セキュリティ教育・訓練とは？

セキュリティ教育・訓練の意味

従業員のセキュリティ意識や知識を高め、日常業務の中で適切な行動を取れるようにするための教育活動全般。技術的な対策だけではフィッシングメールの開封や不用意な情報漏えいなどの人的ミスを防ぎきれないため、定期的な研修、eラーニング、標的型攻撃メール訓練などを組み合わせて実施することが重要とされる。組織のどの階層（新入社員から経営層まで）にも継続的に行う必要がある取り組みである。

セキュリティ教育・訓練の具体例

新入社員研修でパスワード管理のルールやSNS利用時の注意点を教え、年1回全社員向けにフィッシングメールの見分け方の講習を実施する。

セキュリティ教育・訓練は試験でどう引っ掛けられる？

技術的対策（ファイアウォールなど）だけを導入すれば十分と考えがちだが、人的要因による事故は教育・訓練でしか防げない点が試験でも強調される。

セキュリティ教育・訓練と関連する用語

• 標的型攻撃メール訓練
• ソーシャルエンジニアリング
• 情報セキュリティポリシー
• コンプライアンス

セキュリティ教育・訓練が出た過去問

• 社員に対する情報セキュリティ教育の実施に関する記述a～dのうち，適切なものだけを全て挙げたものはどれか。 a 情報セキュリティ違反をした者に対する再教育に当たっ…

  正解：a, b, d

  要点：セキュリティ教育は全従業員対象。事故後にも実施する

  情報セキュリティ教育は全従業員が対象であり、情報システム部門に限定するのは誤りである。新入社員研修に組み込むこと、定期的に実施しつつ事件・事故の発生後にも改めて行うこと、違反者への再教育に再発防止の観点を含めることは、いずれも適切な進め方である。

  出典：平成27年度 秋期 ITパスポート試験 問84（IPA）

• 社内の情報セキュリティ教育に関する記述のうち、適切なものはどれか。

  正解：内容は、社員の担当業務、役割及び責任に応じて変更する。

  要点：セキュリティ教育は役割と責任に応じた内容にする

  情報セキュリティ教育は、受講者の担当業務や役割、責任の重さによって必要な知識が異なるため、内容を対象に合わせて作り分けることが効果的である。管理者には管理責任や統制の視点、一般社員には日常の取り扱いルールといった具合である。また新入社員には着任時から実施し、情報資産に直接触れない社員も含め全員を対象とし、定期的な再教育を行うことが望ましい。

  出典：平成27年度 春期 ITパスポート試験 問63（IPA）

• 情報セキュリティにおけるソーシャルエンジニアリングへの対策の例として、適切なものはどれか。

  正解：従業員のセキュリティ意識を高めるため、セキュリティ教育を行う。

  要点：人の隙を突くソーシャルエンジニアリング対策の要は教育

  ソーシャルエンジニアリングは、技術的な侵入ではなく、人の心理や行動の隙を突いて情報を聞き出す手口である。関係者になりすました電話や、肩越しの盗み見、廃棄物の持ち去りなどが典型例で、機器やソフトでは防ぎきれない。したがって従業員の意識を高める教育が最も有効な対策となる。ウイルス対策、脆弱性診断、自家発電はいずれも技術的・物理的な別の対策である。

  出典：平成28年度 春期 ITパスポート試験 問58（IPA）

• a〜cのうち，PCがウイルスに感染しないようにするための対策として，適切なものだけを全て挙げたものはどれか。 a ソフトウェアに対するセキュリティパッチの適用 …

  正解：a, c

  要点：感染防止は修正プログラムの適用と利用者教育が基本

  ウイルス感染を防ぐには、脆弱性を突かれないよう修正プログラムを速やかに適用することと、不審なメールやファイルを開かないなど利用者の行動を正すための教育が有効である。ストライピングは複数のディスクにデータを分散して書き込み速度を高める技術で、性能向上を狙うものであり、感染防止の効果はない。

  出典：平成30年度 春期 ITパスポート試験 問92（IPA）