情報セキュリティの社員教育を、業界に合わせて進める7つのこつ
情報セキュリティの社員教育の目的は、「知っている」を「自分の仕事で気をつける」に変えることです。ところが一般的な内容だけでは、現場の仕事と結びつきにくく、聞き流されてしまいがちです。業界に合わせて進めるための7つのこつをまとめました。
自社の業界で実際に起きた事例から始める
製造業なら子会社のリモート接続の機器から入られて取引先の工場まで止まった例、人材サービスならほかで漏れたパスワードで登録者のページに入られた例など、同じ業界の事例は「うちでも起きる」と感じてもらいやすくなります。
経営層・現場・IT担当で、伝える中身を分ける
経営層には被害の大きさと先に決めておくこと、現場には毎日の仕事での注意、IT担当には設定や見張り方と、立場によって必要なことは違います。全員に同じ話をするより、分けて短く伝えるほうが届きます。
現場の言葉と、現場の場面で話す
建設現場なら現場写真や図面、工場なら保守の業者が持ち込むパソコンやUSBメモリなど、ふだんの場面に置きかえて話します。日本建設業連合会も、現場の5大脅威として情報機器の紛失・盗難、現場写真の漏えい、重要書類の紛失・盗難、メールの誤送信、ウイルス感染を挙げています。
1回で終わらせず、短く何度も
年に1回の長い研修だけでなく、数分の動画や朝礼での一言を何度も繰り返します。新しく入った人や異動した人には、そのときに行います。
怪しいメールの訓練は、責めずに続ける
訓練のメールを開いてしまった人を責めると、本物のときに報告されにくくなります。開いたかどうかより、すぐに報告できたかを大切にします。
「おかしい」と思ったら、すぐ言える窓口をつくる
被害の大きさは、気づいてから知らせるまでの早さに大きく左右されます。誰に、どうやって知らせるかを決め、知らせた人が責められない雰囲気をつくります。
いつ、誰に、何を教えたかを記録する
取引先や親会社のセキュリティの確認では、社員への教育の記録がよく聞かれます。日付、受けた人、内容を残しておくと、そのまま示せます。
教育は、一度で全員を変えるものではありません。業界の事例を使い、短く繰り返し、記録を残す。この3つを続けることが近道です。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」でも、従業員への周知や教育が対策に含まれています。
EggAIの業界別の研修動画は、製造業・建設・石油・設計コンサル・人材派遣・プラント建設・会員情報を扱う事業者向けに、それぞれの業界の実例で作っています。経営層・現場・IT担当者向けの5本の一式で、字幕と台本つき。教育の記録づくりにもお使いいただけます。
無料の簡易チェックを申し込む 業界別の研修動画を見る
