第1回 年間ロードマップに組み込んだ「全社を巻き込む」研修とはPR 情報セキュリティの基盤構築を進めるYUSHIN株式会社の挑戦

「規定やマニュアルを作っても、なかなか読まれない」「研修をしようにも、全員を集めるのは難しい」。これらは多くの企業が抱えるコンプライアンス教育の課題です。YUSHIN株式会社もまた、体系的な研修の不在と、従業員のリテラシーのばらつきに悩んでいました。

今回お話を伺ったのは、同社の管理本部 IT推進部で管理職を務める中牧 徹様。情報セキュリティのインフラの導入から海外拠点のIT統制まで、幅広く担当されています。

同社は、全社的なセキュリティ意識の向上を目指し、「BUSINESS LAWYERS COMPLIANCE」（以下、BLC）を導入。その背景には、経営層を巻き込み、緻密に練られた長期的な戦略がありました。BLC導入前の課題から、経営層と協議の上で策定したロードマップ、そして導入後の効果まで、詳しくお伺いしました。

課題：読まれないマニュアルとリテラシーのばらつき。「どうすれば自分事になる？」

まず、BLCを導入される前の研修状況と課題について教えてください。

正直なところ、コンプライアンス研修の体系的なカリキュラムや枠組みは、実質的に存在しない状況でした。

もちろん、情報セキュリティに関する規程やマニュアルは作っていましたが、「じゃあ、それを皆が読むか？」と問われれば答えはノーです。書いた側としては読んでほしいのですが、なかなか浸透しないのが現実でした。

具体的に、従業員の皆様の状況からどのような課題を感じていましたか？

一番課題と感じていたのは、従業員のITリテラシーのばらつきです。IT推進部には問い合わせが非常に多く寄せられていて、不安な点がありました。試しに、スパムメールの模擬訓練を実施したことがあるのですが、注意喚起をしても「ついクリックしてしまう」従業員が後を絶ちませんでした。研修を通して、実例を見せて「これは自分にも起こり得るんだ」という実感を持ってもらわないといけないと感じました。

様々な課題があったとのことですが、今後、特に取り組んでいきたい課題は何でしょうか？

自社を守ることはもちろんですが、その先にあるサプライチェーンのセキュリティレベルをどう向上させるか、という点です。当社の取引関係者様には比較的小規模な企業も多く、セキュリティ対策が十分でないケースも少なくありません。そういった取引関係者様のリテラシーをどう高めていくかが、非常に大きな課題だと感じています。

検討：決め手は「弁護士監修」「ケーススタディ」「10分」という手軽さ

BLCは、どのようなきっかけで知ったのでしょうか？

実は、先に別部門（経営企画室）が下請法の研修でBLCを導入していたんです。「その動画どこで買ったの？」と聞いたら、弁護士ドットコムさんの名前が出てきて。「それなら情報セキュリティ関連の良いコンテンツもあるかもしれない」と思ったのがきっかけです。

BLC導入の決め手は何だったのでしょうか？

決め手はいくつかあります。

導入：鍵は「事故が起こる前の対策」。ロードマップで経営層を説得

研修導入には費用もかかります。経営層への説明はどのように進められたのですか？

ポイントは2つです。1つは費用対効果の伝え方、もう1つはリスク対策としての位置づけです。

費用については、「1本50万円でも、全従業員が何回でも見られる。1人当たりに換算すると数千円で、非常に安価です」と説明しました。

そして何より強調したのは、「これは会社を守るための投資であり、もし守れなければ損害は計り知れません。いわば保険のようなものです」という点です。セキュリティ対策は売上を直接生むものではなく、リスクヘッジなのだと。

なるほど。とはいえ、リスク対策への投資判断は難しい面もあるかと思います。

最近の動向として、セキュリティインシデントの脅威を感じる事案に遭遇したことがきっかけになりました。この出来事が、経営層にリスク対策の重要性を強く認識させるきっかけとなったのは事実です。

ただ、それだけではありません。私が社内で提案している「中期セキュリティロードマップ」において、BLCを「事故が起こる前の対策」の一要素として明確に位置づけたことが大きかったと思います。

ロードマップ！ぜひ詳しく教えてください。

PowerPoint1枚にまとめたシンプルなものですが、これを毎月、役員に見せて「これをやりますからね」と刷り込んでいきました（笑）。

【中牧様が作成したセキュリティロードマップ（イメージ）】

このロードマップを提示することで、今回の研修が場当たり的なものではなく、長期的な戦略の一部であることを理解してもらいました。信頼を得て、予算を承認してもらう上で非常に効果的でしたね。

効果：受講率100%を達成！社長からも内容に関する深い質問が出る一幕があるほどの真摯な取組み

現在のBLCの活用方法を教えてください。

先ほどのロードマップに沿って、年間計画に組み込んでいます。4月、7月、10月、翌1月の年4回、全従業員（派遣・パートタイマーを含む）を対象に定期研修として実施しています。

導入後の効果や従業員の皆様の反応はいかがですか？

まず、受講者の反応ですが、ITメンバーに試してもらった段階で「長さがちょうど良くて見やすい」「内容がコミカルで頭に入りやすい」と好評でした。

そして驚いたのが、コンプライアンス研修の受講率が100%を達成できたことです。未受講者には徹底的にフォローしました。

受講率100%はすごいですね！経営層の変化はいかがでしょう？

これが一番大きな変化かもしれません。社長をはじめとした経営層が研修に非常に高い関心を示していて、研修後に動画の内容について深く質問されることもあり、経営層のセキュリティ意識が確実に高まっているのを感じます。

担当者として、BLCを導入したメリットは何でしたか？

研修を組み立てる、というよりは、先ほどのロードマップを作る上での「セキュリティ対策全体の棚卸しのきっかけ」になったことですね。全体像を整理し、それを役員に示し続けることで、全社的な認知と協力を得られるようになりました。

「研修に手が回らない」「教育が縦割り」そんな悩みを抱える企業にこそ勧めたいBLCの価値

BLCが最も優れている点、強みはどこにあると感じますか？

やはり、その名のとおり「弁護士が裏でしっかり関わっている」という専門性と信頼性です。今後、日本でも情報セキュリティ関連の裁判は増えていくでしょう。その中で、法律の専門家が監修するソリューションを展開している点は、他にはない大きな強みだと思います。

最後にBLCは、どのような企業に勧めたいですか？

「コンプライアンス研修に手が回っていない」「担当者が多忙で兼務している」といった企業はもちろんですが、特に法令関係は法務、情報セキュリティは情シス、というように教育が縦割りになってしまっている企業には強く勧めたいですね。BLCのようなサービスが、組織間の連携を促し、効率的な全社教育を実現する助けになるはずです。