茨城県内の支援先にて、新入社員を対象としたISO27001研修を実施しました。

情報セキュリティは、情報システム部門だけが担うものではありません。メールの取り扱い、パスワード管理、書類や端末の保管、入退室管理など、一人ひとりの日常業務が組織全体の情報セキュリティを支えています。

本研修では、ISO27001の附属書Aに示される管理策を題材に、新入社員が「自分の業務で何に注意すべきか」を具体的に理解できるよう、実例を交えながら解説しました。

研修内容

研修は1日で実施し、ISO27001附属書Aで整理されている以下の4つのテーマを中心に解説しました。

1．組織的管理策

組織として情報セキュリティを維持・改善するための方針、責任、手順などに関するテーマです。

主な解説テーマ

• 情報セキュリティ方針と社内ルールの重要性
• 情報資産を管理する目的
• インシデント発生時の報告・連絡の考え方
• 委託先や外部関係者と情報を取り扱う際の留意点

具体例

「不審なメールを受信した場合、自己判断で削除するだけでよいのか」
「業務上の資料を社外へ送付する際、どのような確認が必要か」

といった場面を例に、組織のルールに沿った対応の重要性を説明しました。

2．人的管理策

従業員、派遣社員、委託先など、人に関わる情報セキュリティ上のリスクを管理するためのテーマです。

主な解説テーマ

• 入社時に求められる情報セキュリティ意識
• 守秘義務と情報の適切な取り扱い
• パスワード・アカウント管理
• SNS利用時やテレワーク時の注意点
• 情報セキュリティ教育を継続する重要性

具体例

パスワードの使い回し、画面ののぞき見、業務情報を含む資料の持ち出しなど、日常業務で起こり得るリスクを取り上げました。

3．物理的管理策

施設、執務室、書類、端末、記憶媒体などを物理的に保護するためのテーマです。

主な解説テーマ

• 入退室管理の目的
• 机上・書類の管理
• ノートパソコンや記憶媒体の持ち出し
• 来訪者対応における注意点
• 災害や盗難を想定した情報資産の保護

具体例

「離席時にパソコンをロックしているか」
「印刷した書類を複合機に放置していないか」
「来訪者が執務エリアへ自由に入れる状態になっていないか」

といった、基本的でありながら重要な管理ポイントを解説しました。

4．技術的管理策

情報システムやネットワークを安全に利用するための、技術面のテーマです。

主な解説テーマ

• アクセス権限の適切な設定
• 多要素認証などの本人確認
• マルウェア・フィッシングメールへの対策
• ソフトウェア更新と脆弱性対策
• データのバックアップと安全な保管

具体例

不審な添付ファイルやリンクへの対応、業務に不要なアプリケーションをインストールするリスク、共有フォルダの閲覧権限などを例に、技術的な対策が日常業務と密接に関係していることを説明しました。

研修で重視したポイント

ISO27001附属書Aには多くの管理策があり、すべてを1日で詳細に説明することは現実的ではありません。

そのため本研修では、新入社員が特に理解しておくべき内容と、日常業務で実践する機会が多いテーマを重点的に選定しました。

重視したポイント

• 専門用語をできるだけ分かりやすく説明する
• 新入社員が経験しやすい業務場面を具体例にする
• 「何が危険か」だけでなく、「どのように行動すべきか」を伝える
• 情報セキュリティを自分自身の業務課題として捉えてもらう

研修の進め方

受講者の職種、業務内容、社内ルール、情報セキュリティの成熟度に応じて、研修テーマや具体例を調整します。

提供できる支援内容

ご要望や受講者のレベルに応じて、以下のような研修・支援をご提案します。

• ISO27001・ISMSの基礎研修
• ISO27001附属書Aの解説研修
• 新入社員向け情報セキュリティ研修
• 管理職向け情報セキュリティ研修
• 情報セキュリティ事故・インシデント対応研修
• フィッシングメール、パスワード、SNS利用などのテーマ別研修
• 社内規程・ルールに合わせたオーダーメイド研修
• 研修アンケート、理解度確認、改善提案の実施