従業員のセキュリティ教育

適正な情報の取り扱いについては、知識として認識させるだけでなく、社内の全員に実践させることで初めて意味を成します。そのためには危機管理意識の向上を促し、情報漏洩（じょうほうろうえい）やサイバー攻撃の危険性について理解を深めるための教育は欠かせません。

この記事では、情報セキュリティの重要性や教育方法、情報セキュリティ体制の構築などについて詳しく解説します。

情報セキュリティ教育とは

情報セキュリティに関する事故を防ぐために、従業員への教育を行い、セキュリティに対する意識向上や実務上の取り扱いルールの周知をするのが情報セキュリティ教育です。

パソコンでの仕事が増え、インターネットを利用する機会も増えた現代の業務環境において、必要不可欠の研修と言えるでしょう。

情報セキュリティ教育の必要性

世界中がインターネットでつながっている現在、情報漏洩が発生した企業は大きなダメージを受けます。自社だけでなく取引先企業に損害が及ぶ場合もあり、損害賠償や信用の失墜など多岐にわたる損失の発生は避けられません。

こうした事態の防止に向けて、外部からのサイバー攻撃への対策に力を入れている企業は少なくないでしょう。しかし、いくら強力な防御システムを導入しても、システムを扱う人間側の危機管理意識が低ければ意味がありません。

実際に情報漏洩原因の70％以上は、通信機器の操作ミスや不適切な情報の持ち出し・紛失などの人的要因とされています。情報セキュリティの強化には、防御システムの構築とともに、従業員の情報管理に対する理解が必要不可欠です。

まずは情報セキュリティポリシーの策定

従業員の情報管理に対する意識を向上させるためには、企業全体としての情報セキュリティに対する明確な指針の策定が必要です。企業ごとに事業内容や想定される情報関連リスクが異なるため、情報セキュリティに対する指針も各企業の実情に合わせて策定しなければなりません。

情報セキュリティポリシーには、指針の主軸となる基本方針、扱う情報の機密レベルや部門ごとに適用される対策基準、実務における実施手順のすべてを含める必要があります。

基本方針では、情報セキュリティに対する企業全体の方向性を示し、情報漏洩により発生するリスクや情報セキュリティの重要性などを従業員に認識させることが重要です。

対策基準においては、業務に必要な情報は部門や階級ごとに異なるため、社内ネットワークにおけるアクセス制限や入退室管理など対策基準の設定が欠かせません。また基準に実効性を持たせるためには、違反者への罰則規定なども必要でしょう。

実際の現場で対策基準を満たすためのシステム構築やマニュアル作成など、より具体的な実務フローの策定を行います。社内の状況を詳細に分析し、現実的で運用可能な手順の策定が必要不可欠です。

企業の防犯の基本【Q＆A】
一覧はこちら

策定後は従業員への周知

自社に適切な情報セキュリティポリシーが策定できても、すべての従業員に周知されなくては実効性を確保できません。また情報セキュリティの必要性について全員が理解していなければ、せっかく策定した情報セキュリティポリシーも絵に描いた餅になってしまいます。

周知の下地作りとして、情報漏洩により発生する脅威や被害の具体的な例をあげて、従業員に明示する必要があるでしょう。情報セキュリティポリシーの発信を経営者自ら行い、従業員がいつでも確認できるような対策（マニュアルの配布など）を施すことで、さらに高い効果が期待できます。

情報セキュリティ教育の対象者

通信手段が発達した現在では、だれでもSNSなどを利用した情報発信が可能です。また社内情報を狙ったサイバー攻撃では、事業の核心部分や取引先リストなどの機密情報はもちろん、部署の配置や従業員リストなども対象となりえます。

そのため、社内の情報に触れる可能性のあるすべての人に対して、徹底した教育が必要です。雇用形態に関わらず社内で勤務する従業員はもちろん、場合によっては業務委託先も教育の対象になります。

情報セキュリティ教育の実施タイミング

入社時

新卒・中途採用など新規に入社する人材は、社内における既存の常識に囚われていないため、教育を施すのに最適な状態といえます。

入社時点で情報セキュリティに対する適切な教育を行うことで、情報管理に対する認識や知識が定着しやすくなるでしょう。

昇進時

社内での立場が変わり扱う情報もより高度なものになりますので、情報セキュリティに関する知識や教育レベルも向上させる必要があります。

付与される権限も大きくなる半面、責任も重くなるという自覚を持たせたうえで、いざというときの対応法を提示しながら教育しなければなりません。

部署異動時

所属部署の変更に伴い、扱う情報の質や機密レベルも変化するため、実務に応じた教育を行う必要があります。

特に外部との接触が多い部署への異動時には、情報の扱いに対する認識を新たにする必要がありますので、改めての教育は必須事項です。

年初・期首・期末

年明けの仕事始めなどの節目ごとに、改めて情報セキュリティに対する発信を行うことで、従業員の緊張感を維持できます。

また年末などの振り返りでは、過去における問題点を提示するとともに、今後の対応について方針を述べることも重要です。

定例・定期

情報セキュリティに関する教育や、セキュリティについての新しい情報の提供を定期的に行うことで、従業員の情報に対する危機管理意識を高い状態に維持できます。

また、教育や情報提供を繰り返し行うことで、実務における情報セキュリティ対策を定着させることも可能です。

主なセキュリティ教育

パスワードの管理

社内情報にアクセスするためのパスワードに関しては、作成と保管の2点が重要なポイントとなります。

パスワード作成の際は誕生日や電話番号といった安直な文字列を避け、アルファベットは大文字と小文字を混在させるなど、容易に推測されないための工夫が必要です。パスワードの使いまわしは被害を拡大させる可能性が高いため、絶対に避けましょう。

またパスワードの保管については、メモ帳などは鍵のかかる場所での保管を義務付け、パソコンやスマートフォンには多要素認証を導入するなど厳重な管理が必要です。

メールの誤送信への注意

情報のやり取りを行う際に非常に便利な電子メールですが、送信先を誤れば情報漏洩に直結する危険をはらむツールであることを、常に意識しなければなりません。特にCCとBCCの違いについては、しっかりと理解しておく必要があります。

重要な情報を電子メールで送る際には、二人以上でチェックを行うなど細心の注意を払いましょう。

バックアップの保管

フィッシング詐欺/標的型攻撃への注意

メールを利用して個人情報を盗む、または送信先のパソコンをウイルスに感染させるといった手口は、サイバー攻撃における常套手段です。しかし「身に覚えのないメールを開かない」「不用意に知らないサイトにアクセスしない」などの習慣を身につけていれば、メールを媒介とした情報漏洩を防げます。

ソフトウェアのインストール時の注意

世の中には便利なフリーソフトも数多く存在しますが、その中には悪意もってウイルスなどを仕込んだソフトも含まれています。しかし、ソフトに問題があるか否かについての判別は、個人ではほぼ不可能でしょう。

業務に使用するパソコンについては、安全性が確認できていないソフトのダウンロードを禁じるなどの対策が欠かせません。

安全な無線LANを利用する

現在では、飲食店や娯楽施設・大型商業施設など、公衆無線LANが設置されている場所は少なくありません。しかし、公衆無線LANには不特定多数の人物がアクセスするため、情報漏洩の危険が伴います。公衆無線LANを利用する際は、アクセスポイントの安全性確認や暗号化の有無などに留意し、パソコンの共有機能を無効にするなどの対策が必要です。

SNSの利用ルール

手軽な情報発信ツールとして多くの方が利用するSNSですが、その特性により情報漏洩の危険性をはらみます。また、企業のイメージアップを図るためにSNSを利用するケースもありますが、担当者のわずかな気のゆるみにより社会的に非難を受けるケースも少なくありません。

SNSの利用に際してはアカウント管理や発信内容に細心の注意が必要なため、企業としての利用ルールを定めたうえで、徹底した教育が不可欠です。すべての従業員が企業の一員としての自覚を持つよう、モラルの向上にも努める必要があります。

防犯大全まとめ

顧客などの個人情報漏洩に関するニュースを毎年のようにに耳にします。そういった事例を参考にして、情報セキュリティ体制の強化に取り組んでいる企業もあるでしょう。情報漏洩の原因の多くは、従業員による通信機器の操作ミスや、不適切な情報の持ち出し・紛失です。それらのトラブル対策として、従業員へのセキュリティ教育も盛んに行われるようになってきましたが、中には悪意ある者の犯罪行為によって情報漏えいが引き起こされるケースもあります。そういったリスクへの対策を講じるのであれば、防犯のプロの力を借りるのがおすすめです。

そこで活用したいのが、プロの手による防犯システム。そのオフィスに合った適切な防犯体制を構築しておけば、未然にさまざまなトラブルを防ぐことが可能になります。オフィスにおける犯罪発生の防止や、犯罪発生時の被害の最小化において、防犯システムは有効な手段となるでしょう。

抑止？機動？監視？
企業のための防犯対策3選

関連ページ

【防犯設備士にインタビュー】真実の企業防犯
防犯CSR活動とは？
常駐警備（施設警備）とは？
外周警備とは？
機械警備とは？