セキュリティ教育の計画が、毎年同じ時期に同じ内容を繰り返す形になっていませんか。テーマを何にするか決めにくい、工場や店舗の勤務者に教育が届かない、受講率以外の評価方法が分からない。こうした状態のまま次年度の計画を作ると、実施した記録は残っても、実際の場面で社員が確認・報告できるようにはなりません。
本資料は、自社のリスクから重点テーマを選び、「誰に・何を・いつ・どの方法で・何を目標に実施し、どう評価するか」を月ごとに書き出すための実践ガイドです。全社員向けの12か月の実施例、四半期ごとの進め方、教育ツール選定時に確認したい脅威情報の反映体制、そのまま使える年間計画・実施評価・四半期レビューのシートまでを収録しました。
米国NIST、英国NCSCおよび英国政府、イスラエルINCDが公開する資料の原文を確認し、公的資料が述べている内容と、それを日本企業の教育計画に当てはめた編集部の提案、編集部が作成したモデル例を区別して掲載しています。前年踏襲の計画を見直し、業務とリスクに合った年間計画を作る際にお役立てください。
この資料で分かること（箇条書き10項目）
- 年間計画を見直すときに確認したい5つのポイント（前年踏襲、対象リスク、方法の偏り、受講率偏重、改善の反映）
- 自社の業務・社内事故・外部事例・業務の変更から重点テーマを選ぶ手順と記入例
- 「注意する」で終わらせず、確認・中断・相談・報告の行動で教育目標を書く方法
- オンライン（eラーニング、ライブ配信）と対面（朝礼、職場研修、掲示物）の向き・不向きと、勤務環境別の選び方
- 全社員向けの12か月の実施例（1月から12月まで、時期性・テーマ・オンラインとオフラインの実施例）
- 四半期ごとの実施方法（月別の目標行動、準備するもの、時間の目安、実施後の確認）
- 訓練を安全に設計するための注意点（模擬データの使用、不安をあおる設定の回避、非懲罰の運用）
- 実施・理解判断・行動・組織対応の4つに分けた効果測定と、分母・起点終点・難易度をそろえる測定条件
- 教育ツールを選ぶときに確認する脅威データベースとSOC、提供企業への質問6観点
- 年間計画テンプレート、実施・評価シート、四半期レビューおよび経営報告シート（記入例付き）
このような方におすすめ
- 従業員600〜3,000名規模の企業で、セキュリティ教育を企画・運営している情報システム部門の方
- 次年度のセキュリティ教育計画をこれから作る、または見直す予定のセキュリティ担当者の方
- 毎年同じ内容の教育を繰り返しており、テーマの決め方に迷っている方
- 工場・店舗・現場・交代勤務など、eラーニングが届きにくい職場を抱えている方
- 受講率は報告できるが、その先の評価方法を経営層に説明しにくいと感じている方
- 不審メールの報告を増やしたい、報告後の対応を速くしたいと考えている方
- 標的型攻撃メール訓練やセキュリティ教育ツールの導入・見直しを検討している方
- 部署別・管理職向けの教育をどこまで上乗せするか整理したい方
- 教育の実施状況と結果を、四半期ごとに経営層へ報告する立場の方
- 海外の公的資料の考え方を、日本企業の教育計画に落とし込みたい人事・教育担当の方
資料の構成（必要に応じて掲載）
- 第1章 年間計画の全体像と見直しの視点（P2〜4）
- 第2章 重点テーマの選び方と行動で書く目標（P5〜7）
- 第3章 オンライン・対面教育の使い分け（P8）
- 第4章 全社員向け年間計画 12か月と運用上の注意（P9〜11）
- 第5章 四半期ごとの実施方法（P12〜15）
- 第6章 効果測定と運営体制、年度途中の見直し（P16〜19）
- 第7章 教育ツール選定で確認する脅威情報の反映体制（P20〜21）
- 第8章 部署・役職別の追加教育（P22〜23）
- 付録 年間計画テンプレート／実施・評価シート／四半期レビュー・経営報告（P24〜26）
- 出典・参考資料、ご相談案内（P27〜29）