社員のセキュリティ教育、何を教える？新入社員向け10のルールと説明の例、頻度、メール訓練、IPAの無料教材

01この記事でわかること（3行まとめ）

• 新入社員に教えるのは10のルールで足ります。6か条とハンドブックのひな形から、入社の日に必要なものを選びました。
• 一番大事なのは「すぐ言う」です。引っかかった本人が報告できなければ、対処が遅れます。
• 教材は無料でそろいます。IPAの約11分のドラマ「3つのかばん」と、1テーマ5分のポイント学習から始められます。

02なぜ入社時に教えるのか：63.6%の会社は教育していない

IPAの2024年度の実態調査では、従業員への情報セキュリティ教育を「特に実施していない」と答えた企業が63.6%でした。IPAは、全社的なセキュリティ意識を高める機会が不足していることを示すと説明しています。

一方、IPAが2026年8月に公表した「企業組織を狙う攻撃メールの手口とその対策」は、不審なメールや攻撃メールは組織内の全ての役職員に届く可能性があり、情報システムやセキュリティの担当者だけでなく全員が手口を知る必要があるとしています。新入社員にも、配属の日からメールは届きます。

IPAのガイドライン第4.0版も、経営陣を含むすべての役職員や社外要員に意識向上の教育を定期的に実施し、記録を保管することを求めています。正社員だけでなく、パートや派遣の人も対象に入れて考えてください。個人情報保護委員会のガイドライン（通則編）も、従業者に個人データの扱いを周知徹底し、適切な教育を行うことを求め、定期的な研修を手法の例に挙げています。

03新入社員向け10のルール（一覧）

「ひな形」はIPAの付録4「情報セキュリティハンドブック（ひな形）」です。番号はひな形の章です。ひな形は従業員に配るためのもので、赤字の部分を自社の決まりに書き換えて使います。10のルールは、その短い入口だと考えてください。古い資料には「情報セキュリティ5か条」とあるものも残っていますが、第4.0版で「バックアップを取ろう！」が加わり6か条になりました。

04そのまま使える説明の例：ルール1〜5

入社の日に、次の言葉をそのまま読み上げても伝わるように書きました。カッコの中は自社の決まりに置き換えてください。

ルール1：パスワードは長く、使い回さない。教えない

説明の例：「パスワードは10文字以上にして、英数字と記号を混ぜてください。名前や誕生日は使いません。個人で使っているサービスと同じものも使いません。よそで漏れたパスワードが会社への入口になるからです。人に教えるのも、付箋に書いて貼るのも禁止です。私たちが電話やメールでパスワードを聞くことはありません。」

IPAの解説編は、英数字記号を含めて10文字以上、名前や誕生日を使わない、使い回さないことを挙げています。多段階認証や多要素認証、パスキーなどが使える場合は利用することも対策例です。覚え方はパスワードの使い回しの記事に、使い分けは用語集の多要素認証に任せます。

ルール2：更新の通知を放置しない

説明の例：「パソコンに更新や再起動の表示が出たら、その日のうちに終わらせてください。やり方が分からなければ（担当者）に聞いてください。スマホを仕事で使う人は、スマホの更新も同じです。」

IPAの解説編は、OSやソフトを古いまま放置すると、問題点を悪用するウイルスに感染する危険があると説明しています。

ルール3：ウイルス対策を自分で切らない。勝手にソフトを入れない

説明の例：「ウイルス対策が入っています。動かないソフトがあっても、自分で止めないで相談してください。便利そうなソフトやブラウザの拡張機能を見つけても、入れる前に（担当者）に聞いてください。画面に『ウイルスに感染しました』『ここに電話』と出ても、電話しないで知らせてください。」

IPAのひな形には、社内標準外ソフトウェアのインストールを禁止する例があります。電話を促す偽の画面はウイルス感染の偽警告の記事を見せるとすぐ伝わります。

ルール4：メールの添付とリンクは、開く前に疑う

説明の例：「知らない人のメールだけでなく、取引先や社内を名乗るメールも偽物のことがあります。急がせる、心当たりがない、ID やパスワードを入れさせる。こんなメールの添付やリンクは開かないでください。迷ったら、開く前に聞いてください。聞くのは全く恥ずかしいことではありません。」

IPAのひな形は、注意すべきメールの特徴を、件名、差出人、本文、添付ファイルに分けて並べています。たとえば、ID やパスワードなどの入力を要求するメール、差出人のアドレスと署名のアドレスが違うメール、実行形式やショートカットのファイルが添付されたメールです。一覧は印刷して渡せます。開いてしまった後の動きは変なメールを開いてしまった記事を案内してください。

ルール5：送る前に宛先を見る。お金と振込先の変更は電話でも確かめる

説明の例：「メールは送る前に宛先をもう一度見てください。社外の複数の人に送るときは BCC を使います。お客様の情報を本文に書きません。そして、振込先が変わったというメールが来たら、メールに返信して確かめず、知っている電話番号にかけて確かめてください。」

IPAのひな形は、複数の外部の人に送るときの BCC、重要な情報を本文に書かないことを例示しています。振込先の話は、経理の人には特に伝えてください。IPAにはビジネスメール詐欺を扱う動画「What’s BEC?」（約12分）もあります。手口はビジネスメール詐欺の記事にまとめました。

05そのまま使える説明の例：ルール6〜10

ルール6：席を立つときは画面をロックする

説明の例：「席を離れるときは、Windows キーと L を同時に押してください。トイレに行くときも同じです。書類やUSBを机に出したまま帰らないでください。」

IPAのひな形は、これをクリアデスク・クリアスクリーンとして挙げています。

ルール7：私物のUSBや機器を使わない。持ち出しは決まりどおりに

説明の例：「私物のUSBメモリを会社のパソコンに挿さないでください。拾ったものやもらったものも同じです。会社のノートパソコンや資料を持ち出すときは（決まり）に従い、電車の網棚に置かない、車に置いたまま離れない、を守ってください。」

IPAの解説編は、出所不明のUSBメモリの接続を感染の経路に挙げています。ひな形にも、網棚に置かない、自動車内に置いたまま車外に出ないという記述があります。

ルール8：会社の情報を個人のメール、クラウド、SNS、生成AIに出さない

説明の例：「仕事のファイルを個人のメールに送らないでください。家で続きをやりたいときも同じです。会社が認めていないクラウドに置かないでください。SNSに仕事の内容や社内の写真を載せないでください。生成AIに、お客様の情報や社外秘を入力しないでください。（使ってよいサービスは〇〇です。）」

IPAのひな形は、業務データを個人のメールアドレスへ送ることや、社用メールを個人のアドレスに転送することを禁止する例を載せています。ガイドライン第4.0版のコラムは、機密性の高い情報や個人情報を生成AIに入力しないこと、生成物は必ず人が確認することを挙げています。IPAの動画「あなたの書き込みは世界中から見られてる」にも、SNSの心得がまとまっています。

ルール9：データは決められた場所に保存する

説明の例：「大事なデータは（共有フォルダの場所）に保存してください。自分のデスクトップだけに置くと、故障したときに戻せません。共有のリンクを作るときは、相手を限定してください。」

IPAのひな形は、重要なデータを指定のサーバーに保存し、バックアップは担当者が取る形を例にしています。6か条は、共有の範囲を限定することも求めています。

ルール10：おかしいと思ったら、すぐ言う。夜でも休日でも

説明の例：「開いてしまった、入力してしまった、なくした、送り間違えた。何かあったら、すぐ（担当者・電話番号）に言ってください。夜でも休日でもかまいません。早く言ってくれた人を責めることはありません。隠されるほうが困ります。」

10の中で一番大事です。IPAのひな形は、発見者は社長またはシステム担当に速やかに連絡し、夜間休日を問わないという例を載せています。解説編も、従業員はセキュリティの懸念を速やかに報告するとしています。連絡先は必ず実際の番号を書いて渡してください。「責めない」は図鑑の提案ですが、口で言うだけでなく、社長が同じ言葉で言うと効きます。

06入社の日に渡すもの：教える側の確認

• 10のルールを書いた1枚の紙、または自社用に直したハンドブック。
• 困ったときの連絡先（名前と電話番号）。
• 使ってよいサービスと、使い方を聞く相手の一覧。
• IPAの動画「3つのかばん」を見る時間。
• 受講の記録を付ける表（下の「記録」の項目）。
• 就業規則や誓約書で、秘密保持の決まりを説明する時間。

個人情報保護委員会のガイドラインは、個人データの秘密保持に関する事項を就業規則等に盛り込むことを手法の例に挙げています。IPAの規程サンプルは、入社時に組織体制と規程を説明する形を例示しています。人事の手続きと一緒にしてしまうと、毎回忘れずに済みます。

07教え方の頻度：入社時と年1回を最低の線に

IPAの付録5「情報セキュリティ関連規程（サンプル）」は、教育の頻度の例を次のように書いています。そのまま社内の決まりの土台にできます。

必須のテーマとしては、メールや Web 閲覧によるウイルス感染の予防、機密区分の定義と取り扱い、事故が起きたときの対応、個人情報の取り扱いの注意が挙がっています。

実際の中小企業の例もあります。IPAの「実例で学ぶサイバーセキュリティリスク事例集」（2026年3月）は、IPAの動画を年1〜2回全社員に見せている会社、標的型攻撃メールの訓練を年1回程度行う会社、社内外の事例を全社に発信している会社を紹介しています。長い研修を1回やるより、短いものを回すほうが小さな会社には合います。全社の方針の立て方は中小企業のセキュリティ対策の記事にあります。IPAの「5分でできる！情報セキュリティ自社診断」にも「従業員に情報セキュリティに関する教育や注意喚起を行っていますか？」という項目があります。教育を始めれば、この項目を自信を持って答えられます。

記録：何を残せばいいか

規程サンプルは、研修の日、名前、内容、形式、講師、対象者、受講者の情報と受講状況、理解度、フォローアップの状況を残す例を示しています。小さな会社なら、表計算の1枚で足ります。取引先に教育の実施を聞かれたときの説明にも使えます。

08メール訓練：対策として何を見るか

1. 目的を1つ決めます。開封率を下げるのか、報告を定着させるのかです。
2. 報告先と報告の書き方を先に決めて、全員に伝えます。
3. 訓練は、報告まで含めて行います。
4. 結果は個人名で責めず、全体の傾向を伝えます。
5. 文面を変えて、また行います。

IPAの「企業組織を狙う攻撃メールの手口とその対策」は、標的型メール訓練を行うときは、不審メール受信の報告を手順に従って行うところまで演習するとしています。報告の書式には、受信日時、送信元、URL リンクや添付ファイルの有無、クリックや開封の有無を入れるよう示しています。

国家サイバー統括室のコラム「攻撃メール訓練の目的や方法を見直すヒント」（2022年9月20日）は、日本シーサート協議会の「メール訓練手引書」を紹介し、マンネリ化している企業も少なくないと指摘しています。訓練の目的の例には、開封率の低下だけでなく、開封後の初動の確認やインシデント通報の定着が挙げられています。開いた人の数だけを見ると、報告しにくい空気を作りかねません。図鑑としては、「開いた人の数」より「報告が来るまでの時間」も見ることを勧めます。

訓練を自分で行うのが難しい会社は、外部のサービスを使えます。図鑑ではメールセキュリティ・訓練、セキュリティ教育・研修の分類で比べられます。研修まで頼みたいときは教育・訓練を頼める会社から探せます。訓練の前には、メールの担当者や保守の会社に知らせておくと、本物の事故と間違えられずに済みます。言葉の意味は用語集のセキュリティ教育を見てください。

09IPAの無料教材：公式で確かめたもの

「映像で知る情報セキュリティ」は、IPA Channel（YouTube）の動画をそのままブラウザで再生して社内研修に使えます。事前申請は不要です。動画ファイルは、社内研修など営利を目的としない用途に限り無償で提供されていて、申込フォームから申し込みます。組織内の eラーニングに組み込むことも問題ないとされています。動画のダウンロードや二次利用は YouTube の利用規約に従ってください。

注意点が2つあります。「3つのかばん」は2014年の公開です。会社には守るべき情報がある、という話の芯を伝える教材として使い、今のクラウドや生成AIの話は10のルールで補ってください。また、ポイント学習の「情報セキュリティ5か条対応コース」や動画「あなたの会社のセキュリティドクター」は5か条の内容です。今の6か条にはバックアップが加わっている、と一言添えてください。

10教える人がいない会社の進め方

時間の目安は、教材の長さをもとにした図鑑の提案です。社長や役員も一緒に受けてください。IPAのガイドラインは経営陣を含めることを求めています。パソコンの設定そのものは教育ではなく会社の仕事です。更新やロックの設定まで本人任せにしないようにしましょう。

11仕事ごとに足す話

10のルールは全員に共通です。仕事によって、狙われやすいものや扱う情報が違うので、配属のときに1つ足してください。次の表は図鑑の提案です。

12理解度を確かめる5問

規程サンプルは、理解度をアンケートなどで残す例を載せています。入社の週の終わりに、次の5問を口頭で聞くだけでも構いません。答えられなかった問いを、もう一度説明します。

1. 変なメールを開いてしまいました。最初に誰へ、どの番号で連絡しますか？
2. 取引先から「振込先が変わりました」とメールが来ました。どうしますか？
3. 家で続きをやりたいとき、ファイルを個人のメールに送ってもいいですか？
4. 席を立つとき、押すキーは何ですか？
5. 駐車場でUSBメモリを拾いました。どうしますか？

答えは順に、自社で決めた連絡先、知っている電話番号で確かめる、送らない、Windows キーと L、挿さずに渡す、です。1問目に番号まで答えられれば、最低限の目的は達しています。IPAのポイント学習の確認テストと組み合わせると、記録も残せます。

13困ったときの相談先

14よくある質問