情報セキュリティ教育と訓練

要点と定義

IPAシラバスの項目名は「9-1 情報セキュリティの教育・訓練」です。情報セキュリティの意識向上に必要な教育・訓練を理解し、計画の検討や部門への実施支援を行う技能が求められます。IPAシラバス Ver.4.1 PDFの第21頁

教育内容は職務上の役割に合わせ、業務に関係する人を対象にします。正規従業員と同様の業務をする派遣従業員を一律に対象外にするのは適切ではありません。

教育は受講機会を設けて終わりではなく、知識や対応力を身に付けたかを確かめ、結果を計画の改善に生かします。出張などで受講できなかった人には追加の機会を設け、受講記録を分析して次の計画を見直すことができます。

新しい脅威について全員が教育を受けたかを点検する場合、未受講者がいれば要件を満たしません。教育後の確認テストに一度で合格しなかったことだけでは、教育を受けていないとは判断できません。

適用条件と例

共有サービスの設定を誤るおそれがあるなら、利用者が共有範囲や権限に関する用語を正しく理解しているかに着目します。用語の理解不足は、意図しない相手への公開につながる可能性があります。

誤操作を知識不足から防ぐには、実際に手順を確認した人が正確なマニュアルを整え、正しい設定や注意事項を定期的に教育する方法が合います。利用者にマニュアルの修正を任せるだけでは、正確な手順の管理になりません。

訓練の目的に応じて、実際の対応を測れる方法を選びます。模擬メールを間隔を空けて複数回送り、報告完了率や報告までの時間の変化を調べれば、対応の変化を定量的に評価できます。

不審メールの訓練では、受信者がメールを見分けて所定の手順に従うことに加え、問合せ対応者が手順に沿って応対できることも訓練目的になり得ます。

振込先変更の連絡を受けた場合、メールに書かれた連絡先だけに頼らず、既知の正規連絡先へ電話して事実を確認する手順を教育できます。経理担当者には振込詐欺の事例と振込時の注意事項を扱います。

共連れへの対応では、リスクを知らせる掲示や、発見時に個別に注意する方法が対策として挙げられています。認証方式を強化するだけでは、認証済みの人に続いて入る行為への対策にはなりません。

誤りやすい点

参加率や受講記録は実施状況の把握に役立ちますが、それだけで実務上の対応力まで確認できたとは限りません。訓練では、目的に合う観察項目を決め、複数回の結果や変化を評価します。