コラム

「対策のソフトは導入しているものの、それで足りているのかどうか判断できない」「社員へ注意喚起のメールを流してはいるが、読まれている手応えがない」。情報システムを兼任で担当している方から、こうした声が挙がります。

サイバーセキュリティは、通信網や機器を経由した攻撃から、会社の情報と業務を守る取り組みの総称です。専門の製品を導入すれば終わる話ではありません。攻撃の入口になるのは機器の欠陥だけでなく、社員が日常業務のなかで下している小さな判断です。見覚えのない差出人からの添付ファイルを開くかどうか、社外で資料を扱うときにどの経路を使うか。判断の基準が示されていない会社では、社員はそれぞれの解釈で処理し、対応が部署ごとにばらつきます。

本記事では、サイバーセキュリティの定義と情報セキュリティとの違いから、社員が関わる脅威、教育内容の組み立て方、社内で進める手順までを整理します。あわせて、注意喚起を続けても行動が変わらない会社で何が不足しているのかを、仕組みの側から分解して説明します。

サイバーセキュリティとは、通信網を経由した攻撃から情報と業務を守る取り組み

サイバーセキュリティとは、インターネットをはじめとする通信網とつながった機器や、そこで扱われる情報を、外部からの攻撃や内部の不注意による流出から守る取り組みを指します。国の法律にも同じ趣旨の考え方が定められており、行政や事業者が備えるべき対象として扱われてきました。

 

通信網につながった機器と、そこで作成・保存・送信される情報を、外部からの攻撃や内部の誤った取り扱いによる流出・改ざん・停止から守る取り組み。技術的な仕組みの整備と、社員の行動を定めた運用の両方を含む。

言葉の定義そのものは難しくありません。ところが実際の職場では、担当者が想定している範囲と、社員が受け取る範囲がずれています。担当者は認証の強化や修正プログラムの適用まで含めて考えているのに対し、社員の側は「怪しいメールを開かないこと」だけを指していると受け取っている場合が少なくありません。

守る対象は機器ではなく、機器の先にある事業活動

守るべきものを機器や情報そのものと考えると、対策の優先順位がつきません。会計の仕組みも、社内の連絡用の道具も、等しく守る対象に見えてしまうためです。

実務では、その情報や仕組みが止まったときに事業がどうなるかで優先順位を決めます。受注のデータが失われれば出荷が止まり、取引先への納品が遅れる。設計の図面が流出すれば、競合に内容が渡るだけでなく、預けてくれた取引先との関係が損なわれる。守る対象を「止まると何が起きるか」で並べ直すと、限られた費用と人手をどこに向けるべきかが決まります。

攻撃を防ぐことだけでなく、起きた後に元へ戻すことまで含む

サイバーセキュリティを「攻撃を防ぐこと」と理解している方は多いのですが、実際にはもう一段広い範囲を指します。攻撃をすべて防ぎきる前提は現実的ではないため、侵入されたあとに気づけるか、被害の範囲を限定できるか、業務をどれだけ早く再開できるかまでが対象に入ります。

防ぐ・気づく・戻すの3つのうち、中小企業で手薄になりやすいのは「気づく」と「戻す」のほうです。防ぐための製品は購入すれば揃いますが、気づく仕組みと戻す手順は、自社の業務に合わせて決めておく必要があります。

情報セキュリティとの違いは、守る範囲と想定する相手にある

社内で対策を説明するとき、サイバーセキュリティと情報セキュリティ、個人情報の保護が混ざって使われる場面があります。3つは重なる部分を持ちながら、守る範囲と想定する相手が異なります。違いを並べて整理しました。

表のうち、社員教育で扱いを分けたい行は「社員に求められること」です。サイバーセキュリティの領域で社員に求められるのは、専門知識ではなく、確かめる手順を踏むことと、決められた経路から外れないことの2点に集約されます。攻撃の手口を細かく教えても、確かめる相手が決まっていなければ、社員はその場で自分の勘に頼るほかありません。

用語の線引きより、自社で誰が何を守るのかを決めるほうが先

用語の違いを社内で厳密に説明しようとすると、それだけで研修の時間が終わってしまいます。実務で必要なのは、どの情報を、誰が、どの手続きで扱うのかを決めることです。

紙の契約書は総務が施錠して保管し、電子化した契約書は指定の保管場所に置き、持ち出すときは申請する。ここまで決めておけば、それがサイバーセキュリティの話なのか情報セキュリティの話なのかを社員が判別する必要はありません。分類の議論に時間を使うより、行動の手順を先に固めるほうが現場は動きやすくなります。

中小企業が標的になる理由は、規模ではなく取引のつながり

「うちのような規模の会社が狙われるはずがない」という受け止めは、いまも社内でよく聞かれます。この前提は、攻撃側が会社の規模を選んで攻撃していた時期のものです。

取引先を経由した侵入という考え方

大企業の対策が強固になるほど、攻撃側は正面から侵入するのではなく、つながりのある会社を経由する経路を探します。部品を納めている会社、設計を請け負っている会社、システムの保守で相手の環境に接続している会社。いずれも、大企業の内部へ入るための通り道として見られます。

この構図で怖いのは、自社の被害だけでは終わらない点です。自社を経由して取引先に被害が及べば、賠償の問題に加えて、その取引先との関係そのものが続きません。大手との取引がある会社ほど、規模と関係なく対策を求められる背景がここにあります。

取引先の連絡先や従業員の給与情報は、攻撃側から見れば価値がある

「うちには盗まれて困る情報がない」という認識も、実態と合いません。取引先の担当者名と連絡先、見積の金額、従業員の給与や口座の情報。どの会社にもあるこれらは、攻撃側から見れば十分な価値を持ちます。

加えて、近年の攻撃は情報を盗むだけでなく、業務を止める形を取るものへ変わってきました。保存しているファイルを使えない状態にされ、元に戻すことと引き換えに金銭を要求される手口では、情報の価値ではなく業務が止まることそのものが弱みです。受注も出荷も請求もできない日が続けば、規模の小さい会社ほど資金繰りに直結します。

働く場所と使う端末が増え、社内と社外の境目が薄れた

在宅勤務や外出先での作業が定着し、業務の情報が社内の建物の外に出る機会が増えました。自宅の通信環境、私物の携帯電話、共有のために使う外部のサービス。それぞれが業務の一部を担っています。

建物の入口で守る発想では、この状況に対応できません。どの端末から、どの経路で、どの情報にたどり着けるのかを整理し直す作業が必要になりました。整理を進めると、退職した社員のアカウントが残っていた、試しに使い始めたサービスに業務の資料が置かれたままだった、といった事実が見つかる会社もあります。

関連記事：DX推進とは何か？進まない原因を組織の仕組みから見直す進め方

社員が遭遇する主な脅威と、その場で取るべき行動

社員に伝えるべき内容は、攻撃の名称や仕組みの解説ではありません。業務中のどの場面で遭遇し、そのときどう動くのかです。代表的なものを場面と行動の形で整理します。

偽のメールは「見分ける」より「確かめる」ほうが確実

研修では、差出人のつづりの違いや文面の不自然さを見分ける方法が紹介されます。ただし、業務連絡を装う手口は年々自然な日本語になっており、見分ける力に頼る方式には限界があります。取引先とのやりとりを盗み見たうえで、実際の案件の続きを装う連絡も現れました。

そのため、社員に求める行動は「見分ける」ではなく「確かめる」に置き換えるほうが確実です。パスワードの入力を求められたとき、振込先の変更を伝えられたときは、届いた連絡に書かれている電話番号ではなく、名刺や過去のやりとりに残っている連絡先へかけ直す。手順として決めておけば、判断力の差に左右されません。

持ち出しと私物の利用は、禁止するだけでは減らない

記録媒体の持ち出しや私物の端末での作業を規程で禁止している会社は多いものの、実際には使われている場面が残ります。禁止だけを伝え、代わりの手段を示していないためです。

外出先で資料を確認したい、容量の大きいファイルを取引先に渡したいという業務上の必要は消えません。許可された手段が用意されていなければ、社員は目の前の仕事を進めるために自分で方法を見つけます。規程を守らせたいときは、禁止する行動と同じ数だけ、代わりに使ってよい手段を用意してください。

関連記事：生成AI活用とは？企業で定着しない原因と社内に広げる進め方

社員教育の内容は、役割ごとに分けて組み立てる

全社員を集めて同じ内容を一度に伝える形式は、準備の手間が少ない反面、誰にとっても自分の話に聞こえにくくなります。役割によって、求められる行動が異なるためです。

全社員に必要なのは、脅威の知識ではなく通報の基準

全社員向けの内容を設計するとき、攻撃の種類を網羅して伝えたくなります。しかし受講した社員が翌日から変えられる行動は、そう多くありません。

優先して伝えるべきは、どういう状態になったら報告するのかという基準です。「怪しいと思ったら報告してください」では、怪しいかどうかの判断が本人に委ねられたままです。添付ファイルを開いた後で違和感を持った、心当たりのない画面が出た、端末が手元にない。事実として起きたことを基準に示すと、判断の迷いが減ります。

管理職には、報告を受けた後の判断こそが要る

管理職に必要なのは、部下と同じ内容の知識ではありません。報告が上がってきた場面で、自分の判断を挟まずに担当部門へつなげるかどうかで、被害が止まる範囲が変わります。

「大したことではなさそうだから様子を見よう」という判断が一度入るだけで、担当部門が動き出すまでの時間が延びます。攻撃側は侵入した端末から社内の別の機器へ広げていくため、その時間の差が被害の範囲を左右します。管理職研修では、報告を受けたときにその場で何をするのかを、実際の場面を想定して練習してください。

経営層が決めるのは、業務を止める権限と費用の枠

事故の初動でしばしば止まるのは、業務を停止させる判断です。出荷や受注に影響が出ると分かっている状況で、現場の担当者や情報システムの担当者だけでは決められません。

どの範囲までなら現場の判断で止めてよいのか、どこからは経営層の判断を仰ぐのかを、平時のうちに決めておいてください。判断の権限があいまいなまま事故が起きると、誰も止められないまま被害が広がります。

注意喚起が行動に変わらない原因は、社員の意識ではなく仕組みの側にある

注意喚起のメールを繰り返し流しても行動が変わらないとき、原因を社員の意識の低さに求める議論をよく耳にします。ただ、行動が変わらない会社には、仕組みの側に共通する不足が見られます。意識を高める前に、次の点を確認してください。

報告した人が責められる運用になっている

行動が変わらない会社で、まず確認したいのがこの点です。偽のメールの添付ファイルを開いてしまった社員が、報告した場で叱責される。あるいは、始末書の提出を求められる。一度そうした対応が行われると、次からは黙っておこうという判断が働きます。

報告が遅れた時間は、そのまま攻撃が社内の別の端末へ広がる時間になりかねません。報告した社員を責める運用は、表に出てくる件数を減らす代わりに、会社が異変に気づくまでの時間を延ばします。開いてしまったこと自体を評価に含めない方針を明示し、実際にそのとおり運用した実績が続いて初めて、社員は当日中に報告するようになります。

規程が実際の業務量に合っていない

持ち出しのたびに紙の申請書を回す、共有のたびに上長の承認を得る。守るべき規程が現場の作業量に対して重すぎると、規程を守ると仕事が終わらない状態が生まれます。

この状態が続くと、社員は規程を守らない方法を工夫し始めます。私物の端末に資料を送っておく、承認の要らない外部のサービスを使う。会社側からは見えない経路で業務が回り、事故が起きたときに何が流出したのかを追えなくなります。規程を作った後は、その手続きに毎回どれだけの時間がかかるのかを実際に測り、業務量に見合っているかを確認してください。

教育の時期が入社時の一度きりになっている

入社時の研修で一度説明したきり、以降は年度末に資料を配るだけという運用も見られます。攻撃の手口は変わり続けるため、入社時の内容は数年で実態と離れます。

加えて、人は使わない知識を保持し続けられません。年に一度でも、実際の場面を想定した確認の機会を設けておくと、報告先や確かめる手順を思い出せる状態が保たれます。時期を決めずに「必要なときに実施する」としている会社では、忙しさを理由に翌年へ繰り越されがちです。

情報システムの担当が兼任で、判断が滞る

中小企業では、総務や経理の担当者が情報システムを兼任している場合が多くあります。日常の問い合わせ対応に追われ、規程の見直しや記録の確認までは手が回りません。

兼任そのものが悪いわけではありません。問題は、その担当者が本来の業務と並行して判断を求められる構造にあります。事故の発生時に誰が指揮を執るのか、判断に必要な情報を誰が集めるのかを事前に決めておかないと、担当者一人に負荷が集中し、対応の開始が遅れます。外部の専門家へ相談する先を平時のうちに決めておく方法も、現実的な選択肢の一つでしょう。

社内で進めるときは、対象の絞り込み・行動の明文化・訓練・見直しの順で組む

1. 守る対象を絞り、優先順位をつける

すべてを同じ強度で守ろうとすると、費用も人手も足りなくなります。最初にやるのは、止まったときに事業への影響が大きいものを数点まで絞る作業です。

受注と出荷にかかわる仕組み、取引先の情報、従業員の個人情報。自社にとっての上位を決めておくと、その後の判断が速くなります。絞り込みの過程で、どの情報がどこに保存されているのかを誰も把握していない、という事実が見つかることもあります。

2. 迷ったときの行動を一枚の紙にまとめる

規程の文書は必要ですが、事故の場面で読み返される分量ではありません。社員が迷ったときに見るための、短い手順を別に用意してください。

載せる内容は、報告する先の電話番号、報告すべき状態の例、報告するまでに端末をどうするかの3点で足ります。全員の手元に置き、席から手を伸ばせば見える場所に貼っておく。事故の場面で探し始めなくてよい状態を作ることが目的です。

3. 訓練は、模擬のメールを送って終わりにしない

訓練として業務連絡を装った模擬のメールを社内に送る方法があります。開封した社員の数を測ること自体は有効ですが、それだけで終えると、社員に残るのは開いてしまったという後ろめたさだけです。

訓練の目的は、開封率を下げることではなく、開いてしまった後の行動を身につけることにあります。開いた社員がその場で報告できたか、報告を受けた管理職が当日中に担当部門へつないだか。測る対象をそこへ移すと、訓練が実際の対応力に結びつきます。

4. 半年ごとに、実際に起きた出来事から見直す

見直しの材料は、社外の情報だけではありません。自社で実際に届いた不審な連絡、報告が遅れた場面、規程が守られなかった業務。これらは自社の弱い箇所をそのまま示しています。

半年に一度、直近の出来事を持ち寄って手順を直す場を設けてください。手順が現場の実態から離れていく速度は、想像より速いものです。

事故が起きた後の被害の大きさは、報告の速さで変わる

どれだけ備えても、事故の可能性をゼロにはできません。被害の大きさを左右するのは、気づいてから対応を始めるまでの時間です。

最初の連絡先を一つに決める

連絡先が複数あると、社員はどこへ言うべきか迷い、迷った末に上司へ相談してから決めようとします。その間に時間が過ぎます。

受付の窓口は一つに絞ってください。担当者が不在の時間帯にどうするかまで決めておけば、夜間や休日に気づいた社員も動けます。

端末を止める判断を、現場だけに委ねない

不正なプログラムに気づいたとき、端末を通信から切り離す判断が要ります。ただし、その端末が生産や受注に直結している場合、現場の担当者は止める決断を下しにくいものです。

どの端末なら現場の判断で止めてよいのか、どの端末は上位の判断を仰ぐのかを、あらかじめ区分しておいてください。判断の基準がない状態では、止めるべき場面で止められず、被害が社内に広がります。

取引先への連絡は、確認できた事実と対応の予定を分けて伝える

取引先への連絡が遅れる理由の一つは、全容が分かるまで伝えられないという考え方です。調査に時間がかかるほど連絡は遅れ、取引先が別の経路で先に事実を知る場合もあります。

連絡の際は、現時点で確認できている事実と、これから調べる予定、相手に取ってほしい対応を分けて伝えます。分かっていないことを分かっていないと伝える形のほうが、後から訂正する場合よりも信頼を保てます。

サイバーセキュリティについてよくいただく質問

社員向けの教育はどのくらいの頻度で実施すべきでしょうか

年に一度は全社員を対象とした確認の機会を設け、加えて手口や社内の規程が変わったときに短い周知を行う形が現実的でしょう。一度に長時間を取るより、短い時間で繰り返すほうが行動として残ります。新入社員と、業務や部署が変わった社員には、その時点で改めて説明する機会を用意してください。

訓練で模擬のメールを開いてしまった社員に、注意や指導は必要でしょうか

個人を特定して注意する運用は避けてください。訓練で叱られた経験は、実際の事故の場面で報告をためらわせる理由になります。集計は部署単位にとどめ、開いた後に報告できたかどうかを評価の対象にする方式へ切り替えると、本来求めている行動が育ちます。

専任の担当者がいない場合、誰が中心になって進めればよいですか

専任者を置けない会社では、総務や経営企画の担当者が窓口を担う形が多く見られます。重要なのは、担当者に判断の権限が与えられているかどうかです。業務を止める判断や費用の支出をともなう場面では経営層の関与が要るため、担当者と経営層の連絡経路を先に決めておいてください。

在宅勤務が中心の社員には、何を伝えればよいですか

自宅の通信環境の設定、家族と共用する端末を業務に使わないこと、画面に業務の情報を表示したまま席を離れないことの3点が中心になるでしょう。加えて、社内にいれば隣の席の同僚に確認できた「この連絡は本物か」という相談が、在宅では起こりにくくなります。気軽に確認できる連絡手段を用意しておくと、判断の迷いが減ります。

経営層の理解が得られず、費用の承認が下りません

製品の性能や技術の説明では、判断材料になりません。業務が止まった場合に、どの取引先への納品がいつ遅れ、どのくらいの期間で復旧できるのかという形で示すと、経営の判断材料に変わります。自社の主要な取引先から対策状況の確認を求められている場合は、その事実も併せて伝えてください。

サイバーセキュリティを社内に定着させるには、判断を練習する場が要る

ここまで見てきたとおり、サイバーセキュリティが機能するかどうかは、製品の性能だけでなく、社員が迷った場面でどう動くかに大きく左右されます。仕組みの整備は情報システムの担当者で進められますが、迷ったときの行動のほうは、資料を配るだけでは身につきません。

実際に判断を迫られる場面を想定し、自分ならどうするかを考え、他の社員の判断と見比べる。その繰り返しがあって初めて、事故の場面で手が動きます。練習の機会を用意していない会社では、注意喚起の回数を増やしても、報告までの時間が縮まらないまま推移します。

Beスタッフィングの研修は、貴社の状況に合わせて設計します

株式会社Beスタッフィングは、愛知・名古屋を拠点に、東海3県を中心として企業研修と人事コンサルティングを提供しています。2013年の設立以来、延べ7万人・年間約500回の研修実績を持つ企業です。

特徴は、既製のプログラムを販売するのではなく、ヒアリングによって課題を明らかにしたうえで、企業ごとにプログラムをオーダーメイドで組み立てる点にあります。同じ「社員のセキュリティ教育」というご相談でも、必要な内容は一様ではありません。規程は整っているが行動が伴っていないのか、報告が上がってこないのか、管理職の初動に課題があるのかによって、組み立てる中身が変わってまいります。課題を明らかにしてから内容を決める進め方を「課題顕在化メソッド」と呼び、ヒアリングから課題の発見、レジュメの作成、貴社向けの調整という手順で設計しております。

新入社員研修から管理職研修までの階層別の研修に加え、メンタルヘルス研修やハラスメント研修、コンプライアンス研修、AIなど様々なテーマにも対応してまいりました。従業員支援プログラム（EAP）や人事コンサルティングと組み合わせたご相談も承ります。

まずは現状をお聞かせください

社員の行動が変わらない理由は、会社によって異なります。規程の作り方に原因がある場合もあれば、報告しにくい雰囲気が残っている場合もあり、対処の順序を誤ると時間と費用を費やしても状況が変わりません。

「注意喚起は続けているが手応えがない」「取引先から対策状況の確認を求められて困っている」といった段階でも構いません。現状を伺ったうえで、どこから着手すべきかを整理してご提案いたします。お問い合わせフォームから、いまお困りの状況をそのままお送りください。研修の内容は企業研修のページでもご覧いただけます。