セキュリティ教育を社員に続ける制作会社の型──年1回の研修をやめ、12か月の計画、IPAの無料教材、確認テストで「聞いただけ」を終わらせる

この記事は、Web制作会社の社員向けのセキュリティ教育を、年間計画と無料の公的教材、確認テストで続ける作り方を扱います。

「去年、研修はやりました」で止まっていないか

年に一度、全員を会議室に集めて、2時間のセキュリティ研修をする。
終わったあとに残るのは、出席簿だけです。

半年後、新しく入ったコーダーが、顧客のサーバーの情報をチャットに貼ります。
研修の日に、その人はまだ入社していませんでした。

制作会社の教育が続かないのは、内容の問題ではありません。
年に一度の「行事」になっていて、仕事の流れに入っていないからです。

制作スタッフのセキュリティ教育とは、短い学習を毎月くり返し、確認テストの記録で「わかっている」を確かめる仕組みである

黒字化の外科医です。小さな制作会社が、外部の講師に頼らずに続けられる教育の型を解剖します。

仕組みにする理由は、三つあります。

第一に、制作会社の社員は、顧客の鍵を日常的に触るから。
サーバー、CMSの管理画面、ドメイン、ソースコード。一人の不注意が、自社ではなく顧客の事故になります。

第二に、脅威の中身が毎年変わるから。
IPAの「情報セキュリティ10大脅威 2026」組織編では、「AIの利用をめぐるサイバーリスク」が3位に初めて選ばれました。去年の研修資料には、載っていなかった項目です。

第三に、無料で使える公的な教材が、すでにそろっているから。
教材を一から作る必要はありません。社内で作るべきなのは、順番と、確認の記録だけです。

今すぐ試せる：自社の年間教育計画を作るプロンプト

私はWeb制作会社の経営者です。制作スタッフ向けのセキュリティ教育の年間計画を作ってください。

【前提】
・社員の人数と職種（ディレクター、デザイナー、コーダー、エンジニアなど）：〔　〕
・社員が触る顧客の情報（サーバー、CMS、ドメイン、ソースコードなど）：〔　〕
・社内で使っているツール（チャット、ファイル共有、生成AI、Gitなど）：〔　〕
・去年起きたヒヤリとした出来事：〔　〕
・1回の学習にかけられる時間：〔例：30分〕

1. 12か月分のテーマを、全員向けと技術者向けに分けて並べる。
2. 各月に、使う教材の種類と、確認テストの問いを2問ずつ付ける。
3. 入社した月に関係なく受けられるよう、新人向けの最初の3回を別に示す。
実在の教材名は、私が確認できる公的機関のものに限ること。

教育計画工場：12か月の表、教材の割り当て、確認テスト

公的な無料教材の使い分け

【全員向け：入口】
IPA「5分でできる！情報セキュリティポイント学習」
・1テーマ5分。経営者・管理者向け、従業員向け、自社診断に対応した25テーマなどのコースがある
・各テーマの最後に確認テストが付いている
・今はPDF版のみ（コースごとにZIPでダウンロード。オンライン版は2024年7月に公開停止）

【全員向け：映像】
IPA「映像で知る情報セキュリティ」
・ドラマで脅威と対策を学ぶ映像。社内研修など営利を目的としない用途に限り、動画ファイルを無償で提供
・申込フォームから申し込み、メールで届く案内からダウンロードする（mp4）

【全員向け：読み物】
「インターネットの安全・安心ハンドブック」（内閣サイバーセキュリティセンター（NISC）作成）
・中小組織向けの章があり、従業員教育に使える。内容に改変を加えないことを条件に活用できる

【技術者向け】
IPA「安全なウェブサイトの作り方」（改訂第7版）
・ウェブサイトの開発者・運営者向け。11種類の脆弱性と対策、チェックリスト付き

【会社として】
IPA「5分でできる！情報セキュリティ自社診断」
・25の診断項目で、自社の対策の状況をつかむ

利用の条件は教材ごとに違います。使う前に、各ページの記載を確かめてください。

12か月の計画（例）

4月　自社診断を全員で回答し、弱い項目を3つ選ぶ
5月　パスワードと多要素認証（ポイント学習）
6月　メールと添付ファイル（映像1本＋話し合い15分）
7月　顧客のログイン情報の扱い（社内ルールの読み合わせ）
8月　生成AIに入れてよい情報（社内ルールの読み合わせ）
9月　【技術者】安全なウェブサイトの作り方：入力値の扱い
10月　端末とソフトの更新（ポイント学習）
11月　【技術者】Gitと秘密情報の扱い
12月　年末年始の休業中の連絡体制
1月　IPAの10大脅威の新しい版を、自社の目線で読む
2月　【技術者】AIが書いたコードの確認の手順
3月　自社診断をもう一度回答し、4月の結果と比べる

4月と3月に同じ自社診断を置くのが要点です。1年の教育の効果を、点数の変化で確かめられます。

確認テストの型（毎月2問）

【知識の問い】
Q. 顧客のサーバーのパスワードを、社内のチャットに貼ってよいか。
　→ 正答：貼らない。決められた保管場所に置く。

【判断の問い】
Q. 急ぎの修正で、顧客から「パスワードをメールで送ります」と言われた。どう返すか。
　→ 正答の例：IDとは別の経路で受け取ることを伝え、社内のルールどおりに保管する。

記録：氏名／実施日／正答数／間違えた問い／次回の補足

判断の問いを必ず1問入れてください。知識の問いだけだと、「知っているのに、急ぎのときに守れない」状態が見えません。

かかる時間の計算（例）

1回30分 × 12か月 ＝ 年6時間（1人あたり）
社員10人（例）× 6時間 × 時間単価5,000円（例）＝ 300,000円

年30万円の時間で、顧客の鍵を扱う全員の判断をそろえられるか。費用は、この数字で判断します。

▶ パスワード管理、顧客から預かるIDで事故を起こさない制作会社のルール──FTP・管理画面・サーバー・ドメインの受け取り、保管、返却と依頼文

構造的なリスク

逆説を指摘しておきます。

教育を続けるほど、「研修をしたから大丈夫」という安心が生まれます。
けれど、人の注意は必ず抜けます。

教育は、多要素認証や権限の絞り込みといった仕組みの代わりにはなりません。
仕組みで防ぎ、それでも抜けた所に気づける人を育てる。この順番を崩さないでください。

▶ ランサムウェア対策、中小企業の制作会社は「自社が入口」になる前に──多要素認証、権限、退職者、端末の4点で、顧客サイトへの踏み台を断つ

よくあるQ&A

Q. 講師は、誰がやればよいか？

社長か、技術の責任者が交代で進めてください。教材は公的なものを使い、社内の人は「うちの場合はどうするか」を話す役に徹します。

Q. 途中で入社した人は、どうするか？

4月の自社診断と、パスワード、ログイン情報、生成AIの3回分を、入社した月にまとめて受けてもらいます。

Q. 顧客向けの研修に、この教材を使ってよいか？

IPAの映像は、営利を目的としない用途に限って無償で提供されています。有料の研修に組み込むかどうかは、利用の条件を確かめ、必要ならIPAに問い合わせてください。

最後に

セキュリティ教育は、年に一度の行事ではなく、毎月の短い習慣です。

公的な教材で中身をそろえ、確認テストで記録を残した会社だけが、社員全員を顧客の鍵を預かれる人に育てられるのです。

AIが書いたコードの確認と、Gitの秘密情報の扱いは、こちらで扱っています。

▶ AI生成コードのセキュリティ、「動いたから納品」をやめる社内ルール──人が確かめる5つの観点、実在しないパッケージの確認、記録の型

▶ APIキーの漏洩対策、制作会社は「書かない仕組み」と「漏れたら止める初動」──Git・.envの置き方、シークレットスキャン、鍵の無効化と再発行

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #セキュリティ教育 #社員教育 #情報セキュリティ #IPA #研修 #制作会社経営 #中小企業 #人材育成 #セキュリティ対策