管理職向けセキュリティ研修の作り方｜部長・課長に60分で伝える時間割と配る物

公開：2026年10月16日／最終更新：同／Moshiru 岡﨑 悠太

担当者のあなたにとって、管理職研修で何が変わるか

社員向けの研修だけでは、報告が部長の机で止まったり、委託先とのやり取りが部署任せになったりします。管理職研修は、担当者が一人で背負っている場面を、管理職と分け合うための場です。

社員全員向けの30分研修の作り方は、社員向けセキュリティ研修を30分で作る方法にまとめています。この記事は、その管理職版です。

管理職に頼むのは、受けて・上げて・守らせる役

IPAの「中小企業のためのセキュリティインシデント対応の手引き」（2026年6月）は、流れをこう書いています。兆候を見つけたら情報セキュリティ責任者に報告します。責任者は、対応すべきと判断したら速やかに経営者に報告します。

この道のどこにも「管理職が預かる」段はありません。管理職は、部下から聞いた話を止めずに、決めた受け手へ渡す役です。研修のいちばんの目的は、ここをそろえることです。

もう1つは、部署の中でルールを守らせることと、委託先とのやり取りです。この2つは、担当者が部署の外から見ても分かりません。管理職にしか見えない所です。

60分の時間割は、4テーマ×12分

下の表が全体の型です。1テーマ12分は「場面を話す3分・要点5分・練習4分」で組みます。60分が取れない会社は、30分×2回に分けても構いません。

30分×2回に分けるときは、次のように割ります。2回目の冒頭で、1回目のテーマ1をもう一度30秒で確かめると、つながりが切れません。

テーマ1：報告を受けたときは、責めない・すぐ上げる

練習は2人1組の役割演技にします。部下役が「添付を開いたら画面が変です」と言い、管理職役が最初のひと言を返します。言ってはいけない言葉と、言う言葉を先に示します。

管理職が自分で調べたり、様子を見たりすると、その分だけ受け手への連絡が遅れます。部下が管理職を飛ばして受け手に直接知らせても、それで正しいと伝えます。

受け手の決め方や、社長の名前で出す「責めない約束」の文例は、社員がセキュリティ事故を報告しやすい会社の作り方にあります。研修の前に、受け手を1人決めておいてください。

テーマ2：部署のルールを守らせる

管理職に、規程を全部覚えてもらう必要はありません。部署で月に1回、決めた点を見てもらいます。見る点は、自社の規程から3〜5個を担当者が選んで渡します。

守られていないのを見つけたら、まず「なぜ守れないか」を聞きます。手順が面倒で守れないなら、担当者に知らせて手順の方を直します。ルールを破った人を探す場ではないと、研修で伝えます。

わざと情報を持ち出すような行為は、別の扱いです。その考え方は内部不正を防ぐの節に任せ、研修では「見つけたら担当者に知らせる」までを決めます。

テーマ3：委託先・取引先の窓口としての役割

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、2026年3月27日に公開されました。経営者が認識すべき原則の2つ目は、委託先の対策まで考えることです。

委託先に渡した情報が漏れたとき、それが委託先の不備でも、委託元として管理責任を問われる、とあります。委託先と日々やり取りしているのは、多くの場合、各部署の管理職です。

研修では、管理職が窓口として必ずすることを3つに絞ります。委託先を選ぶときの確認項目そのものは、委託先を選ぶ前の調査に任せます。

1. 新しい委託先に情報を渡す前に、担当者に知らせる。
2. 取引先からチェックシートや質問が届いたら、自分で答えずに担当者へ回す。
3. 委託先から事故の連絡があったら、テーマ1と同じく、すぐ受け手に上げる。

テーマ4：事故の日に管理職が判断すること

練習は、紙の上で事故を進める机上演習にします。「金曜17時、部下のパソコンに脅迫文が出た」という場面を配り、管理職が決めることを書いてもらいます。

同じ手引きは、経営者が体制を立ち上げ、責任者と担当者を定めて役割を明確にする、としています。管理職が決めるのは、会社の判断ではなく、自分の部署の動きです。

取引先への説明や公表の文面は、管理職が独自に出さないことも、ここで決めておきます。止まってはいけない業務の考え方は事業継続計画（BCP）とBIAの節で扱っています。

配る物は4つ。前日までにそろえる

管理職は忙しいので、研修の資料は少ないほど読まれます。当日に配る物は、次の4つで足ります。受け手の名前と電話番号は、すべての紙に同じものを書きます。

机に置ける形にしたいなら、初動ガイドの初動カードが使えます。見つけた人の動きを5つにまとめたカードで、テーマ1の配る物と組み合わせられます。

スキルツリーと確認テストを、研修の道具にする

管理職向けスキルツリー（tree-manager.html）は、管理職が読む教科書の節を、順番に並べた地図です。研修の前に配っておくと、当日の話の位置づけが伝わります。

確認テスト（test-manager.html）は、ブラウザで受けられます。問題は教科書の確認問題から出され、結果はどこにも送られません。終わったら受講記録を印刷できます。

1. 研修の3日前に、ツリーのURLを管理職に送る。読むのは任意と伝える。
2. 当日の最後の7分で、各自のパソコンかスマホでテストを受けてもらう。
3. 終わった人から受講記録を印刷し、名前を書いて担当者に出してもらう。
4. 欠席した人には、ツリーとテストのURLを送り、期限を決めて受けてもらう。

結果は送られないので、点数を集めて比べることはできません。それで構いません。テストは、受けた事実と、迷った問題を本人が知るために使います。

実施の記録と、上司への報告を1通で済ませる

研修は、記録が残って初めて「役割に応じた教育をした」と言えます。取引先のチェックシートで教育を聞かれたときも、この記録が根拠になります。

報告は、次のひな形に数字を入れるだけで出せます。研修で決まったこと（受け手、部署で見る点）を書いておくと、上司は何が変わったかが分かります。

件名：管理職向けセキュリティ研修の実施報告（○月○日）

○○さん

○月○日に、部長・課長向けのセキュリティ研修（60分）を行いました。
・参加：○名（対象○名。欠席○名は○月○日までにテスト受講予定）
・内容：報告を受けたときの動き／部署のルール／
　委託先・取引先の窓口／事故の日の判断
・確認テスト：参加者全員が受講し、受講記録を回収しました
・決まったこと：
　- 部下から報告を受けたら、責めずにすぐ○○（受け手）へ電話する
　- 各部署で月1回、次の○点を見る（○○、○○、○○）
　- 取引先からの質問は、管理職が答えずに担当者へ回す
・次回：○月に、机上演習で迷った「○○」を扱う予定です

記録は、共有フォルダの「○○」に保存しています。

チェックシートの教育の設問には、対象・頻度・記録の3つをそろえて答えます。書き方はチェックシートの回答の書き方を参考にしてください。

よくある質問

この記事のまとめ

• 管理職研修は、報告を受ける・ルールを守らせる・窓口になる・事故の日に判断する、の4つを60分で練習する場にする。
• 報告を受けたら「責めない・すぐ上げる」。受け手は研修の前に1人決め、すべての配る物に同じ連絡先を書く。
• スキルツリーを事前に送り、確認テストで受講記録を残す。決まったことは実施報告1通で上司に伝える。

参考にした資料

1. IPA「中小企業のためのセキュリティインシデント対応の手引き」（2026年6月。2026年10月16日確認）
2. IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開。2026年10月16日確認）