DXセキュリティとは｜4つのリスク要因と対策、従業員教育の進め方

DXセキュリティとは、DXの推進で増えるクラウド、社外の端末、取引先とのデータ連携といった接点をサイバー攻撃から守り、事業を止めずに変革を続けるための対策全体を指す言葉です。法令などで定義された用語ではありませんが、守る範囲が社内のネットワークの外まで広がる点が、従来の情報セキュリティとの違いです。この記事では、リスクが増える4つの要因を整理したうえで、技術・組織・人の3つの面から取るべき対策、企業規模別の優先順位、事故が起きたときの初動、よくある失敗、対策の効果を確かめる方法までを順に解説します。

目次

開く

閉じる

1. DXセキュリティの出発点｜守る範囲の広がりと、最初に固めたい「人」の対策
2. DXでセキュリティリスクが増える4つの要因｜IPA10大脅威との対応
3. リモートワーク拡大によるシャドーITのリスク
4. 外部接点の増加とサプライチェーン攻撃
5. システムの複雑化が生む設定不備と脆弱性
6. 人的リスク｜従業員教育の重要性
7. 企業規模別に見る対策の優先順位
8. インシデント発生時の初動対応と法令上の注意点
9. DXセキュリティ対策でよくある失敗パターン
10. セキュリティ対策の効果をどう確認するか
11. よくある質問(FAQ)
12. まとめ
13. 参考文献

DXセキュリティの出発点｜守る範囲の広がりと、最初に固めたい「人」の対策

DXセキュリティとは、DXで広がるクラウドや社外の端末、取引先との連携を攻撃から守り、事業を止めずに変革を続けるための対策全体のことです。

経済産業省の「デジタルガバナンス・コード3.0」は、DXを、企業がビジネス環境の激しい変化に対応し、データとデジタル技術を活用して、製品やサービス、ビジネスモデル、業務、組織、企業文化を変革し、競争上の優位性を確立することと定義しています。変革の範囲が広いほど、つながる相手や使うツールも増えるため、守る対象は社内のネットワークだけでなく、クラウド、社外の端末、取引先とのつながりにまで広がります。

同コードは、DXを推進していく前提となるサイバーセキュリティ対策を必要不可欠な投資と位置づけ、DX戦略の実施の前提としてサイバーセキュリティ対策を推進することを求めています。つまりセキュリティは、DXが終わってから考える付け足しではなく、DXを進める条件の一部です。

対策というと、認証の強化や監視ツールの導入といった技術面に目が向きがちですが、後述する4つのリスク要因のどれをたどっても、最後は「使う人」に行き着きます。許可されていないサービスを使うのも、取引先を装ったメールを開くのも、クラウドの公開設定を誤るのも人だからです。同コードも、サイバーセキュリティに対応できる体制づくりの取り組みの1つとして、社員への教育等を挙げています。

そのため、比較的少ない負担で始められて効果が広く及ぶのが、従業員向けの情報セキュリティ研修です。集合研修は日程調整の負担が大きく、拠点や勤務形態が分かれている会社では全員に届きにくいため、時間と場所を選ばずに受講でき、受講状況を管理者が把握できるeラーニングがよく使われます。情報セキュリティの内容を含むeラーニングのうち、性格の異なる3つを、役割の違いで整理しました。

教育の仕組みを整える場合の一例が、OneCompliance(ワンコンプライアンス)です。コンプライアンス研修に特化したeラーニングで、商品ページには、情報セキュリティ(リスク、外部からの攻撃、人の不注意や不正、リスクを最小化する対策)のほか、個人情報保護法、下請法、著作権(AIに関する内容を含む)などのコースが掲載されています。コースの割り当てと自動リマインダー、受講状況を確認できるダッシュボードにより、連絡や集計にかかる工数を減らせるとされています。注意したい点は、掲載コースが法務・労務・情報領域の内容が中心であることと、料金が受講者数に応じて変わり、詳細は問い合わせが必要なことです。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

出典: 株式会社プリメディカ(OneCompliance導入事例の「導入の背景・課題感」) https://onecompliance.jp/

DXでセキュリティリスクが増える4つの要因｜IPA10大脅威との対応

DXでセキュリティリスクが増える要因は、シャドーIT、サプライチェーン攻撃、システムの複雑化、人的リスクの4つです。社外との接点とツールが増えるほど、攻撃者が入り込める入口と、人が操作を誤る場面が増えるためです。

リスク要因	DXで何が変わるか	起こりやすい事故
リモートワークの拡大とシャドーIT	社外から社内の情報にアクセスする機会が増え、会社が把握していない端末やサービスが使われる	私用のサービスに置いた業務データの流出、端末の紛失
外部との接点の増加	取引先や委託先、外部サービスとデータをやり取りする経路が増える	対策の手薄な取引先を足がかりにしたサプライチェーン攻撃
システムの複雑化	クラウドサービスと既存システムが混在し、設定や更新の管理対象が増える	公開設定の誤り、更新漏れによる脆弱性の放置
人的リスク	新しいツールが次々に導入され、使い方の理解が追いつかない	誤操作、設定の不備、不審なメールの開封、内部不正

情報処理推進機構(IPA)が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織向け脅威を見ると、この4つの要因が実際の脅威と重なっていることが分かります。1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」、4位は「システムの脆弱性を悪用した攻撃」、7位は「内部不正による情報漏えい等」、8位は「リモートワーク等の環境や仕組みを狙った攻撃」です。3位には「AIの利用をめぐるサイバーリスク」が初めて選ばれており、生成AIの業務利用が広がるなかで、新しい種類のリスクも加わっています。

従来の情報セキュリティとDXで進める場合の違い

観点	従来の情報セキュリティ	DXで進める場合
守る範囲	社内のネットワークと社内の端末	クラウド、社外の端末、取引先とのデータ連携まで
考え方の前提	社内は安全、社外は危険と、境界で分ける	社内か社外かを問わず、アクセスのたびに利用者と端末を確かめる(ゼロトラスト)
導入の主体	情報システム部門が中心	事業部門ごとにツールを導入する場面が増え、利用者全員が関わる
責任の範囲	自社の管理下にある設備	クラウド事業者、利用者、取引先の間で分担する

最初に整える対策は、4つの要因のどれにも効く土台になる「人」への教育ですが、要因ごとに現れ方は違います。次の節から、要因ごとの中身と対策を順に見ていきます。

リモートワーク拡大によるシャドーITのリスク

シャドーITとは、会社が許可も把握もしていない端末やサービスを、従業員が業務に使っている状態のことで、リモートワークの拡大で起こりやすくなります。会社の管理が及ばないため、情報がどこに置かれ、誰が見られるのかを確かめられなくなります。

自宅の回線や私用の端末から業務を行う場面が増えると、会社が用意した手段が使いにくい場合に、従業員は悪意なく便利な方法を選びます。代表的な例は次のとおりです。

• 私用のチャットやメールで業務の連絡やファイルの送付を行う
• 個人で契約したオンラインストレージに業務データを保存する
• 会社が利用を認めていない生成AIサービスに、顧客情報や社内資料を入力する
• 私用のパソコンやスマホに業務データを残したままにする

シャドーITは、禁止するだけではなくなりません。背景には「正規の手段では仕事が回らない」という事情があるためです。対策は、使ってよいサービスの一覧と申請の手順を示すこと、申請から利用開始までの時間を短くすること、無断利用がなぜ危険なのかを従業員に理解してもらうことの3つを組み合わせて進めます。

社外から働く環境の安全対策については、総務省が「テレワークセキュリティガイドライン(第5版)」を公表しており、専任の担当者がいない中小企業向けには、最低限の確認項目をまとめた「中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)」も用意されています。自社の設定を点検する際の出発点として使えます。在宅での業務委託を検討している場合は、bpo 在宅とは？できる業務・運用設計・セキュリティの注意点で運用設計と注意点を扱っています。

外部接点の増加とサプライチェーン攻撃

サプライチェーン攻撃とは、標的の企業を直接狙わず、取引先や委託先、利用している製品やサービスを経由して侵入する攻撃のことです。DXによって会社同士がデータでつながるほど、経路は増えます。

経路は大きく3つに分けられます。1つ目は、対策の手薄な取引先や子会社に侵入し、そこから本来の標的に入り込む経路です。2つ目は、業務を任せている委託先から、預けた情報が漏れる経路です。3つ目は、利用しているソフトウェアやクラウドサービスの更新の仕組みなどを悪用される経路です。

この攻撃では、自社が被害者になるだけでなく、自社が踏み台になって取引先に被害を広げてしまう可能性もあります。経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」も、サプライチェーンを介した被害の拡大を踏まえ、サプライチェーン全体を通じた対策の推進の必要性が高まっていると述べています。デジタルガバナンス・コード3.0も、取引先や調達するITサービス等の提供事業者のサイバーセキュリティ対策の強化を促しながら、サプライチェーンを保護することを望ましい方向性の1つに挙げています。

備えとしては、次の点を確かめておきます。

• 取引先や委託先に渡している情報と、相手が自社のシステムに入れる範囲を一覧にする
• 契約に、情報の取り扱い、再委託の条件、事故が起きたときの連絡方法を盛り込む
• 取引先や経営者を装ったメールによる送金の依頼や添付ファイルに、従業員が気づけるようにする
• 自社が攻撃を受けたときに、取引先へ連絡する担当者と手順を決めておく

委託先の管理についてはBPOセキュリティとは？委託先監督・契約条項・選定基準を解説で、契約に盛り込む内容を詳しく扱っています。

システムの複雑化が生む設定不備と脆弱性

システムの複雑化によるリスクとは、クラウドと既存システムが混在して設定や更新の管理対象が増え、設定の誤りや更新の漏れがそのまま攻撃の入口になることです。

クラウドサービスでは、提供事業者が守る範囲と、利用者が自分で守る範囲が分かれています。基盤の安全性は事業者が担いますが、誰にどの権限を与えるか、データを社外に公開するかどうかといった設定は利用者の責任です。責任の分かれ目はSaaSのセキュリティ｜利用者の責任範囲とISMAP・個情法の要点【公的資料準拠】で整理しています。

ランサムウェアの入口は、更新と設定の隙

設定や更新の隙が実際の被害につながっている状況は、警察庁の資料から読み取れます。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年のランサムウェアの被害報告は226件で、被害企業・団体の約6割が中小企業でした。被害組織へのアンケートでは、侵入経路はVPN機器が6割以上を占め、攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備などを悪用して侵入するとされています。標的型攻撃メールの添付ファイルによる感染は少なくなっているという説明です。

復旧にかかった費用と期間も、決して小さくありません。同じアンケートでは、復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧した組織は5割強にとどまりました。対策として同資料は、ソフトウェア更新、パスワードの適切な管理、アクセス権限等の適切な設定といった基本的な対策を続けることが最も重要だとし、主要な侵入経路であるVPN機器等は速やかな対応が必要としています。

複雑化に対しては、技術・組織・人の3つの面から対策を重ねます。4つのリスク要因と対策の対応を表にまとめました。1つの対策ですべてを防ぐことはできないため、どの行にも3つの面が並ぶ点に注目してください。

リスク要因	技術の対策	組織の対策	人の対策
シャドーIT	多要素認証、端末の管理、利用サービスの可視化	利用可能なサービスの一覧と申請手順の整備	無断利用が危険な理由の教育
サプライチェーン攻撃	取引先からのアクセス範囲の制限、通信の監視	契約条項の整備、委託先の確認	なりすましメールへの対応訓練
システムの複雑化	更新の適用、設定の点検、バックアップ	システムとアカウントの棚卸し、管理責任者の明確化	設定を担当する人への手順の教育
人的リスク	権限を必要な範囲に絞る、操作記録の保存	ルールの明文化、報告しやすい窓口の設置	全従業員への定期的な研修と理解度の確認

ゼロトラストという考え方

技術面の対策を考えるうえで土台になるのが、ゼロトラストです。従来は「社内のネットワークは安全、社外は危険」と境界で分けて守っていましたが、クラウドと社外からの利用が当たり前になると、この境界が意味を持たなくなります。ゼロトラストは、社内か社外かを問わず、アクセスのたびに利用者と端末を確かめるという考え方です。特定の製品の名前ではないため、多要素認証の導入、権限の絞り込み、端末の状態の確認といった対策を積み重ねて実現します。

IDとアカウントの管理を見直す

クラウドサービスが増えると、IDとパスワードも増えます。覚えきれずに使い回したり、簡単な文字列にしたりすると、前述の警察庁の資料が挙げる「漏えいした認証情報や簡易なパスワード」を悪用される原因になります。見直す点は、多要素認証の有効化、複数のサービスに1つのIDでログインできるシングルサインオン(SSO)の導入の検討、退職者や異動者のアカウントを停止する手順づくりの3つです。

端末や書類の物理的な管理も忘れない

リモートワークでは、端末の紛失や盗難、社外で画面をのぞき見られること、持ち出した資料の置き忘れといった、物理的な事故も起こります。端末の画面ロックとディスクの暗号化、社外で業務を行う際の画面表示への注意、持ち出してよい情報の範囲を、ルールとして決めておきます。

認証や公的な制度を目安にする

対策の水準を社内外に示す目安としては、情報セキュリティの管理の仕組みを第三者が審査するISMS認証や、個人情報の取り扱い体制を審査するプライバシーマークがあります。取得には一定の準備と費用がかかるため、まず取り組みやすいものとして、IPAの「SECURITY ACTION」があります。中小企業が情報セキュリティ対策に取り組むことを自己宣言する制度で、自治体の補助金の採択審査で加点の対象になる例があります。デジタルガバナンス・コード3.0の認定基準でも、中小企業は、SECURITY ACTIONの自己宣言(二つ星)を行っていることを確認する方法でもよいとされています。認証や宣言は対策の出発点であり、取得したあとの運用が伴っているかが問われます。

人的リスク｜従業員教育の重要性

人的リスクとは、従業員の誤操作、設定の不備、不注意、あるいは意図的な持ち出しによって事故が起こるリスクのことで、新しいツールを導入した直後は、使い方に慣れていないため特に起こりやすくなります。

人的リスクは、次の3つに分けて考えると対策を立てやすくなります。

種類	例	主な対策
知らなかったことによるミス	共有リンクを誰でも見られる設定のまま送る、不審な添付ファイルを開く	基礎知識と手口を学ぶ研修
知っていたが守らなかった	急いでいて私用のサービスでファイルを送る、パスワードを使い回す	守りやすい手段の提供、ルールの理由の説明
意図的な不正	退職の前に顧客情報を持ち出す	権限の絞り込み、操作記録の保存、退職時のアカウント停止

前の2つは、知識の不足や守りにくさが原因のため、教育と仕組みづくりで減らしやすい分類です。ただし、年に1回、資料を配って終わりにする研修では行動は変わりません。効果を出すには、次の5つの点を押さえます。

• 全員が同じ内容を受ける：経営層や役員、派遣社員やアルバイトも対象に含める
• 短く、繰り返す：長時間の研修を年に1回行うより、短い教材を定期的に配信する
• 自社の業務に引きつける：実際に使っているツールの画面や、自社で起こりうる場面を題材にする
• 理解度を確かめる：受講しただけで終わらせず、確認テストで定着を見る
• 報告を責めない：ミスに気づいた人がすぐに報告できる雰囲気と窓口を用意する

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、第4.0版が公開されており、最初に取り組む基本の対策として、脅威や攻撃の手口を知ることなどを含む「情報セキュリティ6か条」をまとめています。デジタルガバナンス・コード3.0も、サイバーセキュリティリスクに対応できる体制づくりの取り組みとして、社員への教育等を企業として進めることを挙げています。

教育を続けるうえでの壁は、手間です。日程の調整、未受講者への催促、テストの採点、記録の保管を手作業で行うと、担当者の負担が大きく、数回で途切れがちです。eラーニングは、配信、催促、採点、受講記録の保存を仕組みとして任せられるため、少人数の管理部門でも継続しやすくなります。新しいツールを導入するたびに、その使い方と注意点を教材として追加していく運用にすると、DXの進み具合と教育の内容がずれません。

新しいツールの使い方や、自社独自のセキュリティルールを全員に伝えたい場合の一例が、Smart Boardingです。研修・OJT・eラーニングを1つのシステムで進められ、自社の資料や動画と用意されたコンテンツを組み合わせた研修コースを作れるほか、LMS機能で進捗や理解度を確認し、小テストも作成できると商品ページで紹介されています。注意したい点は、自社の教育内容を学習プログラムにする際に一定の手間がかかり、担当者との打ち合わせが必要なことです。情報セキュリティ専用のコースがあるかは商品ページに記載がないため、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内で様々な研修を実施してきましたが、全社員の参加が難しかったり、研修のデータ把握・管理が複雑になること課題でした。

出典: パナソニックホームズ北九州株式会社(Smart Boarding導入事例) https://smartboarding.net/example/1834/

ここまでの内容を、自社の状況に当てはめて確かめてみてください。

企業規模別に見る対策の優先順位

対策の優先順位は、守るべき情報と、止まると困る業務を先に決め、自社の規模に見合った基本の対策から始めるのが基本です。すべての対策を一度に行うことはできません。規模によって優先順位は変わります。

規模	起こりやすい状態	先に取り組むこと
個人事業主・小規模企業	クラウドサービスを初期設定のまま使い続けている	ソフトウェアの更新、多要素認証の有効化、パスワードの使い回しの解消、バックアップ
中小企業	部署ごとに別のサービスを契約し、誰が何を使えるかを把握しきれていない	サービスとアカウントの棚卸し、退職者・異動者のアカウント停止の手順づくり、全従業員への研修
中堅・大企業	古いシステムと新しいシステムが混在し、拠点や部門で対応がばらつく	全社共通の方針の整備、システム間の接続部分の点検、取引先を含めた対策、事故対応の体制づくり

業種による違いもあります。製造業では、これまで外部から切り離されていた生産設備がネットワークにつながるため、事務系のシステムと設備を制御するシステムのネットワークを分けて考える必要があります。小売業やサービス業では、ECサイトや予約システムで顧客の個人情報や決済情報を扱うため、外部サービスと連携するための鍵の管理が要点になります。士業などの専門サービス業では、機密性の高い書類をクラウドで扱うため、誰がいつ閲覧したかを確かめられる運用が求められます。

なお、対策を決めるのは情報システムの担当者だけの仕事ではありません。「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目を示しており、ITやセキュリティへの投資をどの程度行うかは経営者の判断が必要だとしています。

どの規模でも、全従業員に基本を同じ内容で届ける研修は、先に取り組みやすい対策です。研修の連絡や集計が担当者の負担になる場合は、受講管理を仕組みに任せる方法があります。

インシデント発生時の初動対応と法令上の注意点

セキュリティ事故が起きたら、まず感染端末の切り離しと記録の保全で被害の拡大を止め、社内の責任者へ報告し、影響範囲を確かめたうえで社外へ連絡します。どれだけ対策をしても事故をゼロにすることはできず、被害を小さく抑えられるかは、最初の対応をあらかじめ決めているかで変わります。基本の流れは次のとおりです。

1. 被害の拡大を止める：感染が疑われる端末をネットワークから切り離し、不正に使われたおそれのあるアカウントを停止します。慌てて電源を切ると、侵入の痕跡が失われて調査が難しくなるおそれがあります。
2. 記録を残す：原因の調査に必要な操作記録や通信記録を、消さずに保全します。
3. 社内に報告する：あらかじめ決めた責任者へ連絡し、対応の指揮を1か所に集めます。
4. 影響の範囲を確かめる：どの情報が、どれだけ、誰のものが関係するかを特定します。
5. 社外に連絡する：取引先、顧客、必要に応じて警察などの関係機関や専門の事業者に連絡します。

警察庁の資料によると、ランサムウェア被害にあった企業・団体のうち、サイバー攻撃を想定した業務継続計画(BCP)を策定済みの組織は約18%でした。連絡先を計画に整理しておくと、被害が起きたときに円滑に連携できます。デジタルガバナンス・コード3.0も、被害を受けた場合のBCPを策定するとともに、経営陣も含めて緊急対応の演習・訓練を実施することを望ましい方向性に挙げています。

個人データが関係する場合は、個人情報保護法にもとづき、個人情報保護委員会への報告と本人への通知が必要になることがあります。個人情報保護委員会の案内では、要配慮個人情報が含まれる場合、財産的な被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、本人の数が1,000人を超える場合などが報告の対象として挙げられています。発覚したらまず速やかに報告することとされ、速報は発覚から3-5日以内、確報は発覚から30日以内(不正の目的で行われたおそれがある場合は60日以内)が目安です。ランサムウェアによって個人データが暗号化され、復元できなくなった場合も、漏えい等の事例として示されています。

報告が必要かどうかや期限の扱いは、事案の内容によって変わります。本記事は一般的な情報の整理を目的としたもので、法的な助言ではありません。実際に事故が起きた場合は、個人情報保護委員会の最新の案内を確認し、弁護士などの専門家に相談してください。

DXセキュリティ対策でよくある失敗パターン

DXのセキュリティ対策の失敗は、技術の不足よりも、導入を急いで確認を後回しにする、設定したまま見直さないといった、進め方や運用の問題から起こりやすくなります。よくあるケースと改善策を整理しました。

よくある失敗(Before)	改善策(After)
導入のスピードを優先し、セキュリティの確認を後回しにする	ツールを選ぶ段階の確認項目に、権限の設定、データの保存場所、記録の取得を入れる
導入時に設定したきりで、組織の変更後も権限を見直さない	半年に1回など時期を決めて、アカウントと権限を棚卸しする
ツールを入れたことで安心し、使う人への教育を行わない	導入とあわせて、使い方と注意点の研修を全員に行う
ルールを厳しくしすぎて業務が回らなくなり、かえってシャドーITが増える	守る情報の重要度に応じて強弱をつけ、安全で使いやすい代わりの手段を用意する
情報システムの担当者に任せきりにし、経営層が関与しない	経営層が方針と予算を決め、定期的に状況の報告を受ける

4つ目の「厳しくしすぎる」失敗は見落とされがちです。すべての情報を最高の水準で守ろうとすると、費用も手間も続きません。顧客の個人情報や決済情報のように漏れたときの影響が大きいものには手厚く、社内の一部でしか使わない情報には基本の対策を徹底する、というように強弱をつけることが、対策を長続きさせるこつです。

セキュリティ対策の効果をどう確認するか

セキュリティ対策の効果は、事故の件数ではなく、技術・組織・人の3つの面で対策がどこまで行き届いているかを数字で確かめます。「何も起きないこと」が成果のため効果が見えにくく、予算や時間の確保が後回しにされがちだからです。指標は、3つの面で1つずつ持つと偏りません。

対策の面	確かめる指標の例	見るときの注意
技術	多要素認証を有効にしているアカウントの割合、更新を適用済みの端末の割合	例外として外している端末やアカウントの理由を記録する
組織	棚卸しで見つかった不要なアカウントの数、申請なしで使われていたサービスの数	数が多いこと自体を責めず、減っているかどうかを見る
人	研修の受講率、確認テストの正答率、訓練メールを不審だと報告した人の割合	受講率だけで満足せず、理解度と行動の変化まで見る

このうち、人の面は特に測りにくい部分です。受講率が高くても、内容を理解していなければ行動は変わりません。確認テストの正答率が低い設問は、従業員の理解が足りないのではなく、ルールや教材が分かりにくい合図であることも多いため、教材とルールの見直しにつなげます。また、訓練メールでは開封した人の割合よりも、不審だと気づいて報告した人の割合を重視します。開封を責める運用にすると、本番でも報告が上がらなくなるためです。

こうした数字を半年ごとに経営層へ報告すると、対策が進んでいるかを説明しやすくなり、次の予算や体制の判断にもつながります。IPAの「5分でできる！情報セキュリティ自社診断」のような公的な診断を定期的に行い、前回との差を見る方法も有効です。

受講の記録やテストの結果を手作業で集計するのは負担が大きいため、受講状況と理解度を仕組みで集計できるeラーニングを使う方法があります。確認テストの結果で理解度を確かめたい場合の一例が、SAKU-SAKU Testingです。CBTの技術を生かしたeラーニングで、既存の問題と自社で作る問題を組み合わせたテスト(選択式、穴埋め、並び替え、記述)を作成でき、受講状況やデータ分析がダッシュボードでグラフ表示されると商品ページで紹介されています。ラインナップにはコンプライアンス、ハラスメント、情報セキュリティなどの内容も含まれます。注意したい点は、AIを使ったリモート監視機能などが有償オプションであることと、日本国内仕様で海外での利用はサポート対象外であることです。料金はプランによって異なるため、資料や公式サイトで確認してください。

コンテンツの質の向上はもちろん、受講者への事前リマインドによる受講率向上や、受講状況・結果を容易に把握できるようになったことで、次の施策への展開が容易になった。

出典: メディカル・データ・ビジョン株式会社(SAKU-SAKU Testing導入事例) https://www.e-coms.co.jp/jirei/jirei29

3サービスの役割を比較表で見る

よくある質問(FAQ)

Q. DXセキュリティとは何ですか？

A. DXの推進によって広がるサイバーリスクに備え、事業を止めずに変革を続けるための対策全体を指す言葉です。守る対象が社内のネットワークだけでなく、クラウド、社外の端末、取引先とのつながりにまで広がっている点が、従来の情報セキュリティとの違いです。

Q. DXとは簡単に言うとどういう意味ですか？

A. 経済産業省のデジタルガバナンス・コード3.0では、データとデジタル技術を活用して、製品やサービス、ビジネスモデル、業務、組織、企業文化を変革し、競争上の優位性を確立することと定義されています。簡単にいえば、ITツールを入れること自体ではなく、デジタルを使って事業のやり方を変えることです。その前提として、サイバーセキュリティ対策が必要不可欠な投資と位置づけられています。

Q. DXは意味ないと言われるのは本当ですか？

A. デジタルガバナンス・コード3.0は、経営者自らの意思でDXに取り組んだ企業と、周囲からの要請で取り組んだものの結果が出ない企業との差が大きくなっていると述べています。ツールを入れただけで目的や経営との連動が曖昧だと成果が出にくい、という意味であり、DXそのものに意味がないとは書かれていません。セキュリティ対策を後回しにして事故で事業が止まると成果を損なうため、対策はDXの前提として進めます。

Q. DXでセキュリティリスクが増えるのはなぜですか？

A. リモートワークの拡大によるシャドーIT、外部との接点の増加によるサプライチェーン攻撃、システムの複雑化による設定不備や脆弱性、新しいツールに不慣れなことによる人的リスクという4つの要因で、攻撃者が入り込める入口が増えるためです。

Q. 中小企業は何から始めればよいですか？

A. ソフトウェアの更新、多要素認証の有効化、パスワードの使い回しの解消、バックアップといった基本の対策から始めます。そのうえで、利用しているサービスとアカウントを棚卸しし、全従業員への研修を行います。IPAの「中小企業の情報セキュリティ対策ガイドライン」が手順の参考になります。

Q. 従業員へのセキュリティ教育の効果はどう確かめますか？

A. 研修の受講率だけでなく、確認テストの正答率や、訓練メールを不審だと報告した人の割合を見ます。eラーニングを使うと受講状況と理解度を自動で集計でき、正答率の低い設問をもとに教材やルールを見直すこともできます。

まとめ

DXを進めるほど、シャドーIT、サプライチェーン攻撃、システムの複雑化、人的リスクという4つの要因でセキュリティリスクは増えます。対策は技術・組織・人の3つの面を重ねることが基本で、なかでも使う人への教育は、どの要因にも効く土台になります。最後に、今日から取り組める4つのことを整理します。

1. 利用しているクラウドサービスとアカウントを書き出し、不要なものを停止する。
2. 多要素認証とソフトウェアの更新(VPN機器などの外部に公開している機器を含む)、バックアップの状況を確かめる。
3. 取引先や委託先に渡している情報と、事故が起きたときの連絡先を一覧にする。
4. 全従業員が受けられるセキュリティ研修の仕組みを決めるため、OneCompliance、Smart Boarding、SAKU-SAKU Testingなどのeラーニングの資料を取り寄せ、自社の課題に合うかを比較して検討する。

参考文献

• 独立行政法人情報処理推進機構(IPA)「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
• 独立行政法人情報処理推進機構(IPA)「中小企業の情報セキュリティ対策ガイドライン」 https://www.ipa.go.jp/security/guide/sme/about.html
• 独立行政法人情報処理推進機構(IPA)「SECURITY ACTION セキュリティ対策自己宣言」 https://www.ipa.go.jp/security/security-action/index.html
• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」 https://www.meti.go.jp/policy/netsecurity/mng_guide.html
• 経済産業省「デジタルガバナンス・コード」(3.0) https://www.meti.go.jp/policy/it_policy/investment/dgc/dgc.html
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
• 総務省「テレワークにおけるセキュリティ確保」 https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/