eラーニングブログ

まずは、企業での情報セキュリティ教育がますます重要視される背景を整理してみましょう。

〈1. サイバー攻撃の増加と脅威の高まり〉

日本国内のサイバー攻撃の件数は増加の一途をたどり、その手口も多様化・巧妙化しています。総務省の「情報通信白書（令和7年版）」によると、NICT（情報通信研究機構）が運用している大規模サイバー攻撃観測網が2024年に観測したサイバー攻撃関連通信数（約6,862億パケット）は、2015年（約632億パケット）と比較して10.86倍にもなっています。

（図説）NICTERにおけるサイバー攻撃関連の通信数の推移

〈2. 甚大な経済的損失のリスク〉

同白書ではサイバーセキュリティに関するトラブルが引き起こす経済的損失について、さまざまな組織の調査・分析の結果もまとめられています。例えば、トレンドマイクロ社が実施した調査をご紹介しましょう。日本では2024年度の調査では、過去３年間でのサイバー攻撃の被害に遭った法人組織の累計被害額の平均は、1億7,100万円で、1年前に比べて約4,600万円増となっています。

（図説）図表Ⅱ-1-10-5　サイバーセキュリティに関する問題が引き起こす経済的損失



サイバーセキュリティに関する問題が引き起こす経済的損失より抜粋して作図

＞ 関連ブログ：サイバー攻撃による情報漏洩を防止するには？従業員教育も重要！

〈3. 法的規制の厳格化〉

2022年4月に全面施行された改正個人情報保護法を代表例に、日本でも情報セキュリティに関する法的要件が厳しくなっています。また、3年ごとに見直しを行うことが規定されており、企業や組織はこれらの法律を遵守するために、情報セキュリティに関する知識についても、アップデートが求められています。

〈4. 企業価値と信頼性の向上〉

情報セキュリティの管理体制が整備されている企業は、顧客や取引先から信頼されやすくなります。つまり、企業は情報セキュリティ教育を通じて、自社の信頼性や企業価値を高めることができます。

〈5. 脅威の進化に対応する必要性〉

情報セキュリティの脅威は日々進化しているため、従業員教育は、定期的に、最新の知見に基づいた内容で実施しなければなりません。教育を通して、適切な対応が図れる人材を育成できます。

このように、情報セキュリティ教育が重要視される背景には複合的な要因がありますが、いずれも企業の存続に関わる重要な要素です。

企業の情報資産を狙う脅威は年々巧妙化・多様化しています。また、外部からのサイバー攻撃以外にも、内部の不正行為や過失、さらにはシステム障害など、リスクは多岐にわたります。この章では代表的な問題の種類を整理します。

● 第三者によるサイバー攻撃

マルウェア、トロイの木馬、ランサムウェア、標的型攻撃、ビジネスメール詐欺、不正アクセス、サプライチェーン攻撃など、第三者からの手口は多岐にわたります。このような攻撃は企業の機密情報を狙い、業務停止や金銭的被害などをもたらす深刻なリスクとなります。

● 内部の過失・不正

誤って機密データを外部に送信したり、USBメモリに保存したまま紛失するなど、従業員のちょっとした過失が大きな情報漏洩につながるケースがあります。さらに、意図的な不正アクセスやデータ改ざんも大きな問題です。

● 関係者の意図的な情報漏洩

退職者や取引先の関係者などが、意図的に情報を持ち出す場合も考えられます。特に外部の関係者が関与する場合、管理が行き届きにくいため、より注意が必要です。

● システム障害

サーバーダウンやネットワーク障害、ソフトウェアの不具合といったシステム障害も、情報セキュリティ上の重大なリスクとなります。これらのトラブルによって業務が停止するだけでなく、復旧作業にかかるコストや取引先への影響も無視できません。

このように、情報セキュリティを脅かす要因は外部・内部を問わず多岐にわたります。また、被害拡大の一因としては従業員の「知識不足」や「認識の甘さ」が挙げられます。 そのため、すべての従業員がセキュリティリスクを理解し、適切な行動を取れるよう社内教育を徹底することが大切です。

情報セキュリティの脅威は、日々、現実に発生しています。企業で発生した場合には、従業員への教育や意識づけが不十分であったために、被害が拡大したケースも少なくありません。ここでは、実際の事例を取り上げ、教育の重要性を考えてみます。

〈Case.1〉金融機関の職員による情報漏洩

国内の信用金庫の職員が、顧客情報を含む業務書類を自宅に持ち帰ったことにより、2,375名分の個人情報が漏洩した可能性が発生。調査の結果、同信用金庫はインシデントの要因として「職員に対するコンプライアンス意識や教育の徹底不足」と「管理者による業務中の管理・監督の不十分さ」を挙げている。

〈Case.2〉教育系企業の個人情報ファイルのメール誤送信

教育系サービスを提供する企業の担当者が、特定の会員約50名に向けてメールを送信する際、誤っておよそ2万3千人分の個人情報が含まれたCSVファイルを、パスワード保護のない状態で添付して送信。漏洩した情報には氏名や連絡先のほか、一部には銀行口座の支店名や名義といった重要な情報も含まれ、顧客や関係者に大きな不安と混乱を与えた。

〈Case.3〉人材サービス会社の顧客情報の閲覧権限ミス

人材サービスを提供する企業のシステムに不備があり、約54万人分の法人顧客情報が閲覧権限のない代理店で閲覧可能になっていたことが判明。代理店に共有する必要のない採用担当者の情報が、6年間にわたり代理店および委託先1,164社から閲覧できる状況が続いていたとされる。

〈Case.4〉自動車ディーラー企業でのUSBメモリ紛失

自動車ディーラー企業の従業員が、業務のために顧客情報をUSBメモリに保存し、社外に持ち出した際に紛失。その後、USBメモリは回収されたものの、パスワード保護の有無は不明であり、回収までの間に情報が流出した可能性も指摘されている。このUSBメモリには、約3,000件分の顧客情報が保存されていた。

これらの事例は、いずれも「システムの脆弱性」だけでなく、従業員一人ひとりの知識不足や認識の甘さが被害拡大の要因となっています。つまり、技術的な対策だけでは不十分であり、従業員への情報セキュリティ教育こそが「対策の要」と言えます。

重要性の高い情報セキュリティ教育ですが、いざ社内で実施しようとすると、さまざまな課題に直面することがあります。多くの企業からお悩みが寄せられる、よくある課題を見ていきましょう。

〈課題.1〉受講者の集中力が続かない

単調な内容や長時間の講義、一方的な講義形式などで、受講者の集中力が途切れてしまうことがあります。また、社内の人間が講師役を務めている場合には、緊張感が欠けてしまうなども考えられます。

〈課題.2〉研修内容がリアリティに乏しい

特に座学での研修では実際のシーンがイメージしにくく、受講者は腹落ちしないまま学習を進めてしまうこともあります。その結果、いざトラブルが起こった際に正しいアクションが取れない可能性があります。

〈課題.3〉最新のトレンドや情報が反映されていない

情報セキュリティの分野では、新たな攻撃手法や対策が継続的に発表されています。このような最新情報を常に教材に反映することは、研修を内製している企業にとって負担が大きく、準備や導入に時間がかかる場合があります。

〈課題.4〉教育効果が感じられない

研修後のフォローアップや復習の機会がない場合、情報セキュリティに関する知識が定着せず、危機意識が薄れてしまうケースが起こり得ます。その結果、教育効果が感じられないという問題が発生しがちです。

〈課題.5〉研修自体が形骸化している

1〜4のような課題をそのままにしておくと、受講者の興味や関心が薄れ、研修が単なるルーティンと化してしまう恐れが出てきます。また、受講者は研修の目的や意義を見出だせず、学習意欲が低下してしまう可能性もあります。

質の高い学習を提供するためには、このような課題を意識し、研修のプログラムや教材内容を継続的に見直す必要があります。

前章で情報セキュリティ教育のよくある課題を挙げましたが、ここでは課題を解決するための具体的な方法を紹介していきます。

〈課題の解決策.1〉メール訓練など、実践を伴うトレーニングを導入する

標的型攻撃やフィッシングメール対策のために、実践的な訓練を行うことは非常に有効です。例えば、メール訓練ではフィッシングメールの疑似体験を通して、不審なメールを見極める訓練を受けることができます。また、標的型攻撃が発生したと仮定し、組織内での対応や通報手順をシミュレーションする訓練も効果的です。
いずれも、リアルなシーンを想定した学習により、現場で活きるスキルの習得につながります。

〈課題の解決策.2〉eラーニングを活用し、柔軟な学習環境を提供する

インターネットを活用した学習方法であるeラーニングは、時間や場所を問わないフレキシブルな学習環境を提供できます。そのため、受講者は都合のよいタイミングで学習に取り組めるので、効率的に知識を吸収できます。
また、eラーニングには動画やクイズなどさまざまな形式があるため、飽きることなく、集中力を維持しやすくなります。さらに、トレンドを押さえた多様なeラーニング教材がリリースされているので、最新の情報を手軽に学ぶことが可能です。

〈課題の解決策.3〉教育効果の測定を行い、フォローアップを図る

研修後は、受講者が学習内容をどれくらい理解したのかを把握するために「効果測定」を行うことをおすすめします。効果測定を通じて、研修の成果や効果を客観的に評価できるので、教育方法や教材の改善にも役立ちます。また、受講者に対する今後のフォローアップにもつなげることができます。
効果測定の方法には、研修内容に関するテストやクイズを実施して理解度を測定したり、研修内容や講師の評価、教材の満足度などをアンケートで回答してもらうなど、さまざまなものがあります。

これらの解決策を取り入れることによって、実践的なスキルの習得やモチベーションアップ、知識の定着など、さまざまなメリットが期待できます。

情報セキュリティ教育の課題の解決策は、学習効果の向上にもつながります。ここでは、前章でご紹介した解決策のほかに、学習効果をより高めるためのポイントをお伝えします。

〈学習効果を高めるポイント.1〉受講者に合わせて研修の実施形式を決める

研修を実施するための形式はさまざまです。受講者の業務状況や学習スタイル、研修の目的などに合わせて形式を柔軟に組み合わせることは有効です。

〈実施形式の例〉
■社内講義
経験豊富な従業員が講師となり社内で研修を行います。自社独自のリアルな情報を提供できるため、受講者は実践的な知識・スキルが身につきます。ただし、講師役が社内の人間なので緊張感を欠かないようにすることがポイントです。

■外部の講師を招く
外部の専門家や識者を招きセミナーや講演を行う形式です。プロである彼らは最新の知識やトレンドに精通しているので、鮮度の高い情報を得ることができます。

■外部の研修に参加する
外部の研修やセミナーに参加することで、受講者は日常から離れた環境下で集中して学習できます。また、他社の取り組みや知識を学ぶ機会も得られます。

■eラーニング
柔軟性と利便性を備えたeラーニングは、受講者のスケジュールや環境に合わせて学習することが可能です。学習の進捗管理や効果測定の実施が容易な点も長所です。

〈学習効果を高めるポイント.2〉カスタマイズできる教材を選ぶ

情報セキュリティの分野では、企業ごと、業界ごとにセキュリティポリシーや業務上求められるノウハウなどが異なります。したがって、自社向けにカスタマイズできる教材を選べば、より実践に即した学習を提供することができます。

〈学習効果を高めるポイント.3〉マニュアル化や情報共有ができる仕組みをつくる

情報セキュリティ教育は、研修を実施するだけではなく、マニュアル化やインシデント事例などの情報共有ができる仕組みをつくることも重要です。情報セキュリティに関する最新情報や対策を共有し、ノウハウを蓄積することで、従業員同士が共通理解を深めることができます。

これらのポイントを実践することによって教育の質が高まり、深い学びが促進されることが期待できます。

頻繁に耳にする情報漏えいや紛失事故のニュース。これらのトラブルは損害賠償などの経済的な損失だけではなく、これまで築いてきた企業の信用やイメージを一瞬にして崩壊させてしまうリスクも孕んでいます。だからこそ、企業にとってセキュリティ強化は不可欠であり、情報セキュリティ教育が重要な意味を持ちます。

今回は、情報セキュリティのさまざまなリスクから、情報セキュリティ教育のよくある課題と解決策、そして、学習効果を高めるポイントを解説してきました。その第一歩として、まずは教育を受ける従業員が意欲的に学習できる環境を提供するのはいかがでしょうか。

そこで、おすすめしたいのがeラーニングを活用した学習です。インターネット環境さえあればどこでも学習できるという利便性に加え、情報セキュリティ関連のさまざまな教材が多く流通している点も魅力です。さらに、運用のしやすさや、コストパフォーマンスのよさなどもメリットと言えます。

ヒューマンサイエンスでも、1教材1カ月からeラーニング研修が受けられる「eトレーニングポータル（オンライン研修）」や、カスタマイズが可能な「eトレーニング教材 原稿販売」など、お客さまのニーズに沿ったeラーニングサービスを提供しています。

ご興味をお持ちの方は、株式会社ヒューマンサイエンスのeラーニングサイトをぜひご参照ください。

＞ eトレーニング/教材販売サービス