従業者教育の設計｜受講率100%の運用

ISMSの教育について最もよく聞く運用は、「年に1回、全社にeラーニングを配信し、受講率を集計する」というものです。悪くはありませんが、これだけでは規格の要求の半分しか満たしていません。規格は力量と認識を別の要求として置いており、両者は対象も測り方も違うからです。

さらに、この運用には穴があります。期中に入社した人、長期休職から戻った人、常駐している委託先の要員。年1回の一斉配信では、この3者が抜けます。審査でも顧客監査でも、抜けが見つかるのはたいていここです。

そして受講率です。95%でよいのではないか、という質問をよく受けますが、答えは「100%が要る」です。本記事はその理由を含め、教育の設計を実務の手順に落とします。要求の位置づけは 箇条7 支援｜力量・認識・文書化した情報、規格全体は ISMS（ISO/IEC 27001）とは をご覧ください。

免責：本記事は一般的な情報提供です。規格の要求事項の解釈、認定・認証の取扱いは、ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が正本です。実際の対応はそれらに基づいて行ってください。

なぜここでつまずくのか

力量と認識を一つの施策で済ませようとしている

規格が求めているものを整理すると、次のように分かれます。

一つのeラーニングを全員に配信すると、認識のほうはある程度カバーできますが、力量は判定できません。内部監査員に必要な力量、開発者に必要なセキュアコーディングの知識、システム管理者に必要な権限管理の理解は、それぞれ別に定義し、別に確保する必要があります。

「従業者」の範囲を狭く取っている

認識の要求は「組織の管理下で働く人」に及びます。正社員だけでなく、役員、契約社員、パートタイム、派遣、そして自社の指揮下で作業する委託先の要員が含まれ得ます。ここを正社員だけに限定した運用は、審査で範囲の妥当性を問われます。適用範囲の決め方は ISMS適用範囲の決め方 をご覧ください。

教育の内容が方針の読み上げになっている

「情報セキュリティ方針を読みました」だけのeラーニングは、認識の要求の一部は満たしますが、実際の行動を変えません。認識で求められているのは、自分の業務がISMSにどう貢献するかと、ルールを守らなかった場合に何が起きるかの理解です。総論だけでは、この2点に届きません。

受講率が集計されているが、未受講者への手当てがない

「受講率95%でした」という報告は、裏を返せば5%が誰かを把握しており、その人たちは未対応のままという意味です。これは審査で最も突かれやすい構造です。95%という数字は、管理ができていることの証明ではなく、未完了を放置していることの証明として読まれます。

なぜ100%が要るのか

三つの理由があります。

1. 規格の要求が「全員」だから。認識は、組織の管理下で働く人に対して求められています。部分集合では要求を満たしません
2. 記録が「誰が受けていないか」を明示してしまうから。受講管理をしている以上、未受講者は特定されています。特定されているのに対応していない状態は、是正すべき不適合として扱われます
3. 攻撃は最も弱い一人を狙うから。フィッシングも内部不正も、統計的な平均ではなく個別の一人に起きます。「ほぼ全員が知っている」は防御として機能しません

ただし、100%が現実的でない期間は存在します。長期休職者、産休・育休中の要員など。これは未受講ではなく「対象外（復帰時に実施）」として管理します。分母から適切に除外し、復帰時の実施を手順に定めておけば、未対応の放置にはなりません。

何を決めるのか

1. 対象者の定義と名簿の出所

誰が教育の対象かを定義し、その名簿をどのシステムから取るかを決めます。人事システム、勤怠、アカウント管理のいずれか。名簿が手作業のExcelだと、入退社のたびに更新漏れが起きます。アカウント発行と教育対象者名簿を同じ起点にするのが最も漏れにくい設計です。

2. 教育の種類と対象

役割別教育の対象は、SoAと役割定義から導きます。 「この管理策を運用する人には、この知識が要る」という対応を作っておくと、力量の定義が恣意的になりません。

3. 受講記録に残す項目

記録には、少なくとも次を含めます。

• 実施日（または受講完了日）
• 受講者の氏名・所属
• 教育の名称と版（コンテンツを改訂したら版を上げる）
• 実施方法（集合、eラーニング、動画、OJT）
• 理解度確認の有無と結果
• 未受講者への対応（督促日、実施予定日、対象外の理由）

理解度確認は、正答率よりも「誰が何を間違えたか」が使えます。 全社的に誤答が多い設問は、翌年の教育内容の改善に直結します。これは箇条9の測定項目としても意味を持ちます。設計の考え方は 情報セキュリティ目的とKPIの立て方 にまとめています。

4. 中途入社・復帰者・委託先要員の扱い

• 中途入社者：入社後◯日以内に入社時教育を実施すると定め、アカウント発行の条件に紐づけます。「教育未了の場合、本番環境へのアクセス権を付与しない」といった統制は、実効性が高い設計です
• 休職からの復帰者：復帰時に、休職中の規程改訂点を含めた再教育を行います。対象外としていた年次教育も、復帰後に実施します
• 委託先要員：自社の指揮下で作業する要員には、自社の教育を実施するか、委託先が同等の教育を実施した証拠を受領します。どちらを採るかを契約で定めておきます。委託先管理全般は 外部委託先管理｜チェックシートと契約条項 をご覧ください

実務の手順

ステップ1：年間教育計画を作る

年度初めに、上表の種類ごとに実施時期・対象・担当を決めた計画を作ります。計画がないと、年度末に「今年やっていない」と気づくことになります。計画はマネジメントレビューの資料にもなります。

ステップ2：名簿を自動で取れる状態にする

人事システムやID管理から対象者名簿を出力できるようにします。手作業の名簿を使う場合は、月初に更新する担当と手順を決めます。名簿の鮮度が、受講率の正確さを決めます。

ステップ3：コンテンツを「自社の事例」で作る

汎用的なセキュリティ教材だけでは行動が変わりません。自社で実際に起きたヒヤリハット、顧客から指摘された事項、前年の内部監査の観察事項を盛り込むと、受講者の当事者意識が変わります。事例が乏しい初年度は、同業種で公表された事象を素材にします。

ステップ4：実施し、未受講者を週次で追う

配信後、未受講者リストを週次で更新し、所属長に送ります。個人に督促するより、所属長経由のほうが完了が早いのが実務上の傾向です。期限の1週間前と当日にリマインドを入れます。

ステップ5：期限後の未受講をエスカレーションする

期限を過ぎた未受講者は、ISMS責任者から本人と所属長にエスカレーションします。ここで重要なのは、エスカレーションの記録を残すことです。仮に年度末に数名が未了でも、督促とエスカレーションの記録があれば「管理されている未完了」であることを示せます。記録がないと「放置」と評価されます。

ステップ6：結果を評価し、次年度に反映する

受講率、理解度確認の結果、訓練の結果（たとえば標的型メール訓練の開封率・報告率）をまとめ、マネジメントレビューに報告します。訓練の設計は 標的型攻撃メール訓練 が参考になります。報告の枠組みは マネジメントレビューの進め方と議事録 をご覧ください。

ステップ7：内部監査で網羅性を確認する

内部監査の項目に「対象者名簿と受講記録の突合」を入れます。監査人が名簿と記録を照合すると、名簿そのものの漏れ（対象に入れ忘れていた委託先要員など）が見つかります。監査の進め方は 内部監査の進め方｜計画・チェックリスト・報告 にまとめています。

よくある失敗

年1回の配信だけで、期中入社者が抜ける

最も頻度の高い失敗です。4月に一斉配信し、7月入社の人が翌年4月まで未教育のまま。入社時教育を独立した仕組みとして持つことで解消します。

受講記録に「誰が」がない

「全社員に配信しました」という記録はあるが、個人単位の完了記録がない。これでは網羅性を示せません。eラーニングのシステムログをそのまま証拠にできるかを、導入時に確認しておきます。

理解度確認がなく、開封＝受講になっている

動画を再生しただけで完了とみなす設計は、実質的に認識を確保できません。設問は3〜5問で十分です。全員が満点を取れる設問にすると意味がないため、実務の判断を問う設問を1問入れます。

役割別教育が存在しない

全社教育だけで力量の要求を満たそうとするケースです。特に内部監査員の力量は審査で必ず確認されます。監査手順を知らない人が監査を行った記録は、内部監査そのものの有効性を疑わせます。

委託先要員が対象から漏れている

常駐しているのに自社の従業者名簿に載っていないため、教育対象からも外れている。契約形態にかかわらず、自社の情報資産に触れる人は対象として扱うのが安全です。

教育内容が毎年同じ

同じ資料を3年続けると、受講者は内容を見なくなります。方針の要点は変わらなくても、前年の事例、規程の改訂点、業界の動向を毎年入れ替えます。コンテンツの版番号を管理すると、更新されているかが記録から分かります。

理解度確認の結果を使っていない

正答率を集計して終わり、という運用です。誤答の多かった設問は、規程の書き方が分かりにくいか、運用が実態に合っていないかのどちらかを示唆します。教育の結果が規程の改善につながる経路を作っておくと、ISMSが動き始めます。

未受講者への督促記録がない

前述のとおり、100%に届かなかったこと自体より、届かなかったときに何をしたかの記録がないことが問題になります。督促日とエスカレーション日を記録に残します。

ヘルスケア企業の例

医療SaaS事業者

全社教育に加えて、本番環境の患者データに触れる可能性がある要員への役割別教育が必要です。対象はサポート、SRE、開発の一部、データ分析担当。内容は、アクセス申請の手順、参照してよい範囲、ログが記録されること、そして持ち出しの禁止です。この教育の受講を、本番アクセス権付与の前提条件にすると、統制として機能します。

顧客である医療機関からセキュリティ質問票を受け取ると、教育の頻度と対象範囲は高い確率で問われます。受講率100%と役割別教育の一覧は、そのまま回答資料になります。 調達で何が問われるかは ISMSが取引条件になるケース をご覧ください。

PHR事業者

利用者本人の同意に基づいてデータを扱うため、同意の範囲を超えた利用が起きないことが教育の中心になります。マーケティング部門やデータ分析担当が「持っているデータだから使ってよい」と誤解しないよう、同意範囲の判断を具体例で教育します。詳細は PHR事業者のISMS｜個人情報保護法との関係 をご覧ください。

SaMDを開発する企業

QMS（ISO 13485）側にも教育の要求があるため、教育記録を二重に管理しない設計が有効です。同じ記録様式に「対応する要求（ISMS／QMS）」の列を設け、両方の審査で使えるようにします。関係の整理は SaMDとISMS・QMS（ISO 13485）の関係 にあります。

医療機関向けに開発・保守を提供する企業

顧客側である医療機関にも職員教育の要求があり、事業者の教育と論点が重なります。自社の教育で扱うべきは、リモート保守時の手順、患者データを見たときの取扱い、医療機関への報告義務です。医療機関側の設計は 職員教育・訓練の設計、ガイドラインの全体像は 3省2ガイドラインとは をご覧ください。

まとめ

1. 規格は力量と認識を別に要求している。全社eラーニング1本では、力量の要求は満たせない
2. 認識の対象は組織の管理下で働くすべての人。役員、契約社員、派遣、常駐する委託先要員を含めて範囲を定義する
3. 受講率は100%が必要。95%は「未受講者を特定しているのに対応していない」ことの証明として読まれる。長期休職者は分母から適切に除外し、復帰時実施を手順化する
4. 抜けが出るのは中途入社・復帰者・委託先要員の3か所。入社時教育を独立の仕組みとして持ち、アカウント発行と連動させる
5. 受講記録には個人名・実施日・コンテンツの版・理解度確認の結果・未受講者への対応を残す
6. 100%に届かなかったときは、督促とエスカレーションの記録が「管理されている未完了」と「放置」を分ける

ポテックは、ヘルスケア領域に特化してISMSの構築・運用を支援しています。教育は、対象範囲の定義と記録の設計を最初に誤ると、毎年の運用で修正が効かなくなる領域です。支援内容と料金は ISMS認証取得支援サービス、個別のご相談は お問い合わせ から承ります。

参考・出典

• 情報マネジメントシステム認定センター（ISMS-AC）
• ISO/IEC 27001 Information security management systems｜ISO
• 日本産業標準調査会（JISC）
• 医療情報システムの安全管理に関するガイドライン｜厚生労働省
• 個人情報保護委員会

※規格の要求事項の解釈、認定および認証の取扱いは、規格本文および認定機関・審査機関の公表資料をご確認ください。改定や運用の見直しにより取扱いが変わる場合があります。