セキュリティ教育・訓練

Security Awareness Training

せきゅりてぃきょういく・くんれん

従業員の情報セキュリティに関するリテラシー向上を目的とした教育・訓練活動。標的型メール訓練、eラーニング、ケーススタディなどを通じて、フィッシングの見分け方、インシデント発生時の報告手順、規程の遵守意識を醸成する。

情報及び情報システムの利用におけるセキュリティ対策の適用の推進又は支援に関すること > 人的管理

関連キーワードの用語

特定の機密情報にアクセスする資格を個人に付与する制度。身元調査に基づき、機密レベルに応じたアクセス権を与える。雇用時のスクリーニングや定期的な見直しを通じて、内部不正や情報漏洩のリスクを低減する。

組織の従業員や関係者が意図的に情報の持ち出し、改ざん、破壊などを行う行為。不正のトライアングル（機会、動機、正当化）の3要素が揃うと発生しやすい。職務分掌、アクセスログ監視、退職時のアカウント無効化などで対策する。

組織の構成員に対して、情報セキュリティの重要性やリスクについての意識を高める活動。ポスター掲示、eラーニング、セミナーなどの手段で実施される。

セキュリティインシデント発生時の対応手順や判断力を身につけるための実践的な訓練。標的型メール訓練やインシデント対応訓練などがある。

組織の情報セキュリティを管理するための仕組み。ISO/IEC 27001（JIS Q 27001）に基づき、リスクアセスメントを行い、適切な管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。ISMS適合性評価制度により第三者認証を受けることができる。

経営陣が主導して、組織全体の情報セキュリティ活動を統治・管理するための枠組み。経営戦略と整合した情報セキュリティ方針の策定、資源配分、リスク管理の意思決定を含む。JIS Q 27014（ISO/IEC 27014）で規定されている。