新入社員のセキュリティ教育は、多くの会社で「入社日に情報セキュリティ規程を配り、誓約書に判を押してもらう」で終わっています。それで事故が防げるなら苦労はありません。入社直後の社員は業務知識の洪水のなかにいて、規程の文言は記憶に残らないからです。この記事では、新入社員（中途入社を含む）向けの教育を「初週に伝えること」「節目で積み上げること」「1年かけて育てる習慣」の3層で設計する型を示します。
なぜ「規程を読ませる」では足りないのか
入社直後の社員には、3つの条件が重なっています。
- 社内の常識を知らない——誰がどんなメールを送ってくるのか、社長が急ぎの送金を頼むことがあるのか、判断の基準がない。標的型攻撃やビジネスメール詐欺にとって格好の相手です
- 聞きにくい——新人ほど「これ、変ですか？」と言い出せない。おかしいと思っても、自分の無知のせいだと考えて飲み込んでしまう
- 覚えることが多すぎる——業務システム・社内用語・人の名前。規程の条文はその洪水のなかで流れていく
つまり新人教育の目的は、知識を伝えることではなく、「迷ったら聞く・報告する」という回路を最初に作ることです。eラーニングだけでは行動が変わらないのと同じ構造で、知っているかどうかより、その場で動けるかどうかが事故を分けます。
初週に伝える5つ——それ以外は後回しでよい
初週に詰め込むのは5項目まで。A4一枚に収まる量にします。
- ①困ったときの連絡先——「情シスへ」ではなく、人の名前と連絡手段まで。顔と名前が一致していることが、報告のハードルを最も下げます
- ②パスワードと多要素認証——使い回しがなぜ全滅につながるかの理由と、会社が用意したパスワード管理の使い方（多要素認証（MFA）とは）
- ③添付とリンクの扱い——開く前に送信元を確認し、迷ったら①へ。「開いてしまった」の報告は歓迎されることを、この時点で明言する（フィッシング詐欺とは）
- ④データの持ち出しと私物利用——私用のクラウドやAIサービスに業務データを入れない理由（シャドーAIとは）、USBメモリと私物端末のルール
- ⑤遭遇時の行動——警告画面、不審な電話、社長を名乗る送金依頼。「実行せず、いったん止まって、①に連絡」の一文（サポート詐欺とは、ビジネスメール詐欺（BEC）とは）
各項目には「なぜ」を一言添えます。理由のないルールは、忙しくなった瞬間に守られなくなります。
節目で積み上げる——1か月・3か月・1年
初週の5項目が定着したら、節目ごとに一段ずつ積み上げます。
- 1か月——訓練メールの1通目。結果は本人にだけ伝え、責めない。あわせて、実際に社内に届いた不審メールを題材にした10分の振り返りを行う。「本物はこう来る」を見せるのが目的です
- 3か月——部署固有のリスク。経理なら送金と請求書、営業なら顧客データと外出先の端末、開発ならアカウントと鍵の管理。教えるのは情シスではなく、部門の先輩が適任です
- 1年——全社研修に合流し、ここで初めて規程の全体像に触れる。1年目は「自分の持ち場のリスクが分かる」で十分です
中途入社者には、もうひとつ手当てが要ります。前職の常識を持ち込むからです。「前の会社ではUSBが自由だった」「私用スマホで業務メールを見ていた」——前職との差分を明示するだけで、悪意のないルール違反の多くは防げます。
1年かけて育てる1つ——報告する習慣
事故の大きさを決めるのは、最初の1通を開いたかどうかではなく、開いた後に何分で報告されたかです。AI生成フィッシングのクリック率の記事で書いたとおり、訓練の目標は「開かない」から「報告する」へ移っています。
報告する習慣は、命令では育ちません。育てるのは経験です。
- 報告には必ずお礼を返す（定型文でよいので仕組みにする）
- 誤報を歓迎する。「結果的に何もなかった報告」こそ、次の本物を拾う
- 報告した人を、名前を出して全体に紹介する。叱責ではなく称賛の事例を社内に流す
- 新人の「これ変ですか？」に、上司が後回しにせず即答する
セキュリティ研修が形骸化する理由の裏返しで、行動を変えるのは知識ではなく「報告して良かった」という体験の積み重ねです。1年目にこの体験を何度か作れれば、その社員は以後、組織のセンサーになります。
設計のチェックリスト
- 初週の5項目は、A4一枚にまとまっているか
- 連絡先は「人」の名前と連絡手段まで書いてあるか
- 1か月目の訓練メールは、結果を本人にだけ伝える「責めない」設計になっているか
- 部門固有のリスクを教える担当（部門の先輩）が決まっているか
- 報告へのお礼が、担当者の気分ではなく仕組み（定型文・手順）になっているか
- 中途入社者向けに、前職との差分を伝える項目があるか
