近年、企業の情報漏えいが相次いでいます。サイバー攻撃による被害が目立つ一方で、メールの誤送信や書類の紛失といった身近なミスから起こる漏えいも後を絶ちません。
こうしたミスは、業務に慣れていない新入社員にも起こり得ます。配属後に顧客情報や社内資料を扱い始める前に、学生時代とは異なる情報の扱い方を身につけてもらうことが大切です。
本記事では、新入社員研修を企画する担当者の方に向けて、新入社員にセキュリティ教育が必要な理由、入社直後に起こりやすいトラブル、研修で扱う主な内容、効果を高めるポイントを紹介します。
目次
新入社員にとって情報セキュリティは「知っているつもり」になりやすいテーマです。スマートフォンやSNSを日常的に使いこなしている人ほど、仕事でも普段と同じ感覚で操作してしまうことがあります。入社時に教育を行う主な理由は、次の3つです。
学生時代に扱う情報の多くは、自分自身や友人に関するものです。多少のミスがあっても、影響は身近な範囲にとどまることがほとんどでした。
社会人になると、顧客の個人情報や取引先との契約内容、社内の企画資料など、会社の資産である情報を扱います。1通のメールの誤送信が会社の信用問題に発展することもあります。
この意識の切り替えを入社時に促すことが、新入社員のセキュリティ教育の出発点です。
社内のメールシステムやチャットツール、クラウドストレージなど、新入社員が入社後に初めて使うツールも多いでしょう。どの情報をどこに保存してよいのか、社外の人へファイルをどう共有するのか。こうした自社のルールも、入社直後はまだ把握しきれていないでしょう。
ルールを知らないまま業務を始めると、悪意がなくても規程に反する行動を取ってしまうおそれがあります。配属前に自社のルールと操作上の注意点を伝えておくと、こうしたミスを防ぎやすくなります。
入社して間もない新入社員は、「こんなことを聞いてもよいのか」「ミスを知られたら評価が下がるのでは」と遠慮しがちです。その結果、不審なメールを開いてしまっても誰にも相談しない可能性があります。
セキュリティの事故は、発見と報告が遅れるほど被害が広がります。研修では知識を伝えるだけでなく、「おかしいと思ったらすぐに報告する」行動を入社時から習慣にしてもらうことが大切です。
研修内容を検討する前に、新入社員がどのような場面でトラブルを起こしやすいか押さえておきましょう。具体的な場面を想定しておくと、研修で扱う内容や事例を選びやすくなります。
新入社員に起こりやすいのが、メールの誤送信です。たとえば、宛先の入力補完機能で似た名前の別人を選んでしまうケースがあります。BCCで送るべき一斉メールをCCで送り、顧客同士にアドレスが見えてしまう例もあります。別の顧客の資料を誤って添付してしまうこともあるでしょう。
慣れない業務で急いでいるときほど、確認はおろそかになりがちです。送信前の確認手順を具体的な行動として身につけてもらいましょう。
注意したいのが、取引先や宅配業者、社内の部署を装ったメールのリンクを開いてしまうケースです。偽のログイン画面と気づかずにIDとパスワードを入力してしまうこともあります。新入社員は社内外のやり取りの相手をまだ把握していないため、なりすましに気づきにくい傾向があります。
SNSに慣れている世代だからこそ、気軽な投稿がトラブルになることがあります。たとえば、オフィスで撮った写真に社内の資料やホワイトボードが写り込んでいたケースです。配属先や担当業務をプロフィールや投稿に具体的に書き込むことも、トラブルの原因になります。
本人にとっては日常の記録でも、社外秘の情報が含まれていれば情報漏えいにあたります。SNSの使い方は、セキュリティ研修と関連づけて扱うとよいでしょう。SNS特有のリスクや炎上時の対応まで深く扱いたい場合は、専用の研修を組み合わせる方法もあります。
同期との飲み会や通勤電車の中で、取引先の名前や社内の出来事を話してしまうことがあります。周囲に関係者がいれば、そこから情報が広がりかねません。
また、業務用のPCや資料を持ち歩いた際の置き忘れも起こりがちです。許可されていないUSBメモリでデータを持ち出す行為も、情報漏えいにつながります。
覚えやすさを優先して、私生活と同じパスワードを業務で使い回す例も見られます。どこか1つのサービスからパスワードが漏れると、業務アカウントまで不正ログインされる危険があります。
パスワードを付箋に書いてPCに貼る、離席時に画面をロックしないといった習慣も、入社時に見直しておきたいポイントです。
新入社員の中には、学生時代から生成AIを使い慣れている人もいるでしょう。便利さを知っているからこそ、会議の議事録や顧客からのメール文面をそのまま生成AIに入力してしまうおそれがあります。
私物のスマートフォンで業務の資料を撮影する、個人のクラウドサービスにデータを保存するといった行動にも注意が必要です。「使ってよいもの」と「使ってはいけないもの」の線引きを入社時に明確に示しておきましょう。
新入社員向けのセキュリティ研修では、専門的な技術よりも日々の業務で迷わず行動するための知識と習慣を優先します。主な内容と、研修後に目指したい行動は次のとおりです。
| 研修内容 | 研修後に目指したい行動 |
|---|---|
| 情報資産と守る理由 | 扱う情報の重要度を意識して業務に取り組める |
| 社内ルールと日常の基本行動 | パスワード管理や画面ロックなどを習慣にできる |
| メール・Webの安全な使い方 | 送信前に確認し、不審なメールに気づける |
| SNS・生成AIの利用ルール | 業務の情報をSNSに投稿せず、未許可のツールにも入力しない |
| トラブル時の報告と初動 | 異常に気づいたら、すぐに報告できる |
最初に、会社にとって守るべき情報とは何かを確認します。顧客情報や取引先とのやり取り、社内の企画資料、従業員の個人情報などが代表的です。
あわせて、情報が漏れたときに会社が受ける影響も伝えます。たとえば、取引の停止や損害賠償、社会的な信用の低下などが考えられます。1人の行動の影響が組織全体に及ぶと理解できれば、ルールを守る意味が伝わりやすくなります。
情報セキュリティポリシーや情報の取り扱い規程など、自社のルールを確認します。規程の文面を読み上げるだけでは定着しにくいため、「この場面ではどうするか」という行動の形で伝えましょう。会社として整えておきたいルールや対策の全体像は、「企業のセキュリティ対策とは？取り組むべき7つの方法と進め方」で紹介しています。
入社時に身につけたい基本行動
情報の取り扱いは、法令や社会規範を守るコンプライアンスとも深く関わります。個人情報保護や著作権などとあわせて理解すると、「なぜそのルールがあるのか」に納得しやすくなるでしょう。
メールについては、送信する側と受信する側の両面から伝えます。送信時は、宛先・CC/BCC・添付ファイル・本文中の社名や氏名を確認する手順を、そのまま使えるチェック項目の形で示しましょう。
受信時については、生成AIなどにより本物と区別がつかないメールが増えていることを伝えます。そのため、ログインを求めるメールが届いても、メール内のリンクはクリックしないことを徹底してもらいましょう。添付ファイルは業務上開かざるを得ないことも多く、安全かどうかを見分けるのは難しいです。それでも、やり取りの流れに少しでも違和感があれば、ひとまず開かない姿勢を身につけてもらうことが大切です。
Webの利用については、公共Wi-Fiへの接続や不審なサイトからのダウンロードに関する注意点を扱います。警告画面が表示されたときの対応も確認しておくとよいでしょう。
新入社員にとって身近なSNSや生成AIは、使い慣れている分、業務との境界があいまいになりやすい領域です。
SNSについては、業務に関わる写真や情報を投稿しない、所属先や担当業務を詳しく書き込まないといった基本を確認します。生成AIについては、会社が利用を認めたツールだけを使い、機密情報や個人情報を入力しないことを伝えます。生成された内容は誤りを含むことがあるため、そのまま使わずに確認する習慣も必要です。
研修の締めくくりとして、トラブルが起きたときの行動を確認します。新入社員に求めるのは、原因の調査や復旧作業ではありません。異常に気づいたら自己判断で対応を続けず、すぐに報告することです。
報告先は上司なのか情報システム部門なのか、夜間や休日はどうするのかなど、自社の連絡ルートを具体的に示しておきましょう。「誤送信に気づいた」「怪しいリンクを開いた」といった場面を想定し、報告の練習まで行うのも効果的です。一度練習しておけば、実際の場面でも落ち着いて動きやすくなります。
メールやSNS、生成AI、トラブル時の初動などをまとめて扱いたい場合は、リスキルのデジタル安全活用研修も選択肢の一つです。研修では、安全なインターネット利用やアカウント管理、危険なメールやSNSの見分け方を扱います。生成AIを安全に使う判断基準や事故発生時の初動対応も含まれ、新入社員から管理職まで幅広い社員が対象です。
新入社員向けのセキュリティ研修は、内容だけでなく実施のタイミングや配属後のフォローによっても効果が変わります。押さえておきたいポイントは次の4つです。
使い始める前に実施
メールや社内システムを使い始める前に基本を押さえる
実例を題材にする
一般論だけでなく、自社のルールや実際の業務に置き換える
報告しやすい雰囲気づくり
早く報告することが歓迎されると、入社時から伝える
配属後のフォロー
OJTやフォローアップ研修で、行動の定着を確認する
セキュリティ研修は、新入社員がメールや社内システムを使い始める前に実施するのが理想です。アカウントを付与した後に研修を行うと、すでに自己流の使い方が始まっている場合があります。
新入社員研修のカリキュラムに組み込む際は、ビジネスマナーやビジネスメールの研修と近い時期に配置するとよいでしょう。内容のつながりが見えるため、理解も深まりやすくなります。内定者研修の段階でSNSの使い方など一部の内容を先に扱う方法も考えられます。
一般的な知識だけを伝えても、新入社員は自分の業務とのつながりをイメージしにくいものです。自社の情報セキュリティポリシーや実際に使うツールの画面を題材にするとよいでしょう。社内で起きた事例を個人が特定できない形に加工して紹介する方法もあります。身近な題材を取り入れることで、新入社員も自分ごととして受け止めやすくなります。
外部の研修を活用する場合は、事前に講師と自社の事情を共有しておきましょう。研修後に自社ルールの説明時間を設けると、実務とのつながりを補えます。研修サービスを比較・検討する際の観点は、以下の記事で紹介しています。
新入社員が報告をためらう背景には、「怒られるのでは」という不安があります。研修の中では、報告の遅れのほうが問題になることと、早く報告すれば評価されることを明確に伝えましょう。
あわせて、配属先の上司やOJT担当者にも同じ方針を共有しておくことが重要です。研修で「報告してよい」と伝えても、報告したことを現場で叱責されれば、新入社員は次から報告しにくくなってしまいます。
入社時の研修だけで、セキュリティの意識や行動が定着するとは限りません。実際の業務が始まると、新入社員は研修で想定していなかった場面にも出会います。
配属後は、OJTの中で上司や先輩が声をかけるなど、繰り返し確認する機会をつくりましょう。数か月後のフォローアップ研修で振り返りの時間を設ける方法もあります。全社員を対象とした継続的な教育の進め方については、以下の記事も参考にしてください。
新入社員は、学生時代とは異なる基準で情報を扱うことになります。悪意のないミスを防ぐには、入社直後のセキュリティ研修で基本を押さえておくことが大切です。守るべき情報と社内ルール、日常の基本行動、トラブル時の報告を配属前に確認しておきましょう。
研修内容は、新入社員がトラブルを起こしやすい場面に沿って組み立てましょう。メールの誤送信や不審なメール、SNSへの投稿、生成AIの利用などが代表的な場面です。SNSやコンプライアンスといった関連テーマと組み合わせると、社会人としての情報の扱い方を幅広くカバーできます。
リスキルでは、さまざまな情報セキュリティ研修を提供しています。全社員向けのセキュリティリテラシーをはじめ、メールセキュリティ対策や情報セキュリティの基礎も扱っています。一社研修・公開講座・eラーニングから、自社の新入社員研修に合った形式を選べます。
リスキル事務局が記事の執筆・監修をしています。人材育成にまつわるお役立ち情報を分かりやすく解説します。
■社員研修のリスキルとは？
社員研修のリスキルは、一人でも多くの人に人材育成を届けるために、利便性の高い研修サービスを提供しています。検索をすれば、一社で実施する研修、日程が決まっている参加型公開講座、eラーニング動画講座などをすぐに見つけ、簡単に申込みや見積書を作成することができます。
■プロフィール
会社名：株式会社リスキル
（「リスキル」は株式会社リスキルの登録商標です。）
設立：2022年5月2日
上場市場：東京証券取引所グロース市場
■研修実績
・利用社数は年間3900社以上
・年間受講者数 前年比157%
・プロフェッショナルの講師陣300名以上在籍
