情報セキュリティは従業員への教育が大事！対象や教育内容を解説

情報セキュリティ対策において、情報を扱う従業員への教育は欠かせません。情報セキュリティ対策の方針や行動の指針であるポリシーを策定し、周知徹底を行いましょう。

本記事では、従業員への情報セキュリティ教育の必要性や行うタイミング、教育内容について紹介します。

情報セキュリティは従業員への教育が必須

情報セキュリティ対策を万全に行うためには、従業員の教育が必須です。適切な教育を施し、全従業員の情報セキュリティへの意識を向上させなければなりません。教育を通じて、情報セキュリティポリシーやリスク、具体的な対策などを周知していきます。

ここでは、従業員への情報セキュリティ教育の必要性について見ていきましょう。

情報セキュリティとは

情報セキュリティとは個人情報や機密情報などが外部に漏れたり、データが壊されたりしないよう、安全性を確保することです。

具体的には、以下の3つが確保されなければなりません。

• 機密性：認められた人だけが情報へアクセスできる状態にすること
• 完全性：情報が破壊や消去、改ざんされないようにすること
• 可用性：必要時なときにいつでも情報にアクセスできる状態を保つこと

従業員の意識向上が重要

情報セキュリティの実効性を確保するためには、策定したポリシーを守るための風土が形成されなければなりません。そのためには従業員の意識向上が必要であり、適切な教育が欠かせません。

ただポリシーを策定しただけでは情報セキュリティ対策は万全とは言えず、従業員が具体的なリスクを知り、どのような対策をすべきかを把握することが必要です。

情報セキュリティ教育の対象は？

情報セキュリティ教育の対象は、全従業員です。情報は、たった一人の不注意により外部に漏れたり、ウイルス感染などの被害にさらされたりする可能性があります。

正社員だけでなく、派遣社員やアルバイト、パートなど業務に携わるすべての従業員を対象に教育を行いましょう。また、業務委託先から情報が漏れる場合もあるため、委託先の教育も視野に入れる必要があります。

＼情報セキュリティ教育のお悩み相談はこちら／

情報セキュリティ教育を行う流れ

情報セキュリティ教育は、まず企業の情報を守るための情報セキュリティポリシーを策定することから始まります。情報セキュリティポリシーはただ策定して終わりでは意味がなく、周知徹底させることが重要です。

ここでは、情報セキュリティポリシーの策定や従業員への周知徹底など、情報セキュリティ教育を行う流れを紹介します。

情報セキュリティポリシーを策定する

情報セキュリティポリシーとは、情報セキュリティ対策の方針や行動指針を明確にしたものです。組織として意思統一され、明文化したものを策定します。

情報セキュリティポリシーは企業が持つ情報の重要度を分類し、守るべき情報のレベルに応じた対策を反映させることが必要です。情報セキュリティ対策は予防の視点だけでなく、問題が発生したときの対応の視点も盛り込まなければなりません。

ポリシーを周知する

策定した情報セキュリティポリシーは、従業員に周知徹底させることで初めて効果を発揮します。

すべての従業員に対し、自分はどのような役割と責務があり、どのように情報セキュリティポリシーを遵守していくのかを理解させ、全社に情報セキュリティ対策への意識を浸透させることが必要です。

周知徹底は、主に次のポイントを意識しながら行います。

• 機密性のランクと、ランクに応じた取り扱いを把握させる
• 個人情報を扱うときの注意事項を周知する
• 情報やパソコンの持ち出しに関する規定を周知する
• 禁止事項、遵守事項を守らなかった場合の結果を提示する
• 監視されていることを自覚させる

情報セキュリティの教育をするタイミング

情報セキュリティ教育は、情報セキュリティポリシーを策定して運用を開始する際に行うだけでなく、定期的に行うことが必要です。

新入社員研修や管理職登用時の研修など、各種研修の際にも行いましょう。また、ポリシーを変更したときや、情報セキュリティに何らかのトラブルが起きたときにも実施しなければなりません。

情報セキュリティ教育のタイミングについて紹介します。

ポリシーの運用開始時

情報セキュリティポリシーの運用を開始した際、単に作成した資料を渡すなど形式的に伝えるだけではポリシーに則った行動は期待できません。

必要なのは、全員を対象にした研修です。研修方法としては、全員を集めた講義形式や各自で行うe-ラーニングなどがあります。

そのほか、情報セキュリティに関する書籍を課題図書にして、テストにより理解度を図るといった方法も効果的でしょう。

研修後に日々自己点検を行うチェックシートを配布して、ポリシーを遵守しているか確認する方法もあります。

また、情報セキュリティに関する同意書にサインしてもらうなど、情報セキュリティポリシーを意識させる仕組みを作るとよいでしょう。

定期的に実施

研修はポリシーの運用開始時に行うだけでなく、1年に1回などタイミングを決めて定期的に実施することが必要です。継続して行うことで、意識が浸透していきます。

また、セキュリティ環境は変化するため、これまで教育した内容が古くなる場合もあります。定期研修では最新の情報セキュリティの動向なども盛り込む必要があるでしょう。

研修は社内で管理職などが講師になる場合と外部講師を招いて行う方法がありますが、自社の事情に合わせて適切な方法を選んでください。

各種研修のとき

研修は新入社員や中途採用者の入社時や異動時、管理職登用の際などに必要です。新入社員や中途採用者の場合、業務の研修とは別に情報セキュリティ研修を設けるのがよいでしょう。

異動で業務が変わったときや管理職になったときは、取り扱う情報や扱い方も変わります。新たな教育として、しっかりと研修を設けましょう。

ポリシーの変更やトラブルがあったとき

情報セキュリティポリシーの変更やトラブルが発生したときも、随時研修が必要です。

主に、次のような事情が発生した際に研修を実施します。

• 自社で事故や、事故になりかねない事象が発生したとき
• 同業他社でセキュリティ事故が発生したとき
• 新種のウイルスや手口が発生したとき
  
  

自社で事故やそれにつながりかねない事象が起きた場合は、同じミスを犯さないために緊急の研修を行う必要があります。また、同業他社で事故が発生したときも、注意喚起のために研修を行い、周知徹底をすることが必要と言えるでしょう。

新種のウイルスや不正アクセスなどの手口が報道されたときは、対策について周知徹底を行わなければなりません。

情報セキュリティ教育の内容

情報セキュリティ教育の具体的な内容は、起こりうるリスクに対する以下のような対策の周知です。

• パスワードの適切な管理
• ウイルス対策
• 定期的なバックアップ
• 電子メールの適切な送信
• メディアや機器の持ち出しの際の注意
  
  

情報に対してどのような脅威があり、具体的に何をしなければならないかの教育を行います。それぞれ、詳しく見ていきましょう。

パスワードの適切な管理

企業の重要な情報を守るには、パスワードを適切に管理しなければなりません。パスワードの管理が不十分な場合、情報漏洩につながる可能性があります。

パスワードの扱いについては、次のような項目の周知徹底が必要です。

• 他人に推測されにくいパスワードを設定すること
• 同じパスワードの使い回しをしないこと
• 保管を厳重に行うこと
• 定期的に変更すること

ウイルス対策

ウイルス対策への教育も欠かせません。ウイルス対策ソフトをパソコンにインストールする、ウイルス検知用データを常にアップデートするなど、ウイルス感染を防止する方法を周知します。

ウイルススキャンの定期的な実行も必要です。ファイルを開く前にウイルスチェックを行う、不審なメールは開かないなどの教育もしっかり行いましょう。

近年は、Webブラウザでホームページを閲覧するだけで感染するウイルスもあり、巧妙化しています。最新の情報にも注意をするよう呼びかけましょう。

定期的なバックアップ

システムの不具合などで情報データが破壊、消失した場合に備え、定期的にバックアップすることも伝えましょう。バックアップとはデータをCD-Rなど別の記憶媒体に保存し、データの複製を作ることです。万が一の場合にも、バックアップ時の状態に復元することができます。

また、バックアップした記憶媒体を適切な場所に保管する、社外には持ち出さないといった教育も必要です。

電子メールの適切な送信

メールの誤送信に注意するための教育も必要です。メールの誤送信は情報漏洩につながります。大事な顧客情報の漏えいは、企業の信頼を失う事態にもなりかねません。

また、メールアドレスを記憶し、アドレスの先頭部分を入力するだけで自動入力するオートコンプリート機能は、便利な機能ではありますが、よく確認しないと違うアドレスが表示されて誤送信をしやすいため注意が必要です。

メディアや機器の持ち出しの際の注意

近年は働き方改革やコロナ禍の影響もあり、テレワークが普及しています。社用のパソコンやUSBメモリなどの記憶媒体、資料を持ち出すケースも増えていることでしょう。重要な情報を含む機器の取り扱いには十分注意しなければなりません。

持ち運ぶ必要のない機密情報や個人情報は保存しない、ファイルは暗号化して保存する、セキュリティ機能つきのUSBメモリを使用するなど、取り扱いについての教育も大切です。

まとめ

情報セキュリティ対策には、情報セキュリティポリシーの策定が必要であり、その際は全従業員への教育が不可欠です。運用開始時をはじめ、定期的に研修を行いましょう。新入社員や中途採用の入社時や、ほかの業務への異動時、管理職への登用時にも教育が必要です。

また、従業員への教育とともに、個人情報の漏えいを防ぐ体制づくりもしっかり行いましょう。定期的に従業員に対し、個人情報を含むファイルが適切に管理されているか、チェックすることもセキュリティへの意識づけにつながります。抜けもれなく、従業員の負担も最小限に抑えてチェックしたい場合は、専用ツールの利用も有効です。

例えば、「P-Pointer」は、社内のパソコンやファイルサーバの中から、ファイルの内容や属性情報をもとに保管ルールに違反している個人情報ファイルを検出します。

ファイルの所在をチェックし、自動で移動や削除が可能なため、個人情報ファイルの把握と安全管理に課題をお持ちの企業様に最適なツールです。どこにどのような情報が保存されているかを事前に把握しておくことで、効果的な情報漏洩対策が図れます。

無料でP-Pointerの資料をダウンロードできますので、ぜひご確認ください。

＼P-Pointerの無料資料はこちら／


＼自身のPCの個人情報を「無料体験版」でチェック／