬け」が1件見つかり、直ちに是正しました。このように、教育→訓練による可視化→規程の周知徹底→違反発生時の原因分析と再発防止→入退社/異動時の権限管理の徹底という一連のサイクルを年間を通じて回し続けることが、「人」に起因するリスクを継続的に低減させる実践です。
| 局面 | 実施内容 | 目的 |
|---|---|---|
| 入社時 | 最小権限でアカウント発行 | 必要以上の権限付与を防ぐ |
| 在籍中 | 定期教育＋標的型攻撃訓練 | 意識維持と脆弱箇所の把握 |
| 異動時 | 権限の棚卸しと不要権限の剥奪 | 権限の塩漬けを防ぐ |
| 退社時 | 退職日当日にアカウント無効化 | 離職後の不正アクセスを防ぐ |
ひっかけ： 「標的型攻撃訓練で引っかかった従業員は懲戒処分の対象とすべきである」は誤りです。訓練の目的は組織の脆弱箇所の把握と教育改善であり、個人の処罰を主目的にすると報告や協力が委縮し、かえって実態把握が難しくなります。また「退職者のアカウントは業務の引き継ぎが終わるまで有効にしておいてよい」も誤り＝退職日当日中の無効化が原則で、引き継ぎ作業は在籍中に完了させます。さらに「異動した社員の旧部署の権限はそのまま残しておいても問題ない」も誤り＝権限の塩漬けは不要なアクセス経路を生み、定期棚卸しで剥奪すべきです。
5.3.4この節のまとめ
- 標的型攻撃訓練の目的は処罰ではなく脆弱箇所の把握と教育改善。定期反復の従業員教育で意識を維持
- 入社時は最小権限でアカウント発行、退社時は退職日当日に無効化。異動時は権限の棚卸しで塩漬けを防止
- 規程は掲載だけでなく読了確認・反復教育で定着。違反時は事実確認→処分と再発防止策を分けて検討、咎めない文化で早期共有を促す
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 標的型攻撃訓練を実施したところ、ある部署のリンククリック率が全社平均を大きく上回った。この結果への対応として最も適切なのは？
Q2. 従業員が退職することになった。情報セキュリティ管理の観点から、アカウントの無効化と権限剥奪はいつまでに行うべきか。
Q3. ある社員が、規程で禁止されている個人所有のクラウドストレージに業務資料を保存していたことが発覚した。事実確認の結果、意図的な不正ではなく規程の周知不足と多忙による判断ミスと判明した。最も適切な対応は？