5.3情報セキュリティ教育・訓練と規程運用

どれほど技術的な対策を積み重ねても、最終的に操作するのは人です。フィッシングメールを開いてしまう、規程を知らずに機密情報を私用USBへ持ち出してしまう、退職者のアカウントが放置される――こうした「人・運用」に起因する事故は後を絶ちません。情報セキュリティ管理者は、規程を作るだけでなく、組織全体に根づかせ、継続的に検証する仕組みを設計する必要があります。

5.3.1従業員教育と標的型攻撃訓練

• 従業員教育は、入社時の一度きりの研修で終わらせず、定期的（年1回以上が目安）に反復することが重要です。教育内容は一般論の講義に留めず、自社で実際に起きた（あるいは起きうる）事例を扱うことで、当事者意識を持たせやすくなります。教育の効果は受講率だけでなく、理解度テストの正答率や、後述する訓練での引っかかり率の推移で測定します。
• 標的型攻撃訓練＝実際の攻撃を模した訓練メール（偽の請求書や偽の人事連絡を装う等）を従業員に送り、開封率・リンククリック率・添付ファイル実行率を計測する取り組み。目的は特定の従業員を吊し上げて処罰することではなく、組織全体の脆弱な箇所を把握し、教育内容の改善につなげることです。引っかかった従業員には、その場で注意喚起の教材を表示するなど即時のフィードバックを行うと定着しやすくなります。

5.3.2規程/手順の周知徹底と入退社時の手続き

• 規程・手順は策定して社内ポータルに掲載しただけでは周知徹底とは言えません。読了確認（署名やチェックの取得）、定期的な再確認、違反しやすい箇所を絞ったリマインドなど、規程を「知っている」状態から「守っている」状態へ引き上げる仕組みが必要です。規程の改定時には、変更点を明示した上で再周知するプロセスも欠かせません。
• 入退社時の手続き＝入社時は業務上必要な最小限の権限（最小権限の原則）でアカウントを発行し、退社時は退職日当日、遅くとも当日中にアカウントを無効化・権限を剥奪することが原則です。異動時にも旧部署の権限を残したまま新部署の権限を追加する「権限の塩漬け（積み残し）」が起きやすく、定期的な棚卸しで不要な権限を洗い出す必要があります。