情報セキュリティ規程を「理解したつもり」で終わらせない
情報セキュリティ規程を整備した後、その内容を社員がどこまで理解しているか。これは、規程を作ることとは別の課題です。
社内ポータルへ掲載したり、PDFを配布したり、入社時や更新時に説明したりすることは必要です。ただ、規程の存在を知っていることと、実際の仕事の中で、その内容を思い出し、判断に使えることは同じではありません。
情報セキュリティで本当に重要なのは、社員が規程の内容を「見たことがある」「読んだことがある」と感じている状態ではなく、必要な場面で、自社のルールに沿って行動できる状態です。
そこで考えたいのが、情報セキュリティ規程を「理解したつもり」で終わらせないために、どう社員教育へつなげるかということです。
規程を知っていることと、判断できることは違う
情報セキュリティ規程には、会社として守るべきルールが整理されています。パスワードやアカウントの管理、端末やクラウドサービスの利用、社外への情報持ち出し、不審なメールへの対応、事故発生時の報告、生成AIへ入力してよい情報の範囲など、日々の業務で判断が必要になる内容が含まれています。
こうした内容は、規程として読むだけでも意味があります。ただし、実際の業務では、規程の文章そのものを思い出すのではなく、「この場合はどうするべきか」を判断する必要があります。
たとえば、取引先を名乗るメールに添付ファイルが付いていて、いつもと少し文面が違う。会社支給端末ではなく、個人端末から急いで資料を確認したくなった。生成AIへ文章を入力したいが、どこまでなら問題ないか迷う。こうした場面で必要なのは、規程を暗記していることではありません。
自社のルールを、実際の場面に当てはめて判断できることです。
「読んだ」「説明した」で終わると、理解度は見えない
規程を更新し、社員へ周知した。説明会も行った。それでも、「社員がどこまで理解しているか」は、意外と見えません。
「内容を理解しましたか」と聞けば、多くの人は「はい」と答えるかもしれません。しかし、その確認だけでは、どの場面で迷うのか、どこを誤解しているのか、自社のルールを実際の仕事へどう当てはめるのかまでは分かりません。
そこで、情報セキュリティ規程を社員教育へ使う場合は、理解したかを確認する仕組みまで含めて設計する必要があります。
年次研修を実施するだけで終わらず、その内容が記憶や判断につながっているかを見るという点では、当社ブログの「コンプライアンス研修、86%の企業がやっているのに『記憶に残らない』と言われる理由」でも同じ問題を取り上げています。
規程と研修では、目的が違う
規程の目的は、会社としてのルールを定めることです。一方、研修の目的は、そのルールを社員が理解し、必要な場面で使えるようにすることです。
扱う情報は同じでも、役割は異なります。
たとえば規程に、「不審なメールを受信した場合は、添付ファイルやURLを開かず、所定の担当者へ報告する」と書かれていたとします。
研修では、この文章をそのまま説明するだけではなく、「取引先を名乗るメールが届いたが、普段とは少し違う」「いつもやり取りしている相手から、見慣れない形式のファイルが届いた」といった場面を示し、そのとき何を確認し、どう行動するかを考えてもらうことができます。
ここまで設計すると、規程に書かれた情報が、実際の仕事で使う知識へ変わります。
一般的な情報セキュリティ教材だけでは足りない部分がある
情報セキュリティについて学べる教材は数多くあります。フィッシングメールやパスワード管理、情報漏えい、標的型攻撃、クラウドサービスの利用、生成AIのリスクなど、企業共通で学ぶべき内容もあります。
一方で、実際の業務では、その先に自社独自のルールがあります。不審なメールを受信したときの連絡先、利用してよいクラウドサービス、社外へのデータ持ち出しの条件、会社支給端末の利用ルール、生成AIへ入力してよい情報の範囲、事故が発生した場合の報告手順などは、企業ごとに異なります。
だからこそ、一般的な情報セキュリティ知識に加えて、自社の規程に基づいた教育を組み合わせることに意味があります。
なお、社内資料を生成AIへ入力して教材化する際の確認事項については、「社内資料を生成AIへ入力する前に、何を確認するか」や「生成AIで研修教材を作るとき、人が確認したい7つのこと」でも整理しています。
規程を教材に変えるとき、担当者の負担が増える
自社規程を使った研修を作ろうとすると、担当者には新しい作業が発生します。
どの項目を教育対象にするのか、社員に何を理解してほしいのか、どの順番で伝えるのか、どのような業務場面を示すのか、どんな確認問題を作るのか、理解度をどう確認するのか。こうしたことを考えながら、PowerPointやeラーニング、確認テストなどを整えていく必要があります。
規程そのものはすでに存在していても、「社員が理解し、判断できる形」に変えるための教育設計が必要になります。
さらに、説明原稿やナレーションを作り、配信し、受講状況を確認するところまで考えると、規程を社員教育へ変えること自体が大きな仕事になってしまいます。
元になる知識は、すでに会社の中にある
ここで大切なのは、教育の元になる情報をゼロから作る必要はないということです。学んでほしい内容の土台は、すでに情報セキュリティ規程の中にあります。
必要なのは、その内容を「決まりを読むための文書」から、「社員が理解し、判断するための学習内容」へ再構成することです。
何を理解してほしいのか、どんな場面で使うのか、どの順番で学ぶと理解しやすいのか、どこで間違いやすいのか、理解できたかをどう確認するのか。こうした教育設計を加えることで、既存の規程を研修へ変えていくことができます。
年次で繰り返す研修を、毎回ゼロから作り直す必要はありません。「ISO・個人情報・ハラスメント・安全衛生 年次必須研修をAIで運用する」で扱った考え方とも共通しています。
AIを使う意味は、文章を作ることだけではない
生成AIを使えば、規程を要約したり、説明文を作ったり、確認問題を作ったりすることはできます。ただ、それだけでは「教材を作った」ことにはなっても、社員が実際に判断できる教育になるとは限りません。
重要なのは、何を学ぶか、何ができるようになってほしいか、どの順番で学ぶか、どう理解度を確認するかまで設計することです。
AIは、その教育設計を効率化するために使う。そう考えると、担当者は文章をゼロから作ることよりも、「どこを社員に理解してほしいのか」「どの場面で判断できるようになってほしいのか」という、本来考えるべき部分に時間を使いやすくなります。
実際のルールブックから研修コースを作る
コンテキストAIを導入している株式会社くららぼでは、「情報セキュリティ・ルールブック」「AIルールブック」、ネットワークセキュリティに関する資料をもとに、全社員が学ぶことを想定した3つの学習コースを作成しています。
一般的なセキュリティ教材を新たに用意するのではなく、自社で運用しているルールブックを学習コンテンツへ変えることで、「自社ではどうするか」を学べる形にしています。最初に想定しているのは、毎年実施する情報セキュリティ教育です。
この事例は、社内にすでにある資料が、教育の元になることを示す一例です。
規程も、会社の「教育資産」にできる
私は、企業の中にある資料や経験、ノウハウを、社員が理解し、判断や行動に生かせる形へ変えていくことを「教育資産化」と呼んでいます。
情報セキュリティ規程も、その対象の一つです。
規程を整備し、社員が学べる形にし、理解度を確認する。さらに、業務の変化や規程改定に合わせて更新し、必要な人が繰り返し学べるようにする。この循環ができれば、規程は単に保管しておく社内文書ではなく、社員教育に繰り返し活用できる会社の知識になります。
同じ考え方は、情報セキュリティだけに限りません。就業規則やハラスメント防止、業務マニュアル、新人教育、顧客対応、技能継承など、会社の中にはすでに存在しているのに、社員が学べる形になっていない知識が数多くあります。
自社の情報セキュリティ規程で、30日間試してみる
コンテキストAIでは、自社の情報セキュリティ規程をもとに研修コースを作成し、実際に社員へ配信するところまで体験できる30日間のプログラムを用意しました。
規程をもとに、学習コース、ナレーション、確認テストを作成し、社員へ配信します。さらに、受講状況やテスト結果まで確認できます。
この体験で確認していただきたいのは、AIで教材が作れるかどうかだけではありません。
自社の規程が、社員が理解し、実際の仕事で判断するための学習内容に変わるか。そこまでを体験していただくためのプログラムです。
