|
セキュリティを組織に根付かせる教育
現在、ISMSの認証取得事業者数は2,199社（平成19年6月8日現在）、プライバシーマークの認定事業者数は7,712社（平成19年6月12日現在）となっています。
毎年これらの事業者は、ISMSや個人情報保護に関する教育を従業者に実施することが義務付けられており、その内容については、各企業なりの工夫が見られます。しかし、最初の教育テーマとしては、「ISMSとは何か」、「個人情報保護とは何か」といった、基本的な知識の取得および自社のセキュリティルールの周知などが主なものになると思います。
これらは、セキュリティ教育の第一段階ですからこのレベルの成熟度に満足せず、さらなるセキュリティ意識の向上、セキュリティ文化の醸成につながるようにテーマを工夫し、セキュリティの教育を実施していくことが大切です。今回は、セキュリティを組織に根付かせるその教育について考えてみましょう。
◆全従業員を意識したカリキュラムを作る
企業が、社員に対して参加を義務付けて実施する教育としては、入社時の「新人研修」、昇進昇格時の「昇進昇格研修」、管理職への「管理職研修」、それから「人権啓発研修」などが一般的です。セキュリティ教育については、個別に実施するというのは現実的ではありませんので、これらの教育コースに組み込んで実施するのがよいでしょう。
しかし、ISMSや個人情報保護の教育は、社員だけが対象ではありませんから、社員以外の役員、派遣社員、パート、アルバイトなどを対象とした教育カリキュラムが必要となります。下記の表は、その点を考慮して設定された「セキュリティ教育コース例」です。自社で実施している教育と比較し、ご活用ください。
●教育コース一覧（例） ＊従業者：社員、派遣社員、パート、アルバイト
◆各教育コースの実施上の補足
� 屮札�ュリティ基礎知識」
これは新入社の従業者を対象としたもので、上記第一段階のセキュリティ教育に相当し、セキュリティの基本的な知識の取得および自社のセキュリティルールの周知などが主なねらいになります。
�◆嵬簑蟆魴茱院璽好好織妊�」
主任などの実務のリーダークラスを対象とし、他社のセキュリティ事故の記事を読んで、自社のセキュリティポリシーのどこを遵守していれば同じような事故を防ぐことができるのかを考えます。そして、もし、現状のセキュリティポリシーの遵守では防止し切れない場合には、セキュリティポリシーをどのように改定すればよいかなどについてもディスカッションします。
自社のセキュリティポリシーとの関連付けを行うことで、“対岸の火事”でなく、自分たちの問題として意識させ、セキュリティポリシーを読みこなすことになりますので、理解が深まります。
��「リスク評価ケーススタディ」
管理職を対象としており、�△量簑蟆魴茱院璽好好織妊�と同じように他社のセキュリティ事故の記事を読んで、自社で同じ事件が起きたときに、どのように対応すべきかアクションプランを立案します。
そして、当社が被る損害（金額的なもの、社会的信用等）はどのくらいかを試算するとともに、外部にどのように公表するかなど広報の視点からもディスカッションをします。実際に損害額を数値化してみることでリスクに対する認識が高まります。
�ぁ屮札�ュリティ啓発」
全従業者を対象としたもので、セキュリティに関連する情報は日々更新されていきますので、最新情報のキャッチアップと自社ルールの周知徹底をはかることがねらいとなります。
�ヌ魄�（経営者）向け
上記� ↓い鵬辰─▲札�ュリティ対策が経営陣である自分たちの問題であり、ファイアウォールや暗号など技術面だけでなく、運用管理面が重要であることを認識してもらうことが大切です。
役員には、コストや利便性とのトレードオフなど、さまざまなセキュリティ課題に直面したとき、適切な経営判断が期待されているからです。また、事故が発生した場合、速やかに、適切な指示を出し、会社としての対処をしなければなりませんが、そのための効果的な役員への教育は難しいのが現実でしょう。
ひとつの方法としては、上記��「リスク評価ケーススタディ」教育の実施内容をビデオに撮り、それを役員が視聴し、事故への対応についてシミュレーションしてみるという教育方法があります。これは一方で、「リスク評価ケーススタディ」の受講者が役員に見られることを意識し、真剣さが増すという効果も期待できるでしょう。