【情報セキュリティマネジメント】情報セキュリティ教育と訓練、受講率は成果ではない｜計画・役割別・効果測定・標的型メール訓練

「研修の受講率は98％でした」。この数字だけで、教育の目的を達成したと判断できるでしょうか。

情報セキュリティ教育では、実施した量と、理解・判断・報告行動が変わったかを分けて見る必要があります。

この記事では、計画・実施・測定・改善の4段階で、役割別教育、標的型メール訓練、効果測定まで整理します。読み終えると、事例の教育・訓練について「実施した後に何を確認すべきか」を判断できるようになります。

先に結論：計画・実施・測定・改善を一体にする

測定方法は、教育後に考えるのではありません。計画段階で目標と指標を定め、改善後に再び測定できるようにします。

SGシラバス Ver.4.1の技能9-1では、担当者は教育・訓練計画を検討・提案し、組織による部門への教育・訓練を支援する立場として示されています。全ての研修を一人で実施する役割ではありません。

1．教育・訓練・効果測定を区別する

Ver.4.1では「情報セキュリティ啓発」と「情報セキュリティ訓練」が人的セキュリティ対策の用語例に明示され、標的型メールに関する訓練も例示されています。

「不審なメールを開かない」「誤って操作したら報告する」と説明しても、実際に行動できるとは限りません。訓練によって、知識が判断・報告行動へ結び付いているかを確認します。

2．教育計画では対象・時期・内容・評価方法を決める

教育・訓練計画には、例えば次を含めます。

• 教育の目的と達成目標
• 対象者と役割
• 実施時期・頻度
• 教育内容と実施方法
• 担当者と支援部門
• 受講・実施記録
• 理解度と行動の評価方法
• 未受講者・理解不足者への対応
• 結果を反映する方法

「全従業員に年1回実施する」だけでは、業務、権限、脅威の変化や対象者ごとの役割を十分に反映できません。

入社時だけで終わらせない

代表的な実施時期は、入社・着任時、年間計画に基づく定期教育、異動・権限変更時、新システム導入時、規程改定時、新たな脅威や事故が発生したときなどです。

繰り返して伝えることも意識やルールの定着に役立ちます。なお、Ver.4.1では「リカレント教育」は技能10-1「順守指導」で明示されており、コンプライアンス意識を定着させるための繰り返し伝達として位置付けられています。

本記事では人材育成一般へ広げず、情報セキュリティ教育・訓練の計画と評価に焦点を置きます。

共通教育と役割別教育を組み合わせる

全員に必要な基礎教育を行った上で、職務上の判断や権限に応じて内容の深さを変えます。

3．活動量と教育効果を取り違えない

教育を実施した事実と、教育によって成果が生じたことは別です。

配布数、実施回数、受講率は運営管理に必要ですが、それだけで理解や行動の改善を示せません。

複数の指標を組み合わせ、計画時に定めた目標との差と推移を評価します。

4．標的型メール訓練は開封率の先を見る

標的型攻撃メール訓練では、疑似メールを用いて従業員の判断・報告行動を確認します。

主な確認項目は次のとおりです。

• 開封・クリック・添付ファイル実行の割合
• 不審メールとして報告した割合
• 発見から報告までの時間
• 正しい報告先・手順を使ったか
• 誤って操作した後に独断で削除・調査をしなかったか

開封率が低くても、誰も不審メールとして報告しなければ、望ましい行動が十分に定着したとはいえません。

また、開封率だけを単純比較することにも注意します。訓練メールの内容、業務との関連性、見分ける難しさが異なれば結果も変わります。訓練条件を記録し、報告率などと併せて評価します。

標的型攻撃の攻撃手口や見分け方そのものは「標的型攻撃」の記事が正典です。本記事では、訓練の設計・評価・改善を扱います。

結果を教育・手順・技術対策へ戻す

開封やクリックが想定より多かった場合は、個人を一律に非難するのではなく、判断を誤りやすかった点、部署・役割ごとの傾向、報告手順の分かりやすさ、技術対策の改善余地などを分析します。

結果から、教材の改訂、対象者別の再教育、報告手順の簡素化、訓練シナリオの変更、技術対策の強化へつなげます。

訓練結果を懲罰や順位付けだけに使うと、実際の事故で報告をためらわせるおそれがあります。故意や重大な規程違反とは区別しつつ、善意の早期報告を妨げない運用にします。

この「計画→実施→評価→改善」はISMSの継続的な改善にもつながります。ISMS全体のPDCAは「ISMSのPDCAと運用」の記事、教育を人的セキュリティ対策として位置付ける整理は「組織的・人的対策」の記事で扱います。

5．報告しやすい環境も整える

「不審な事象はすぐ報告する」と教えるだけでは、報告しやすい状態になりません。

• 報告先と連絡方法を明確にする
• 夜間・休日の連絡先を用意する
• 原因や影響が不明でも相談できることを周知する
• 報告時に伝える最低限の事項を示す
• 誤って操作した場合も隠さず報告するよう伝える
• 報告後に独断で削除・初期化しないよう周知する
• 通常経路を使いにくい場合の相談先を用意する

インシデント発見後の具体的な初動・エスカレーションは「初動対応とエスカレーション」の記事、内部不正に関する相談・通報窓口は「内部不正防止」の記事で扱います。

6．科目Bでの使われ方

判断のポイントは、活動量を成果として扱わないこと、役割に応じること、報告行動も測ること、測定結果を改善へ戻すことです。

担当者としては、測定結果を記録し、改善が必要な点を整理して次の計画へ反映します。訓練で開封した利用者を個別に責めることを目的とせず、原因を分析して教育・手順・技術対策の改善につなげます。教育内容や実施時期の変更が必要と判断した場合は、独断で決めず、上位者や人事・研修担当部署へ報告して調整します。

よくある取り違え

まとめ

• 教育・訓練は、計画・実施・測定・改善を一体にして管理する
• SGの担当者は、教育・訓練計画を検討・提案し、部門への展開を支援する
• 共通教育と役割別教育を組み合わせる
• 受講率や実施回数と、理解・行動の変化を区別する
• 標的型メール訓練では、開封率だけでなく報告率・報告時間・手順を確認する
• 訓練条件の難しさも考慮して結果を評価する
• 結果を教材、報告手順、訓練、技術対策の改善へ反映する
• 改善後に再測定し、教育・訓練の有効性を確認する

関連記事

• C1-T05：標的型攻撃
• C3-T05：ISMSのPDCAと運用
• C5-T04：組織的・人的対策
• C6-T02：初動対応とエスカレーション
• C7-T08：内部不正防止

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• IPA「組織における標的型攻撃メール訓練は実施目的を明確に」（2017年7月31日公開）
• IPA「悩み(4) 従業員に対してセキュリティ教育を実施しているが効果が感じられない」（2026年4月28日公開・2026年5月14日最終更新）
• NIST SP 800-50 Rev.1「Building a Cybersecurity and Privacy Learning Program」（2024年9月）
• 教育プログラムのライフサイクル、行動変化、効果測定の考え方を参照
• NIST TN 2276「NIST Phish Scale User Guide」（2023年11月）
• 訓練メールの見分ける難しさを考慮して結果を評価する考え方を参照

関連する問題

• 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 一問一答 第21問〜第25問
• 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 択一式（応用） 第21問〜第25問
• 情報セキュリティマネジメント セキュリティ評価・対策・実装技術 択一式（応用） 第16問〜第20問