ISMSの情報セキュリティ教育｜初めての担当者向けに準備と進め方を紹介

情報セキュリティ教育は、仕事で守るルールを伝える場

情報セキュリティ教育は、社員が仕事で情報を安全に扱えるよう、会社のルールと具体的な行動を伝えるものです。ISMSは、こうした情報の守り方を会社で決め、続けて見直す仕組みを指します。

「情報を大切に扱う」と聞くだけでは、何をするかが分かりません。「お客様の資料を使い終えたら、決められた棚に戻す」と説明すれば、その日の仕事で実行できます。保管する理由と棚の場所も伝えると、行動につながります。

初めて担当する場合は、前回の教材と受講記録が準備の手がかりになります。総務や情報管理の担当者と読み、変わったルール、連絡先、社員から多く聞かれたことを今回の説明に反映します。

例えば机に残す書類や離席時の画面は、クリアデスク・クリアスクリーンの確認例を使い、職場の保管場所や画面ロックの方法と一緒に説明できます。

イソログに寄せられたリアルな声

以下は編集部が作成した相談例です。

誰に、何を教える？仕事に近いテーマの選び方

対象者は、会社の情報や機器を使う人から考えます。社員に加え、同じ仕事をするパートや派遣社員、在宅勤務者、別拠点の人にも、担当する仕事に必要な説明が届くよう、上司や人事・総務と一覧を作ります。

テーマは、受講者が普段している仕事から選ぶと伝わります。営業ならメールで資料を送る場面、事務なら紙の書類を片付ける場面です。何を守るかだけでなく、間違えたときや迷ったときの連絡先も含めます。

メールの宛先・本文・添付資料の見方は、メール誤送信対策で説明しています。紙の書類を扱う部署なら、書類を捨てるときの確認と進め方も教材にする場面を考える参考になります。

教材に載せる内容は、現在のISMSの社内ルールと合わせます。例えば「総務へ連絡」なら、担当者名に加え、電話番号や社内チャットの連絡先まで示すと、受講者が迷わず連絡できます。

仕事で生成AIを使う人には、生成AIの社内ルールと確認例のように、入力できる情報と、作った文章を使う前の確認を取り上げられます。一度にすべてを説明するより、その人の仕事で必要な内容を選びます。

教育を行う時期と、欠席者の受講予定

教育は、全体向けの予定に加え、入社・異動やルールの変更に合わせて用意すると、必要なときに必要な説明を届けられます。特に新しく仕事を始める人には、情報を扱い始める前に基本のルールを伝えます。

次は、小さな会社の予定を想定した架空例です。4月という時期や説明方法は例であり、一律に定められた日程ではありません。社内で決めている教育計画と、入社や業務変更の予定を合わせて考えます。

勤務日が合わない人には、別日の説明や、同じ資料で学べる時間を用意します。受講を終える予定日と質問先を先に伝えると、資料を送ったままになるのを防げます。

入社時は、アカウントの準備と利用確認に合わせてルールを説明すると、実際の操作と結び付きます。異動時は、退職者・異動者のアカウント管理も参考に、利用するサービスが変わることを関係者へ伝えます。

身近な例で説明し、相談先まで案内する

説明では、「すること」「その理由」「職場での例」をつなげると、聞く人が場面を思い浮かべられます。例えば「顧客の資料は決められた棚へ戻します。関係のない人の目に触れないようにするためです」と伝え、実際の棚を見せます。

紛失などの連絡も、場面と連絡先を一緒に示します。「パソコンが見当たらないと気づいたら、この窓口へすぐ連絡する」と説明し、連絡先の案内を本人が開けるか確かめると、困ったときに使えます。質問の時間も残しておきます。

IPAの「5分でできる！情報セキュリティポイント学習」は、職場の身近な場面を題材にし、各テーマの最後に確認テストを置いています。短い内容を学んで質問で振り返る、という構成は社内教育にも参考になります。

外部教材は事前に読み、自社の保管場所や相談先を補って説明します。例えば受付担当者には来客の受付・案内の流れ、USBメモリを使う人にはUSBメモリの貸出・返却と記録例のように、担当する仕事と結び付く場面を選べます。

「分かりましたか」より、行動を答えてもらう

「分かりました」と返事があっても、実際にどう動くかまでは分からないことがあります。「資料を送る前に何を見るか」のように、仕事の場面を出して答えてもらうと、説明が伝わったかを確かめられます。口頭の質問でも、短いテストでも使える方法です。

次は、教材で説明した内容を振り返る質問例です。保管場所や連絡先には、その会社で実際に使っているものを当てはめます。

答えに迷った箇所は、その場で説明し直します。連絡先が分からなかったなら、案内を一緒に見てから、もう一度答えてもらいます。間違いを数えるだけで終わらせず、仕事で使えるところまで補うと、教育の目的に近づきます。

受講記録には、欠席者への対応も残す

受講記録には、実施日、対象者、説明した内容、使った教材、理解を確かめた結果を残します。誰への説明が終わり、誰がまだ受けていないかが分かると、次の担当者も続きを進められます。今ある社内の様式を使って構いません。

次は、卸売会社の営業部で説明会を行った架空例です。人名・人数・日付・保存場所は説明用の仮設定です。

欠席者への説明が終わったら、実施日と結果を追記します。予定日に受けられなければ、本人と上司に次の日程を聞きます。資料を送った段階と、学習・理解の確認が終わった段階を区別して残すと、受講漏れを見つけられます。

保存方法はISMSの文書・記録管理の基本でも紹介しています。氏名や回答を含む記録は、会社が決めた担当者が扱える場所へ、教材と一緒に保管します。

次回の準備では、今回多かった質問や、説明後も現場で迷ったことを上司に聞くと、教材を直す手がかりになります。毎回作り直すより、伝わりにくかった箇所から改善できます。

情報セキュリティ教育のよくある質問

社員への教育を含め、ISMSの運用を相談する

情報セキュリティ教育は、社員が仕事で守るルールと、困ったときの相談先が分かる内容にすると伝わります。身近な場面で説明し、短い質問で理解を確かめ、欠席者への対応まで記録することが基本です。

ISOトラストは、ISO27001（ISMS）の取得から取得後の運用まで支援しています。教材の準備や社内の分担、記録の残し方で迷う場合は、現在の資料と困っている場面を伝え、どのような支援を受けられるか相談できます。

ISOトラストの取得・運用支援を確認する