SCS評価制度の教育・訓練要件をどう満たすか ― ★3のインシデント対応訓練と★4の意識向上教育
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
SCS評価制度の準備で、技術対策より後回しにされがちなのが教育・訓練です。しかしこれは、★3の要求事項に明確に含まれており、記録がなければ満たせないタイプの要件です。しかも過去に遡って作ることができません。
「対策はすべて実装したのに、教育の記録がなくて宣言できない」——これは十分に起こり得ます。この記事では、教育・訓練の要件を正確に押さえ、中小企業が無理なく回せる形に落とし込みます。
要求事項の整理：★3と★4で何が違うか
| ★3 | ★4 | |
|---|---|---|
| インシデント対応の教育・訓練 | 必須（新規受入時＋年1回以上、記録を保管） | ★3と同様 |
| セキュリティ意識向上教育 | ― | 追加（経営層を含む全要員が対象） |
| 守秘義務の説明 | 入社時等に説明（ガバナンス領域） | 同左 |
ポイントは2つです。
1. ★3で求められるのは「インシデント対応」の教育・訓練。 一般的なセキュリティ研修ではなく、**「何かが起きたときにどう動くか」**を扱う必要があります。フィッシングメールを開いてしまった、PCがランサムウェアに感染した、USBメモリを紛失した——そのとき誰に、どう連絡し、何をしてはいけないか。
2. ★4では対象が「経営層を含む全要員」に広がる。 意識向上教育が別要件として加わり、経営層も受講対象になります。役員だけ免除、という運用は通りません。
タイミングの要件：「新規受入時」を忘れない
見落とされやすいのが「新規受入時」です。年1回の全社研修だけでは足りず、中途入社者・異動者・派遣社員などを受け入れた時点でも実施する必要があります。
小規模企業ほど、入社のたびに研修を組むのは非現実的です。現実的な設計は次のとおりです。
- 入社時オリエンテーションの一部（15〜30分）として組み込む
- 資料を固定化し、説明者が変わっても同じ内容を伝えられるようにする
- 受講後に確認テストまたは受講確認書への署名を取り、記録として残す
「入社時IT説明会」という枠を作ってしまえば、アカウント発行・端末貸与・ルール説明・インシデント対応教育をまとめて済ませられます。
年間プログラムの設計（中小企業モデル）
| 時期 | 対象 | 内容 | 所要 | 記録 |
|---|---|---|---|---|
| 随時（入社・異動時） | 新規受入者 | ルール説明＋インシデント時の連絡手順 | 30分 | 受講確認書 |
| 年1回（例：4月） | 全社員 | インシデント対応訓練（ケーススタディ形式） | 45分 | 出席簿＋実施記録 |
| 年1回（例：10月） | 全要員＋経営層 | セキュリティ意識向上教育（★4向け） | 30〜45分 | 出席簿＋理解度テスト |
| 年1〜2回 | 全社員 | 標的型攻撃メール訓練 | 実施10分 | 開封率レポート |
| 年1回 | 情シス・管理者 | 復旧手順の実地確認（リストアテスト） | 半日 | 実施記録・所要時間 |
★3を目指すなら上から2つ、★4なら5つすべてが目安です。全部を新規に作る必要はありません。すでに実施している安全衛生教育やコンプライアンス研修の枠に、セキュリティの時間を確保するだけで成立するケースが多くあります。
インシデント対応訓練の中身
座学よりも、具体的なシナリオを配って「あなたならどうするか」を考えさせる形式が効果的です。中小企業向けの実施例を挙げます。
- シナリオ提示（10分）：「取引先を装ったメールの添付ファイルを開いたところ、画面に見慣れない表示が出た」
- グループまたは個人で検討（10分）：最初にすべきことは？ してはいけないことは？
- 正解の共有（15分）：LANケーブルを抜く／電源は切らない（証跡保全）／情シスと責任者に即連絡／勝手に取引先へ連絡しない
- 自社の連絡体制の確認（10分）：連絡先一覧を配布し、掲示場所を周知
所要45分。年1回であれば十分に回せる規模です。訓練で使う手順書は文書化テンプレート集のインシデント対応計画書がベースになります。
標的型攻撃メール訓練
必須要件ではありませんが、実施記録が「教育・訓練を継続している」証跡として強いため、余力があれば推奨します。開封率の推移は、経営層への報告資料としても分かりやすい材料になります（標的型攻撃メール訓練の進め方）。
Microsoft 365 Business Premium / Defender for Office 365には攻撃シミュレーション機能が含まれており、追加費用なしで実施できる場合があります。
記録の残し方 ― ここが本番
教育・訓練の要件は、**「実施したこと」ではなく「実施した記録があること」**で評価されます。第三者評価（★4）ではもちろん、★3の専門家確認でも記録の提示を求められます。
最低限、次の項目を含む記録を残してください。
- 実施日
- 対象者と実際の受講者名（欠席者とそのフォロー実施日も）
- 実施内容（アジェンダまたは使用資料）
- 実施方法（集合／eラーニング／オンライン）
- 実施者
- 理解度確認の有無と結果
未受講者の追跡が最も抜けやすい部分です。「全社員向けに実施した」と記録があっても、当日欠席した社員のフォロー記録がなければ、網羅性を問われます。受講者名簿と在籍者名簿を突き合わせた記録まで残しておくと万全です。
保管場所も決めておきましょう。SharePoint / Google ドライブに「教育・訓練記録」フォルダを作り、年度ごとに整理するだけで、証跡の提出時に慌てずに済みます（証跡・監査ログ実装ガイド）。
eラーニングか、集合研修か
| 方式 | 長所 | 短所 | 向くケース |
|---|---|---|---|
| 集合研修 | 議論ができる／実効性が高い | 全員の時間確保が難しい | 拠点が少ない、シフト制でない |
| eラーニング | 受講管理が自動化される／記録が残りやすい | 形骸化しやすい | 多拠点、シフト制、パート比率が高い |
| ハイブリッド | 訓練は集合、意識向上はeラーニング | 運用が2系統になる | 中堅規模 |
記録管理の手間を考えると、eラーニングは有力です。受講状況が自動で記録され、未受講者の追跡も容易になります。一方で、インシデント対応訓練はケーススタディでの議論に価値があるため、訓練は集合、意識向上教育はeラーニングという組み合わせが現実的です。
なお、IPAは所定の条件下で情報セキュリティの講師派遣を実施しています。外部講師を活用する場合の選択肢のひとつです。
よくある失敗
1. 資料はあるが実施記録がない。 「毎年やっています」と言っても、記録がなければ評価上は未実施と同じです。
2. 経営層が受けていない。 ★4の意識向上教育は経営層を含む全要員が対象です。役員向けには別枠（30分の経営層向けブリーフィング）を設けるのが現実的です。
3. 入社時教育の記録がない。 年1回の研修は記録があるのに、期中入社者の分だけ抜けているパターン。人事の入社手続きチェックリストに組み込んで防ぎます。
4. 内容がインシデント対応になっていない。 パスワードの作り方だけの研修では、★3の「インシデント対応に関する教育・訓練」としては弱くなります。
5. 委託先・常駐要員の扱いが不明確。 自社要員として扱うのか、委託先の責任とするのかを規程で切り分けておきます（委託先管理の実装ガイド）。
情シス365による支援
情シス365では、教育・訓練の実施と記録管理までを支援しています。
- 年間プログラム設計： ★3／★4の要件に合わせた実施計画の策定
- 教材提供： 中小企業向けのインシデント対応訓練シナリオと資料一式
- 実施代行： オンライン集合研修の講師、経営層向けブリーフィング
- 標的型攻撃メール訓練： M365の機能を使った実施と結果レポート
- 記録の整備： 証跡として通用する形式での記録テンプレートと保管設計
まとめ
- ★3の要件は**「インシデント対応の教育・訓練を、新規受入時および年1回以上実施し、記録を保管」**。一般的なセキュリティ研修では不十分
- ★4では経営層を含む全要員へのセキュリティ意識向上教育が追加される
- 「新規受入時」が最も抜けやすい。入社手続きのチェックリストに組み込む
- 教育・訓練は過去に遡って作れない。技術対策より先に着手しても損はない
- 評価されるのは実施ではなく記録。受講者名・欠席者フォロー・実施内容まで残す
- インシデント対応訓練は45分のケーススタディ形式で十分に成立する
参考リンク：