Pマーク・ISMSの社員教育：年1回と記録の残し方
Pマーク（プライバシーマーク）とISMS（情報セキュリティマネジメントシステム）では、社員への教育と、その記録が求められます。JIPDECが公表している指針とユーザーズガイドから、教育の頻度・内容・記録の残し方を確かめました。
教育は少なくとも年1回、必要なときは随時行う
Pマークの構築・運用指針（JIS Q 15001:2023準拠）は、従業者への教育を少なくとも年1回、必要に応じて適宜行う手順を、内部規程として文書化するよう求めています。新しく入った人や異動した人には、その時点で教育を行う計画にしておくと、抜けを防げます。
手順を内部規程に書き、理解度の確認も含める
教育の手順は、内部規程として文書化します。手順には、教育の理解度を確認する方法も含めます。規程には、誰が、いつ、どの形式で教育するかを書いておくと、運用しやすくなります。
教える内容は、方針・重要性・役割・違反時の結果
指針は、従業者に次の4つを認識させることを求めています。個人情報保護方針、個人情報保護マネジメントシステム（PMS）に適合することの重要性と利点、適合するための役割と責任、PMSに違反した際に予想される結果です。研修の資料に、この4つが入っているかを確かめます。
理解が足りない人には、追加の教育を行い効果を確かめる
教育の後、理解が足りない人には、能力を身につけるための処置（追加の教育など）をとります。そのうえで、とった処置が効果を上げたかを評価します。指針は、この一連の処置と評価を求めています。
教育の記録は、利用できる状態で残す
指針は、力量を確保するための決定、処置、有効性の評価を行った記録を、利用できる状態にすることを求めています。記録には、実施日、対象者、内容、理解度の確認結果を入れておくと、後から説明しやすくなります。
ISMSでも、教育と記録を力量の証拠として残す
JIPDECのISMSユーザーズガイドは、教育・訓練によって力量をもたせ、その有効性を評価することを説明しています。一連の活動の記録は、力量の証拠として作成するものとされています。教育の内容は、従業員が情報セキュリティ方針や自らの貢献を認識できるものであることが求められると説明しています。
動画の受講記録も、記録として残す
ユーザーズガイドは、記録された映像や動画、ログ、WEBのデータなども、文書化した情報に含まれると説明しています。研修動画で教育をする場合は、受講者の名前と受講日がわかるログを保存し、理解度の確認結果と一緒に残します。
社員教育は、決めた手順どおりに行い、記録を残すことが基本です。教材は、自社の業界で起きやすい事例を選ぶと、社員が自分のこととして受け止めやすくなります。
