従業員教育は、SCS評価制度★3の要求のなかで最も費用をかけずに着手できる領域です。外部研修を契約する必要はなく、IPAの公開教材で実施できます。問われるのは教材の質ではなく、対象者に届いたこと、理解度を確認したこと、未受講者を追跡したことの記録です。対象には委託先要員と経営層も含めてください。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイド教育は最も安く着手できる要求
SCS対応の相談では技術対策に関心が集まりがちですが、着手のしやすさで言えば従業員教育が最上位です。製品購入も設定変更も不要で、進めるのに必要なのは実施と記録だけだからです。
それにもかかわらず未対応のまま残りやすいのは、次の理由です。
- 「毎年やっている」が、いつ・誰に実施したかの記録がない
- 入社時に説明しているが、資料が残っていない
- 実施したが、受けていない人を把握していない
いずれも教育そのものではなく記録の問題です。これから実施するものは記録を残す前提で設計し、過去に実施したものは分かる範囲で書き起こすところから始めてください。
誰を対象にするか
対象は自社のシステムやデータにアクセスする人すべてです。雇用形態では区切りません。
| 対象 | 含めるか | 注意点 |
|---|---|---|
| 正社員 | ○ | ― |
| 契約社員・パート・アルバイト | ○ | 入退社が多く、未受講者が発生しやすい |
| 派遣・常駐の委託先要員 | ○ | 自社アカウントを持つなら対象。委託元での実施状況の確認でも可 |
| 経営層 | ○ | 対象外になっている構成は体制面で指摘を受けやすい |
| 情シス・システム管理者 | ○ | 一般向けとは別に、特権管理の教育を追加する |
実務でよく抜けるのが経営層です。標的型攻撃は権限と決裁権を持つ人物を狙うため、対象から外す合理的な理由がありません。
何を教えるか
内容は網羅性より自社で実際に起こりうることに絞るほうが効果的です。最低限、次の4つを押さえてください。
| テーマ | 伝えること |
|---|---|
| フィッシング・不審メール | 見分け方より「迷ったら報告する」を徹底する。報告先と報告方法を具体的に示す |
| パスワードと多要素認証 | 使い回しの危険、多要素認証の承認要求が身に覚えなく届いたら承認しない |
| 情報の持ち出し・共有 | 私物端末や個人のクラウドへの保存、共有リンクの公開範囲 |
| インシデント時の初動 | おかしいと思ったら止めて報告する。自分で対処しない |
最も重要なのは報告経路を全員が知っていることです。攻撃を見抜く力を全社員に求めるのは現実的ではありません。気づいた人がすぐ報告でき、報告しても責められない状態を作るほうが、被害の抑止に直結します。
頻度と実施方法
- 全社員向けの基礎教育：年1回以上
- 入社時のオンボーディング：着任時に必ず実施し、記録に残す
- 臨時の周知：新たな手口が広まったとき、社内でインシデントが起きたとき
- 管理者向け：特権管理、ログの確認、インシデント初動を別枠で
実施方法は集合研修に限りません。動画の視聴と簡単な確認テスト、朝礼での5分間の周知でも、対象者に届いて記録が残るなら要件上は成立します。全員を一度に集められない場合は、期間を設けて各自受講とし、受講状況を追跡する形が現実的です。
標的型メール訓練
訓練は推奨されますが、目的を取り違えると逆効果になります。開封した人を責める運用にすると、次から報告が上がらなくなるためです。
指標は開封率ではなく報告率と報告までの時間に置いてください。訓練メールを受け取った人のうち何人が、何分以内に報告できたか。これが実際のインシデント時の初動速度に直結します。
- 開封者の氏名を公開しない。集計は部門単位にとどめる
- 報告した人を評価する。報告が早かった部門を共有する
- 訓練後に必ず解説を配る。何が見分けるポイントだったかを示す
費用をかけずに実施する
外部の研修サービスを契約しなくても実施できます。IPAは中小企業向けに、映像教材や資料を無償で公開しています。これを自社の実情に合わせて補足するだけで、教育としては十分に成立します。
Microsoft 365を利用している場合は、攻撃シミュレーション機能を含むプランもあります。ただしまず年1回の基礎教育と記録の仕組みを作るほうが先です。ツールを入れても、対象者管理と記録がなければ要件は満たせません。
関連する公的支援についてはサイバーセキュリティお助け隊サービスもあわせて検討してください。
記録の残し方
次の5点が揃っていれば、自己評価で説明に困りません。
- 実施日と実施方法：集合、動画配信、朝礼など
- 対象者リストと受講者リスト：分母と分子の両方。受講率を出せる状態にする
- 使用した教材：資料そのもの、または保管場所へのリンク
- 理解度の確認結果：簡単な確認テストやアンケートで足りる
- 未受講者へのフォロー記録：誰が未受講で、いつ受講させたか
とくに5番目が差になります。受講率100%である必要はありません。未受講者を把握し、追跡している記録があることのほうが、運用されている証拠として意味を持ちます。
なお、個々の評価基準の文言はIPAが公開する★3の評価基準（81基準）に定義されています。本記事はその文言の解説ではなく、要求を満たすために実務でどう設計するかを整理したものです。申請前には必ず公開されている最新の基準を参照してください。
よくある質問
SCS★3の従業員教育は年に何回実施すればよいですか？
全社員向けの基礎教育は年1回以上が実務上の目安です。加えて、入社時のオンボーディングと、フィッシングなど手口が変化したタイミングでの臨時周知を組み合わせると、形骸化しにくくなります。
教育の対象は正社員だけでよいですか？
自社のシステムやデータにアクセスする人すべてが対象です。契約社員、パート、派遣、常駐の委託先要員、そして経営層も含みます。経営層が対象外になっている構成は、体制面で指摘を受けやすい典型です。
外部の研修サービスを契約する必要がありますか？
必須ではありません。IPAが公開している中小企業向けの資料や動画教材を使えば、費用をかけずに実施できます。重要なのは教材の豪華さではなく、対象者に届き、記録が残っていることです。
標的型メール訓練は実施すべきですか？
実施を推奨します。ただし目的は開封者を責めることではなく、報告経路が機能するかを確かめることです。開封率よりも、不審なメールを受け取った人が何分以内に報告できたかを指標にすると、実効性のある訓練になります。
教育の記録として何を残せばよいですか？
実施日、対象者と受講者の一覧、教材または資料、理解度確認の結果、未受講者へのフォロー記録です。とくに未受講者をどう追跡したかの記録があると、運用されている証拠になります。
まとめ
従業員教育は、SCS評価制度★3のなかで最も安く着手できる要求です。外部研修は必須ではなく、IPAの公開教材で実施できます。
対象は雇用形態で区切らず、委託先要員と経営層まで含めてください。内容は網羅性より「迷ったら報告する」を徹底することを優先し、標的型メール訓練は開封率ではなく報告率と報告までの時間を指標にします。そして、実施日・対象者と受講者・教材・理解度確認・未受講者のフォローの5点を記録として残してください。
自社の現在地を項目単位で確認したい場合は、SCS★3 セルフチェック（無料・登録不要） ↗で26要求事項・81評価基準への適合率を測れます。