ITパスポート 2015年 秋期 問84

社員に対する情報セキュリティ教育の実施【ITパスポート 解説】

正解の理由

• 情報セキュリティ教育とは、社員が情報を安全に扱うための学びです。初出：情報セキュリティ教育（社員が情報を守るための知識・行動を身につける教育）。
• 違反や事故があれば、ただ罰するだけでなく再教育して「同じ過ちを繰り返さない仕組み（予防）」を設ける必要があります（a）。
• 新入社員は最初に企業のルールと危険を知らないため、入社時に組み込むことが有効です（b）。
• 教育は一回だけで終わらせず、定期的に行うことが重要です。さらに、事件・事故（インシデント：情報を侵害したり運用を妨げる出来事）発生後にも追加で実施して学びを反映します（d）。
• c（対象を情報システム部門に限定）は誤りです。情報資産は全社員が触れるため、対象は全社員が原則です。

解法ステップ

1. 問題のテーマ（社員向けの情報セキュリティ教育）を確認する。
2. 各記述が「誰が対象か」「いつ行うか」「何を含むか」という観点で正しいかを判断する。
3. 情報セキュリティ教育の一般原則（全社員対象、定期的、事後対応、予防の重視）と照らし合わせる。
4. 原則に合致する記述を選び、選択肢の組合せと照合する。

選択肢別の誤答解説

• ア（a, b, d）
  正しい組合せです。上に述べた通り、再教育に予防処置を含めること、入社時研修に組み込むこと、定期＋事故後の実施はいずれも実務の基本です。
• イ（a, c, d）
  a と d は正しいですが、c「対象を情報システム部門に限定する」は誤りです。情報セキュリティは情報を扱う全員の責任であり、全社員を対象にするのが原則です。したがってこの組合せは不適切です。
• ウ（a, d）
  a と d は正しいものの、b（新入社員研修に組み込む）が抜けています。新入社員を対象にしない教育は不十分なため、完全な正解とはいえません。
• エ（b, c）
  b は正しいものの、c が誤りです。情報システム部門だけを対象にする考え方は誤りであり、これだけでは不適切です。

よくある誤解

1. 「情報セキュリティ教育はIT部門だけが受ければよい」
   → 誤りです。経理や営業、受付なども情報を扱います。全社員が対象です。
2. 「一度教育をしたらそれで終わりでよい」
   → 誤りです。脅威は変化しますし、人の注意力も落ちます。定期的な更新と、事件後のフォローが必要です。
3. 「違反者にはまず罰則だけ」
   → 罰則も必要な場合がありますが、再発防止のためには原因分析と予防策（再教育、手順改善、仕組みの変更）が重要です。

補足コラム

• インシデント（incident）：業務に支障や情報漏えいなどの問題を起こす出来事。発生後の教育で重要なのは「何が起きたか」を共有し、「なぜ起きたか」を追究して対策を立てることです。
• 教育の具体例：パスワード管理、フィッシングメール（だまされて情報を出してしまう手口）対策、端末の持ち出しルール、外部記憶媒体の取り扱いなど。実際の業務に近い演習（疑似メールを使った訓練など）を取り入れると効果が高まります。
• KPI（Key Performance Indicator：重要業績評価指標）を設定して教育効果を測ることも役立ちます。例：研修後の理解度テスト、フィッシングのクリック率低下など。

FAQ