サイバーセキュリティ月間に考える、情報漏洩を防ぐために必要な「人の判断」と現場教育
― 一人ひとりの判断が、組織のセキュリティを左右する ―

• 2月1日から3月18日は、政府が定める「サイバーセキュリティ月間」です。
• 国民や企業の意識向上を通じて社会全体のサイバーセキュリティ水準を高めることを目的とした取り組みであり、この期間は、企業における情報セキュリティのあり方や、現場で求められる判断についてあらためて考える機会とされています。
• こうした社会的な課題に対し、株式会社ベアラボ（所在地：東京都新宿区、代表取締役：滝井順子）は、これまでも企業向け研修を通じて、個人情報保護や情報漏洩防止に関する課題と向き合ってきました。

• 【背景】サイバーセキュリティ月間と、企業に求められる視点
• 近年、ランサムウェアや標的型攻撃など、企業活動を脅かすサイバー攻撃は高度化・巧妙化が進んでいます。
• 関係機関や専門団体の発表によると、フィッシングメールなどを起点とした被害の報告は、2024年の集計で過去最多となり、現在も主要な侵入経路の一つとされています。
• こうした被害の多くは、システムの脆弱性だけでなく、「正規の取引先に見える」「業務上、急ぎの連絡に思えた」といった状況の中で、人の判断が関与する“入口”から生じています。
• また、個人情報保護法は、デジタル技術の進化や社会環境の変化を踏まえ、いわゆる「3年ごとの見直し」が制度として位置づけられています。
• AIやビッグデータ、SNSの普及など、変化の速いネット社会に対応するため、法令やルールも継続的にアップデートされており、現在も次の見直しに向けた議論が行われています。
• こうした変化を踏まえ、企業や現場では、法令やルールを理解したうえで、日常業務の判断をアップデートしていく姿勢が求められています。
• そのため、サイバーセキュリティ対策はシステムやルールの整備だけで完結するものではなく、日常業務の中で一人ひとりがどのように判断し、行動するかという視点が、あらためて重要になっています。

• 【現場に残る課題】対策が進む一方で、日常業務で問われる判断
• 株式会社ベアラボは、これまで企業向け研修の中で、個人情報保護・情報漏洩防止をテーマに、現場の具体的な行動や判断に焦点を当てた研修を実施してきました。
• 多くの企業では、システム対策の強化や社内ルールの整備など、サイバーセキュリティ対策が進められています。
• 一方で、メールやSNS、書類の取り扱いなど、日常業務の中で生じる一人ひとりの判断や行動まで十分に行き届かせることに難しさを感じているケースも少なくありません。
• 情報漏洩は、「ハッカーによる攻撃」や「ウイルス感染」といった外部からの脅威だけでなく、メールの誤送信や業務情報の持ち帰り、SNSへの不用意な投稿など、日常業務の延長線上で起きています。
• ルールやマニュアルがあっても、「これくらいなら大丈夫だろう」「いつもやっていることだから」といった判断が、リスクを見えにくくしてしまう場面が見受けられます。
• 実際に研修では、4択形式のクイズを用いて、「これは情報漏洩に該当するのか」と迷いやすい場面を題材に、判断について考える演習を行っています。
• 同じ事例であっても判断が分かれる場面が多く、受講者自身が「なぜそう考えたのか」を振り返るきっかけとなっています。
• 研修後のアンケートでは、
• ・自分なりの理解が間違っていたことに気づいた
• ・『これくらいなら大丈夫』と思っていた行動がリスクになると知った
• ・身近な内容だったからこそ、自分の行動を振り返ることができた
• といった声が寄せられました。
• これらの反応から、知識としては理解しているつもりでも、日常業務の具体的な場面では判断に迷いやすく、認識のズレが生じやすい実態がうかがえます。

• 【研修概要】現場の判断に焦点を当てた情報セキュリティ研修
• ベアラボが提供する情報セキュリティ・個人情報保護研修では、法令やルールの確認にとどまらず、日常業務の中で起こりやすい場面を題材に、受講者自身が「どう判断するか」を考える構成としています。
• 具体的には、
• ・個人情報・業務情報の基本的な考え方の整理
• ・メール誤送信やSNS投稿など、実際に起きた事例をもとにした演習
• ・判断に迷いやすいポイントや、見落としやすいリスクの共有
• を通じて、知識を行動につなげることを重視しています。

• 【考察】
• 情報セキュリティ研修を実施する中で感じるのは、多くの受講者が情報漏洩を防ぐ必要性やサイバーリスクについては理解している一方で、日常業務の中で対応に迷う場面が少なくないという点です。
• ルールや注意点は共有されていても、迷ったときに何を基準に考えるかが職場内で十分にそろっていないことで、情報漏洩やトラブルにつながっている様子が見受けられます。
• また、判断に迷った際に立ち止まったり、相談したりしやすい職場環境が整っていないことも、リスクを見えにくくしている要因の一つと考えられます。
• こうした事象は、特別なミスや悪意によるものではなく、日常業務の中での迷いや思い込みが重なった結果として起きていると考えています。
• そのため、一度理解したつもりでも、時間の経過や業務環境の変化によって判断基準は曖昧になりやすく、研修などを通じて定期的に立ち止まり、考え直す機会を持つことの重要性を感じています。

• 【今後の展開】
• この点を踏まえ、情報セキュリティ研修を「注意事項を覚える場」ではなく、判断に迷ったときの考え方を共有する場として位置づけています。
• こうした判断のあり方は、特定の業界や職種に限られるものではありません。
• また、生成AIの利用など、新しい技術や業務スタイルが広がる中で生じる判断の難しさについても、現場の状況を見ながら捉えていくことが重要だと考えています。
• 株式会社ベアラボはこれからも、現場で起こりやすい迷いや判断の揺らぎを題材に、個人任せにしない情報セキュリティ教育を支援してまいります。
• 一人ひとりの判断が組織の安全を支える今、行動につながる研修を通じて、企業のセキュリティ文化づくりに貢献していきます。