米Verizonが世界のデータ侵害を分析した「2025 Data Breach Investigations Report（DBIR）」では、侵害の約60%に人的要素が関わっていました。フィッシングメールのクリック、不適切なファイル共有、私物デバイスからの機密情報持ち出し、安全でないパスワードの使い回し。技術的な対策だけでは、これらをすべて防ぎきれません。

出典：2025 Data Breach Investigations Report Executive Summary（Verizon）

そこで重要になるのが、従業員のセキュリティ教育です。ところが多くの組織では、教育が「年1回のe-learning」「形だけのチェックテスト」で終わり、行動変容にはつながっていません。教育の効果を測定できず、改善サイクルが回らないまま、毎年同じ研修が繰り返されています。

従業員のセキュリティ教育を、実効性のある仕組みとして設計・運用する方法を整理しました。最初に年間計画表と進め方の5ステップを示します。続いて、研修内容の例（全社員向け・階層別・職種別）、フィッシング訓練、効果測定、無料で使える公的教材、運用負担を抑えるツールまで、情シスが実務で使える視点で解説します。

セキュリティ研修の年間計画表｜施策・対象・頻度の早見表

従業員のセキュリティ教育は、1回の研修で終わらせず、性格の違う6つの施策を1年の中に配置して回します。全員が受ける基礎研修で土台をつくり、入社時・昇格時の研修で抜けを埋めます。そのうえで、フィッシング訓練と情報発信で記憶が薄れないようにする構成です。施策ごとの対象・頻度・形式・見る指標は次のとおりです。

所要時間と頻度は目安です。人数が多い組織ほど、ライブ研修の比率を下げ、e-learningと訓練で接触回数を確保する設計が現実的になります。

4月始まりの年間計画の例

4月に新年度が始まる企業を例にした年間計画です。入社時期や繁忙期に合わせて、月を入れ替えて使ってください。

この例ではフィッシング訓練を四半期に1回としています。月1回にする場合は、空いている月に初級〜中級の訓練を足してください。

従業員セキュリティ教育の目的と効果

従業員セキュリティ教育とは、組織のセキュリティポリシーと安全な業務行動を従業員に習得させ、人的ミスや内部不正による情報漏洩・サイバー攻撃の被害を低減する継続的な取り組みです。技術的対策と並ぶサイバーセキュリティの主要施策に位置づけられます。

教育を実効性のある仕組みとして整備することで、以下の効果が得られます。

• フィッシング・標的型攻撃の被害低減: クリック率・認証情報入力率の継続的な改善
• 内部不正・誤送信の発生抑制: ルール理解と判断基準の共有
• インシデント発生時の初動の早期化: 不審事象の自発的な報告増加
• 監査・コンプライアンス対応: ISO27001、Pマーク、ISMAP等の認証要件の充足

近年、生成AIを活用したフィッシング攻撃が高度化し、従来の「不自然な日本語」「明らかな違和感」だけでは見抜けないレベルに到達しています。技術対策だけでは限界があり、利用者が自ら判断できる能力を養うことの重要度が高まっています。

参考：サイバーセキュリティ経営ガイドライン Ver3.0（経済産業省）

従業員セキュリティ教育の進め方5ステップ

教育プログラムを新しく立ち上げるときも、毎年の研修を見直すときも、次の5ステップで進めると抜けが出にくくなります。

ステップごとの要点は次のとおりです。

ステップ1: 自社のリスクと前回の結果を把握する

最初に、教育で減らしたいリスクを自社の実態から洗い出します。材料になるのは、過去のインシデントやヒヤリハット、情報セキュリティ規程、前年度の受講率とフィッシング訓練の結果です。業務で使っているSaaSや生成AIの利用状況も確認しておくと、研修の内容が現場の実態からずれにくくなります。

外部の動向は、IPAが毎年公表する「情報セキュリティ10大脅威」で確認できます。2026年版の組織編では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、3位が初選出の「AIの利用をめぐるサイバーリスク」でした。「機密情報を狙った標的型攻撃」（5位）、「内部不正による情報漏えい等」（7位）、「ビジネスメール詐欺」（10位）も、従業員の行動が被害を左右する脅威です。

ステップ2: 変えたい行動と測る指標を決める

教育の目的は、全員が受講することそのものにはありません。「不審なメールを開く前に報告する」「業務データを個人のアカウントに保存しない」のように、変えたい行動を具体的に決めます。行動が決まれば、測る指標も決まります。たとえば報告行動を増やしたいなら、フィッシング訓練の報告率と報告までの時間を追います。指標の一覧は、後半の「効果測定と改善サイクル」で整理しています。

ステップ3: 対象者別にカリキュラムと形式を決める

全社員に共通する内容と、役職・職種ごとに足す内容を分けて設計します。形式は、集合研修・e-learning・外部セミナーの特徴を踏まえて選びます。ジョーシスがLRM株式会社と共同で開催したセミナー「4月からはじめる、情シスがやるべきセキュリティ対策とは」では、同社の正田暉貴氏が3つの形式を次のように比較しています。

同じセミナーでは、教育の目的と対象者を明確にすること、教育と効果測定をセットで実施することの重要性も指摘されています。

ステップ4: 告知・実施・受講管理を回す

実施の段階で受講率を左右するのは、告知の仕方と未受講者のフォローです。研修は業務時間内に設定し、上長から部下へ受講を促してもらうと、後回しにされにくくなります。LMS（学習管理システム）やセキュリティ意識向上プラットフォームを使えば、受講状況の集計と未受講者へのリマインドを自動化できます。業務委託や派遣の従業員も、社内のシステムに触れるなら対象に含めます。

ステップ5: 効果を測り、次の計画に反映する

研修後は理解度テストやアンケートで知識の定着を確かめ、フィッシング訓練の結果で行動の変化を確かめます。部署・役職ごとに集計すると、弱いところに絞った追加教育ができます。集計結果は四半期ごとに経営層へ報告し、翌期の重点テーマと予算に反映します。

参考：情報セキュリティ10大脅威 2026（IPA）

教育プログラムの全体構造

実効性のある教育プログラムは、対象者の階層・業務内容・既存知識に応じた多層構造として設計します。「全員一律のe-learning」では、トップ層には冗長で、現場層には抽象的という両端のミスマッチが発生します。

階層別カリキュラム設計

• 全社員向け基礎研修: 全員が共通で受講する基本的な内容
• 階層別研修: 役職・職種に応じた追加研修（管理者、開発者、業務担当者など）
• 役員・経営層向け研修: 経営判断と組織責任に関する内容
• 入社時オンボーディング: 新規入社者・配置換え者への初期教育
• インシデント発生時の臨時研修: 重要事案発生後の組織内共有

内容カテゴリ

• セキュリティポリシー・社内規程: 守るべきルールと違反時の影響
• 主要脅威と対策: フィッシング、ランサムウェア、内部不正
• 業務上の安全行動: パスワード管理、SaaS利用、デバイス管理
• 個人情報保護法・関連法令: 法令遵守と組織責任
• インシデント時の報告手順: 不審事象を発見した際の対応

提供形態

• e-learning（オンデマンド型）: 定型コンテンツ、進捗管理が容易
• ライブ研修（オンライン・対面）: インタラクティブな学習、質疑応答
• 訓練（フィッシングシミュレーション等）: 実践的な反応学習
• ハンドブック・ポケットリファレンス: 業務中の参照資料
• ニュースレター・社内ポータル: 継続的な意識喚起

参考：情報セキュリティ10大脅威（IPA）

全社員向け基礎研修の標準カリキュラム

全社員が共通で受講する基礎研修は、組織のセキュリティ基盤を支える土台です。1年に1回、60〜90分程度のボリュームで設計するのが一般的です。

モジュール1: セキュリティの全体像と組織責任（10〜15分）

• なぜ自分の行動がセキュリティに関わるのか
• 一人のミスが組織全体に与える影響
• 自社のセキュリティポリシーの位置づけ
• 違反時の懲戒・法的責任

モジュール2: 主要脅威の理解（15〜20分）

• フィッシング・標的型攻撃の手口と最新動向
• ランサムウェアの感染経路と被害事例
• 内部不正・サプライチェーン攻撃の構図
• 生成AIを活用した新しい攻撃手法

モジュール3: 認証情報の管理（10〜15分）

• パスワードの強度と使い回しのリスク
• パスワードマネージャーの推奨利用
• 多要素認証（MFA）の重要性と設定方法
• 認証情報を扱う際の注意点

認証情報は、流出を防ぐ対策に加えて、流出したときに早く気づいて対処する行動まで教えます。ジョーシスが日経225構成企業とそのグループ企業を対象に行った調査では、96.4%（217社）で過去3年間の情報漏洩が確認されました。さらに74.6%（168社）では、認証基盤やセキュリティ関連、顧客管理アプリなどの認証情報を含む深刻な漏洩が確認されています。流出が疑われるときの報告先とパスワード変更の手順も、研修で具体的に示しておきます。情シス側の調査手順は「認証情報の漏洩を確認する方法」で解説しています。

出典：【ジョーシス独自調査】日経225企業の96%が過去3年で情報漏洩を経験（ジョーシス）

モジュール4: SaaS・クラウドサービスの安全利用（10〜15分）

• 共有設定の意味と影響範囲
• 個人アカウント・私物デバイスでの業務利用の禁止事項
• 外部サービスへのファイル共有時の確認ポイント
• 生成AI（ChatGPT、Copilot等）の利用ルール

生成AIの利用ルールは、入力してよい情報と禁止する情報を具体例で示すと伝わりやすくなります。ルールそのものの作り方は「生成AI利用ポリシーの作り方」を参考にしてください。

モジュール5: 不審事象への対応（10分）

• フィッシングメールの見分け方
• 不審事象を発見した際の報告先
• 報告のタイミング（疑わしい時点での早期報告）
• 報告者を罰しない組織文化の重要性

研修で教える報告の流れは、報告を受けた情シスが取る初動と一致させておきます。検知から再発防止までの流れは「セキュリティインシデント対応手順」で整理しています。

モジュール6: 理解度テスト・振り返り（10〜15分）

• 重要ポイントの確認テスト
• 受講者からの質問・フィードバック
• 次回研修・追加コンテンツの案内

参考：インターネットの安全・安心ハンドブック（国家サイバー統括室）

階層別・職種別の追加研修

基礎研修に加え、業務上のリスクに応じた追加研修を設計します。

管理職向け研修

部下のセキュリティ行動を促す立場の研修内容です。

• 部下のセキュリティ意識を確認・指導する方法
• インシデント発生時の初動判断
• 異動・退職時のアクセス権管理の責任
• 業務委託・契約社員への教育責任

退職者による情報の持ち出しなど、内部不正の手口と管理側の対策は「内部不正対策のIT管理」で詳しく解説しています。

開発者向け研修

セキュアコーディングと開発プロセスの研修内容です。

• セキュアコーディング（OWASP Top 10）
• シークレット管理（APIキー、パスワード、トークン）
• 脆弱性スキャン・コードレビューの実施
• サードパーティライブラリのセキュリティ評価

営業・マーケティング向け研修

外部とのコミュニケーションに関わる研修内容です。

• 顧客情報の取り扱いと個人情報保護法
• 外部送信時の誤送信防止
• マーケティングオートメーションでの個人情報管理
• 取引先からの情報提供依頼への対応

経営層・役員向け研修

組織判断とリスク管理に関する研修内容です。

• 経営課題としてのサイバーセキュリティ
• インシデント発生時の経営判断
• 投資判断とリスクアセスメント
• 取締役の善管注意義務とサイバーリスク

役割に応じて研修の形式を変える

IPAの「プラクティス・ナビ」は、役割に応じたセキュリティ教育の実践例を紹介しています。この例では、人数の少ない経営層・部署長にはグループディスカッション（一部ロールプレイ）を採用しています。理解だけでなく、責任ある対応まで求められる層だからです。受講者の多いスタッフ部門・事業部門には、ベンダーの教材を使ったe-learningと確認テストを採用しています。確認テストの冒頭で自社の状況を補足し、自社の体制との対応を理解しやすくする工夫もしています。全員に同じ形式で教えるのではなく、人数と求める行動に合わせて形式を変えることが要点です。

参考：プラクティス3-2 経営層やスタッフ部門等の役割に応じた、リテラシーにとどまらないセキュリティ教育実践（IPA）

フィッシング訓練の設計と運用

知識テストだけでは、実際の攻撃に対する反応は測れません。フィッシング訓練は、実践的な学習機会として高い効果を発揮します。

訓練の目的

• 攻撃に対する社員の反応を計測する
• クリック率・認証情報入力率の経時変化を追跡する
• 訓練と即時フィードバックで学習効果を高める
• 経営層・関連部署への定量レポートを提供する

訓練の設計ポイント

• 頻度: 月1回〜四半期1回が現実的。年1回では学習効果が限定的
• メールの種類: 業務関連、給与・福利厚生、経営者なりすまし、外部取引先など複数パターン
• 難易度の段階化: 初級（明らかに不自然）→中級（巧妙）→上級（実際の攻撃に近い）
• 即時フィードバック: クリックした社員に学習コンテンツを即座に表示
• 報告窓口の明示: 不審メール報告ボタン・専用窓口を全員に周知

主要な訓練ツール

• KnowBe4 セキュリティ意識向上トレーニング: フィッシングシミュレーションと、35言語以上に対応したトレーニング教材を提供
• Proofpoint セキュリティ意識向上トレーニング: メールセキュリティと統合
• Microsoft Defender for Office 365 Attack Simulation: Microsoft 365に統合
• セキュリオ 標的型攻撃メール訓練（LRM）: 国内のクラウド型サービス。結果を部署・グループ単位で分析できる

効果測定指標

• クリック率: 訓練メール内リンクをクリックした割合
• 認証情報入力率: 偽の認証画面に情報を入力した割合
• 報告率: 不審メールとして報告した割合
• 報告までの時間: 受信から報告までの平均所要時間
• 改善トレンド: 月次・四半期での経時変化

参考：フィッシング対策ガイドライン（フィッシング対策協議会）

効果測定と改善サイクル

教育を「実施しただけ」で終わらせず、効果を測定し改善するサイクルが、組織の防御力を継続的に高めます。

主要な測定指標

• 受講率: 対象者の受講完了率（年次研修・新入社員研修）
• 理解度テスト合格率: 知識習得の指標
• フィッシング訓練クリック率: 行動変容の指標
• 不審事象報告件数: 自発的な報告の活発化
• インシデント発生件数: 教育効果の最終指標
• インシデント発見までの時間: 早期発見の指標

経営層への報告フォーマット

四半期に1度、以下の構成で経営層へ報告します。

• 受講状況サマリー: 部署別・階層別の受講率
• 訓練結果: フィッシング訓練のクリック率推移
• インシデント分析: 期間内の発生件数、原因別分類
• 改善計画: 次期の重点テーマ、追加施策

改善サイクルの運用

四半期ごとに以下を実施します。

• 指標の集計と分析
• 頻発する問題領域の特定
• カリキュラム・教材の見直し
• 経営層・関連部署との合意形成
• 次期計画の立案

特定部署で問題が頻発する場合、追加研修や個別フォローアップを検討します。同じ社員が繰り返しクリックする場合は、上長への共有とマンツーマンでの再教育が必要です。

教育の効果が感じられないときの進め方は、IPAの「プラクティス・ナビ」でも紹介されています。まず結果を分析して部署ごとの理解度や弱い分野を洗い出し、理解度が低い部署・役職・年齢層に追加教育を行うフォローアップの仕組みを作ります。追加の教育はいきなり全社に広げず、IT部門やコンプライアンス部門などの管理部門で試して内容を改善してから展開します。追加教育は現場の負担になるため、中途半端な施策は逆効果になりかねない点にも注意が必要です。

参考：悩み(4) 従業員に対してセキュリティ教育を実施しているが効果が感じられない（IPA プラクティス・ナビ）

無料で使える公的なセキュリティ教育教材

研修の教材を一から作る必要はありません。公的機関が公開している教材を土台にし、自社の規程や報告窓口を補足する形にすると、準備の負担を抑えられます。主な教材は次のとおりです。

IPAの映像コンテンツは、ブラウザで再生して社内研修に使う場合、事前の申請は不要とされています。動画ファイルを入手して使う場合は申込みの手続きがあるため、利用条件を各ページで確認してください。

公的教材は内容が汎用的なため、そのままでは「自社では誰に報告するのか」「どのSaaSの利用が認められているのか」が伝わりません。教材の後に、自社の規程・利用を認めているSaaS・報告窓口をまとめた補足資料を付けると、研修の内容が業務での行動につながりやすくなります。

参考：映像コンテンツ一覧（IPA）

教育運用の負担を抑えるツール活用

社内の人員と工数だけで教育プログラムを継続運用するのは、規模が大きくなるほど困難です。専用ツールやSaaSを活用することで、負担を抑えつつ品質を維持できます。

教育プラットフォーム

• LMS（Learning Management System）: 全社員のe-learning進捗管理
• セキュリティ意識向上プラットフォーム: 教材・訓練を一体提供
• 受講・テスト結果の自動集計、未受講者のリマインド配信

コンテンツプロバイダー

• 業界共通の標準コンテンツを購入・利用
• 自社カスタマイズが必要な部分のみ追加開発
• 定期的なコンテンツアップデート（最新攻撃手法への対応）

コミュニケーションチャネル

• 社内ポータル: 関連情報の集約
• Slack・Teams連携: タイムリーな情報配信
• ニュースレター: 月次・四半期での意識喚起
• ポスター・デジタルサイネージ: オフィス内での視覚的訴求

従業員セキュリティ教育に関連する用語集

記事内で頻出する専門用語を整理します。

• フィッシング: 偽サイト・偽メールで認証情報を窃取する攻撃
• 標的型攻撃: 特定組織・人物を狙ったカスタマイズされた攻撃
• ランサムウェア: ファイル暗号化と身代金要求を行うマルウェア
• LMS: Learning Management System。学習管理システム
• SAT: Security Awareness Training。セキュリティ意識向上研修
• ソーシャルエンジニアリング: 心理を突いて情報を引き出す攻撃手法
• インシデント: セキュリティ事案・事故
• セキュリティポリシー: 組織のセキュリティ方針・規程
• e-learning: オンライン学習
• KPI: Key Performance Indicator。重要業績評価指標
• MFA: 多要素認証
• 善管注意義務: 取締役・管理職に求められる注意義務

Josysを活用したSaaS統合管理

セキュリティ教育の対象範囲は、SaaSの利用ルール・アカウント管理・ライセンス利用にも広がります。教育で伝えたルールを、運用基盤側でも実効性ある形で支えることで、行動変容を促進できます。

Josysは、企業内の認証情報を統合管理するAI駆動のアイデンティティセキュリティ基盤です。ITデバイスとSaaSの統合管理を出発点に、退職者IDの放置やシャドーIT、余剰ライセンスの是正までを支援します。教育と運用の連携の文脈では、以下の機能が役立ちます。

• SaaS利用の把握: SaaS Discoveryが、ログイン・ブラウザ活動からSaaSの利用状況を検出します。教育で禁止したシャドーITの利用を継続して確認できます
• 入退社時のアカウント管理: Access Automationで入退社のライフサイクルを自動化し、連携しているSaaSのアカウント発行・削除の漏れを抑えます
• ライセンス管理: SaaS Insightsの自動ライセンスレビューで不要なライセンスを洗い出し、コスト最適化と利用ルールの徹底につなげます
• アクセス権のレビュー: Access Reviewsで監査対応のアクセス権レビューを行い、教育で伝えたルールと実際の権限のずれを確認できます
• 認証情報の漏洩検知: ダークウェブに流出した認証情報や感染した端末を常時検知し、パスワード変更などの是正につなげます

2021年のサービス開始以来、国内外1,000社以上に導入されています。事例によってはIT工数を最大50%、ITコストを最大75%削減したケースもあります（効果は個社の状況により異なります）。350以上のSaaSと連携でき、教育プログラムと運用基盤を一体的に強化できます。

資料ダウンロード

無料デモ

従業員セキュリティ教育に関するよくある質問

Q1. セキュリティ教育の実施頻度はどの程度が適切ですか

全社員向け基礎研修は年1回が一般的です。階層別研修は新規昇格時、フィッシング訓練は月1〜四半期1回、ニュースレター等の継続情報配信は月次が現実的なラインです。年1回だけでは記憶が薄れるため、年間を通じた多層的な接触機会を設計することが重要です。

Q2. 中小企業でもこのレベルの教育プログラムは必要ですか

必要です。取引先や委託先を経由して本来の標的を狙う「サプライチェーンや委託先を狙った攻撃」は、IPA「情報セキュリティ10大脅威 2026」組織編で2位に挙げられています。自社の規模が小さくても、取引先への入り口として狙われることがあるため、フィッシング訓練と基本研修は欠かせません。社員数が少ない場合、対面研修中心で運用負担を抑える設計が現実的です。

Q3. 受講率が上がりません。どうすれば改善できますか

5つの工夫が有効です。第1に、業務時間内での実施。第2に、コンテンツの短時間化（30〜60分単位への分割）。第3に、上長を巻き込んだフォローアップ。第4に、人事評価との紐づけ。第5に、内容の業務関連性を強調するメッセージングです。

Q4. フィッシング訓練でクリックした社員への対応はどうすべきですか

罰するのではなく、即時の学習機会と捉えます。クリック直後に学習コンテンツを表示し、なぜ気づけなかったかを振り返ります。繰り返しクリックする社員には、個別フォローアップを実施します。罰則的な対応は、不審事象の隠蔽・報告控えを誘発するため避けます。

Q5. 教育予算を増やすために経営層をどう説得すれば良いですか

「インシデント1件あたりの想定被害額」と「教育投資額」を比較するROI議論が効果的です。想定被害額には、調査・復旧・顧客対応にかかる費用、行政処分、取引先の信頼喪失を含めます。自社の売上規模や扱う個人情報の件数で見積もった被害額と並べると、教育投資の必要性を説明しやすくなります。

Q6. セキュリティ研修に無料で使える教材はありますか

あります。IPAの「映像で知る情報セキュリティ」や、国家サイバー統括室の「インターネットの安全・安心ハンドブック」が代表例です。いずれも内容が汎用的なため、自社の規程・利用を認めているSaaS・報告窓口を補足して使うと効果が上がります。詳しくは「無料で使える公的なセキュリティ教育教材」の表を参照してください。

Q7. 新入社員向けのセキュリティ研修では何を教えるべきですか

入社直後は、業務に必要なアカウントを初めて受け取る時期です。パスワードと多要素認証の設定、不審なメールの見分け方と報告先、社外へのファイル共有のルール、生成AIの利用ルールを優先して教えます。入社手続きの中に研修を組み込み、アカウントを発行した週のうちに受講を終える設計にすると、受講漏れを防げます。

まとめ

従業員セキュリティ教育は、技術的対策では防げない人的要因による事故を抑える、組織の防御の最後の砦です。「年1回のe-learning」で済ませるのではなく、階層別カリキュラム、フィッシング訓練、効果測定、改善サイクルを組み合わせた多層的な仕組みとして設計することで、実効性が生まれます。

重要なのは、教育を「やった」で終わらせず、効果を測定し改善し続けることです。受講率、理解度、クリック率、報告件数、インシデント発生件数といった指標で効果を可視化し、四半期ごとに経営層と共有する運用が、教育プログラムを継続的に進化させます。

まずは冒頭の年間計画表を自社の入社時期と繁忙期に合わせて書き換え、進め方の5ステップに沿って1年目の計画を立てるところから始めてください。

教育で伝えたルールを運用基盤で支える仕組みとして、Josysのようなアイデンティティセキュリティ基盤を活用することも有効です。詳細は、下記の資料でご確認いただけます。

資料ダウンロード

無料デモ