ITパスポート 2015年 春期 問63

社内の情報セキュリティ教育に関する記述のうち、適切なものはどれか。【ITパスポート 解説】

正解の理由

• 情報セキュリティ教育は「一律の知識」を伝えるだけでなく、受け手の業務や役割に応じた実践的な教育が必要です。たとえば、経理担当者は個人情報や決済データの取り扱い、開発者はソースコードの安全対策、管理職はインシデント対応や権限付与の運用ルールなど、重点が異なります。
• 役割に応じた教育（役割ベースのトレーニング）は、限られた教育時間で最も重要なリスクをカバーするための効率的な方法です。これにより、組織のリスク低減につながります。
• また「責任に応じて変更する」ことにより、権限を持つ者が適切な意思決定を行えるようになります。これがなければ、現場での運用ミスや情報漏えいの原因となりやすいです。

解法ステップ

1. 問題文で「適切なものはどれか」を確認する。キーワードは「教育」の対象・タイミング・内容に関する妥当性。
2. 各選択肢がセキュリティ教育の一般的なベストプラクティス（オンボーディング教育、定期的な再教育、役割に応じた教育、全社員対象の重要性など）と合っているか照らし合わせる。
3. 「担当業務、役割及び責任に応じて変更する」は、実務に沿った合理的な方針なので正しいと判断する。
4. 他の選択肢は限定的すぎる、あるいは危険な前提が含まれるため不正解とする。

選択肢別の誤答解説

• ア: 再教育は、情報システムを入れ替えたときだけ実施する。
  誤り。再教育（リフレッシュ教育）はシステム変更時だけでなく、定期的な実施、法令や脅威の変化、事故発生後などにも必要です。システム入替は一度の契機にはなるが、それだけに限定するのは不十分です。
• イ: 新入社員へは、業務に慣れた後に実施する。
  誤り。新入社員向けの情報セキュリティ教育は入社時（オンボーディング）に行うのが原則です。早期に基本ルールや禁止行為を伝えることで、初期のミスや情報漏えいを防げます。業務に慣れてからでは遅いことが多いです。
• ウ: 対象は、情報資産にアクセスする社員だけにする。
  誤り。アクセスしない社員（受付、清掃、外注スタッフなど）でもソーシャルエンジニアリング（人をだまして情報を引き出す手口）や物理的な持ち出しでリスクを与える可能性があります。全社員・関係者を対象に基本教育を行い、業務に応じて詳細を加えるのが正しい方針です。

よくある誤解

1. 再教育＝システム入れ替え時だけ必要
   → 実際は脅威や法令変更、人的ミスの傾向を踏まえて定期的に行うべきです。事故後のフォローも重要です。
2. 情報に直接触れない人は教育不要
   → 情報漏えいの入り口は多様です。全社的なリスク認識を高めるため、全員に基本教育を実施します。
3. 役割に合わせると面倒だから一律で良い
   → 一律教育は効率は良いかもしれませんが、重要なリスクが残る可能性があります。役割別教育で効果を高めます。

補足コラム

• 教育の種類例
  • 基礎教育（全社員向け）：パスワード管理、持ち出しルール、フィッシング（なりすましメール）対応など。
  • 役割別教育：開発者向けのセキュアコーディング、経理向けの決済データ保護、管理職向けの権限管理とインシデント報告手順。
  • シミュレーション：模擬フィッシングで実際の対応力を測る。効果測定とフィードバックが重要です。
• 実施頻度の目安
  • 新入社員：入社時（必須）
  • 全社員：年1回以上の定期教育＋必要に応じた更新
  • 役割別：ポジション変更時や職務に新たなリスクが生じたとき
• 効果測定の方法
  • 知識テスト、模擬攻撃の成功率、インシデント件数の推移などで評価します。

• ソーシャルエンジニアリング：人の心理を利用して秘密を引き出す攻撃手法。電話やメールでの詐欺を含む。
• 情報資産：企業が価値を置くデータやシステム、文書、設備などの総称。

FAQ