ISMS・プライバシーマークと標的型メール訓練：認証の要求事項との関係

ISMS・プライバシーマークと教育の要求事項とは

ISMS認証やプライバシーマーク（Pマーク）を持つ会社では、「標的型メール訓練は認証のために必要なのか」と迷う担当者もいるでしょう。結論から言うと、この記事で確認した公式資料には、標的型メール訓練を実施しなければならないとは書かれていません。一方で、どちらの制度も従業者への教育と、その効果の確認を求めています。訓練は、この教育と効果の確認を支える手段の一つとして位置づけられます。

ここでは、二つの制度の基準を公式資料で確認し、訓練との関係を整理します。

• ISMS：情報セキュリティマネジメントシステム。要求事項を定めた規格は JIS Q 27001（ISO/IEC 27001）です。制度の説明は ISMS-AC（情報マネジメントシステム認定センター）が公開しています
• プライバシーマーク：個人情報を適切に扱う事業者に JIPDEC（日本情報経済社会推進協会）が付与する制度。審査の基準は、JIS Q 15001 をもとに JIPDEC が定めた「構築・運用指針」です

それぞれの要求事項の仕組み

ISMS：本文の要求事項と附属書Aの管理策

ISMS-AC の説明によると、JIS Q 27001 は本文の要求事項と附属書Aの管理策でできています。附属書Aの管理策は、事業の特性によって適用を除外できます。組織は「適用宣言書」に、採用した管理策と除外した管理策、その理由を書きます。

JIPDEC の「ISMSユーザーズガイド」は、本文の箇条4から箇条10までは例外なく実施するものだと説明しています。また、JIS Q 27001:2023 の附属書Aには93の管理策があり、「組織的」「人的」「物理的」「技術的」の四つに分かれています。

教育に関係するのは、次の三か所です。

場所	名称	内容（公式資料での説明の要約）
本文 7.2	力量	必要な力量を決め、教育・訓練などで身につけさせ、その処置が有効だったかを評価し、記録を残す
本文 7.3	認識	組織で働く人が、情報セキュリティ方針、ISMSへの自分の貢献、要求事項に従わない場合の意味を認識する
附属書A 6.3	情報セキュリティの意識向上、教育及び訓練	職務に関係する方針や手順について、意識向上プログラム・教育・訓練を受け、定期的に更新を受ける

本文の7.2と7.3は、JIPDEC のガイドで確認しました。附属書Aの6.3の名称と番号は、経済産業省の「情報セキュリティ管理基準（令和7年改正版）」で確認しました。この管理基準は JIS Q 27001:2023 と JIS Q 27002:2024 に準拠したもので、管理策を JIS Q 27002:2024 の番号で示しています。JIPDEC のガイドは、JIS Q 27001 の附属書Aと JIS Q 27002 の管理策は、番号も内容も同じだと説明しています。

附属書A 6.3 の詳細で挙げられている点

経済産業省の管理基準は、6.3 について詳しい管理策を示しています。そのうち、訓練と関係が深いものは次のとおりです。

• 意識向上・教育・訓練は、定期的に行う（6a-6.3.2）
• 新しく入った人や、役割が大きく変わった人にも行う（6a-6.3.3）
• 活動の終わりに、要員の理解を評価し、プログラムの有効性を確かめる（6a-6.3.4）
• 情報セキュリティインシデントから学んだ教訓を生かす（6a-6.3.8）
• 説明会、eラーニング、電子メールなど、多くの手段を使う（6a-6.3.9）

この管理基準の「詳細管理策」は、手引の中から実践に役立つ項目を取り出したもので、すべてを取り入れる必要はないとされています。

あわせて、6.8「情報セキュリティ事象の報告」では、気づいた事象や疑わしい事象を、適切な経路ですぐに報告する仕組みを設けることが挙げられています。不審なメールの報告を練習する訓練は、この管理策とも関係します。

プライバシーマーク：力量と認識

プライバシーマークの「構築・運用指針【JIS Q 15001:2023 準拠 ver1.0】」は、2023年12月25日に制定され、2024年10月1日からこの指針にもとづく申請の受付が始まっています。指針の項番は「J」から始まり、カッコ内に JIS Q 15001:2023 の対応する番号が示されています。

項番	名称	内容（指針の要約）
J.4.2（7.2）	力量	必要な能力を決め、身につけさせ、足りなければ処置をとってその有効性を評価し、記録を残す
J.4.3（7.3）	認識	従業者に、少なくとも年一回、および必要に応じて教育を行う手順を、教育の理解度を確認する手順を含めて内部規程として文書化する

J.4.3 では、従業者に認識させる事項として、個人情報保護方針、マネジメントシステムに従うことの重要性と利点、役割と責任、違反した場合に予想される結果が挙げられています。また、J.4.5.5 では、作成する記録の一つとして「教育などの実施記録」が挙げられています。

訓練をどう位置づけるか：進め方と注意点

「必須」ではなく「教育の効果を確かめる手段」

ここまでの基準を見ると、どちらの制度も、教育の内容と効果の確認を求めています。標的型メール訓練は、次のような形で、この求めに役立てられます。

• 理解度の確認：教育で伝えた「不審なメールの見分け方」「報告のしかた」が、実際の行動として身についているかを確かめる
• 有効性の評価：開封した人や報告した人の割合を、前回と比べる
• 記録：実施日、対象者、結果、事後教育の受講状況を残す

ただし、訓練をどう位置づけるかは組織が決めることです。訓練を教育や有効性評価の手段として扱うかどうか、どの管理策に対応させるかは、自社のリスクアセスメントと内部規程にもとづいて決め、必要に応じて審査機関や審査を受ける窓口に確認してください。

審査に備えて残しておくとよい記録

訓練を教育の一部として扱う場合は、次のような記録を残しておくと説明しやすくなります。

• 訓練の目的と、教育計画の中での位置づけ
• 対象者（新しく入った人を含むか）と実施日
• 結果（開封、報告）と、前回との比較
• 事後教育の内容と、受講・理解度の確認結果
• 結果から見つかった課題と、次の計画への反映

注意点

• 訓練だけで教育の要求を満たすとは考えない：Pマークの指針は、方針や役割、違反した場合の結果などの認識を求めています。メールの見分け方だけでは、これらはカバーできません。訓練は、全体の教育計画の一部として組み込みます
• 対象者の範囲をそろえる：管理基準は、外部の要員を含めて役割を考えて計画することを挙げています。派遣社員や委託先の人を訓練の対象にするかは、教育計画の対象範囲と合わせて決めます
• 個人の評価に使わない：開封した人を罰する使い方は、報告をためらわせます。事後教育の進め方は、「種明かしと訓練後の教育」で解説しています

訓練サービスには、結果のレポートや受講記録を出力できるものがあります。記録の出し方はサービスごとに違うため、比較表で確認してください。

まとめ

• この記事で確認した ISMS と Pマークの公式資料には、標的型メール訓練を実施しなければならないとは書かれていない
• ISMS では、本文の7.2（力量）・7.3（認識）と、附属書Aの6.3（情報セキュリティの意識向上、教育及び訓練）が教育に関係する
• Pマークでは、J.4.3（認識）で、年一回以上の教育と、理解度を確認する手順の文書化が求められている
• 訓練は、教育の理解度や有効性を確かめる手段として位置づけられる。位置づけは自社のリスクアセスメントと内部規程で決め、記録を残す