こんにちは！
AXLBIT株式会社の @kurasawa-axl です。
セキュリティ教育に関して、参考になるガイドを見つけたので、それに従って基本的な教育内容についてまとめていきたいと思います！全7部作になる予定です！

この記事を読んでほしい人

「とりあえず社外秘」 というスタンスで情報の格付けを迷っている方
「Win+Lやcontrol+command+Q（画面ロック）」 の習慣がまだ身についていない方
生成AI に業務データをどのように入力すれば良いかを知りたい方

はじめに：CISコントロールとは？

CIS Controls（CISコントロール） は、組織が日々直面する最も一般的かつ重要なサイバー攻撃を特定し、それらに対する具体的かつ優先順位付けされた防御策をまとめたベストプラクティス集です。単なるチェックリストではなく、最新の脅威データに基づいた「今、本当にやるべきこと」が凝縮されています。

その中でも、Control 14「セキュリティ意識向上とスキルのトレーニング」 は、技術的な対策だけでは防げない「人間」という脆弱性を突く攻撃から組織を守るための重要な柱です。

本連載の構成（全7回）

本シリーズでは、CIS Control 14のSafeguard 14.2〜14.8に基づき、従業員に伝えるべき実践的なセキュリティ知識を全7回で解説します。

【14.2】ソーシャルエンジニアリング攻撃の正体と対策
【14.3】パスワードの「123456」は卒業！認証ベストプラクティス
【14.4】その共有、大丈夫？データの取り扱いと「社外秘」の境界線 （本記事）
【14.5】「ついうっかり」が命取り！意図しないデータ漏洩を防ぐ
【14.6】「これってインシデント？」迷わず報告するための判断基準
【14.7】「後で」はNG！セキュリティ更新の重要性
【14.8】テレワークの落とし穴！公衆Wi-Fiや自宅ネットワークの安全な接続

1. 「機密情報」をどう見分ける？（格付けの重要性）

情報を守る第一歩は、それが 「守るべき情報なのか」 を判断できることです。

以下は一例です。社内のポリシーに従うようにしましょう。

極秘情報： 組織において経営層が指定した、極めて重要な情報。
機密情報： 流出した場合、大きな損害が出るもの（顧客リスト、未公開の契約書、サーバ構成図など）
秘密（社外秘）： 重要な業務プロセス、個人情報など
取扱注意： 秘密ではないが、広範な流布を避けるべき情報（著作権情報など）
公開情報： すでにWebサイト等で公開されている情報

迷ったら「秘密」レベル以上に分類するのが鉄則です。それが他の人や未来の自分が一目で判別できるように、 ファイル名に「社外秘」と入れたり、スライドの隅に「Internal Use Only」 と記載しましょう。

2. データのライフサイクル管理（特定・格納・転送・破棄）

データの一生に合わせて、適切な扱い方を徹底します。

以下は一例です。社内のポリシーに従うようにしましょう。

① 格納（どこに置くか）

基本は承認されたクラウドストレージ上： デスクトップや未承認のクラウド、個人のデバイスに保存してはいけません。
アクセス権は「必要最小限」： 「全社公開」ではなく、特定の個人や部署のみに制限しましょう。

② 転送・共有（どう送るか）

社内共有： チャットに直接ファイルを貼るのではなく、ストレージの「リンク」を共有します。
社外送信： メール添付ではなく、会社が指定するファイル共有サービスを利用しましょう。宛先（to/cc/bcc）の再確認も必須です。

③ 破棄（どう捨てるか）

紙媒体： 必ずシュレッダーへ。
電子媒体： 複数回情報を上書きし、復元が不可能な状態にしたうえで破壊します。
電子データ： 共有設定を解除し、ゴミ箱から完全に削除します。

3. 今日からできる「セキュリティ習慣」

物理的な環境もセキュリティの一部です。情報は不用意に拡散しない、されないような環境を維持することを意識しましょう。

以下は一例です。社内のポリシーに従うようにしましょう。

クリアスクリーン[Win+L(Windows) control+command+Q(Mac)]： 離席する際は必ず画面をロックします。
クリアデスク： 退社時は机の上をきれいにし、重要書類やPCは鍵付きの保管場所へ。
ホワイトボードの消去： 会議室を出る前に、書き込んだ情報を消去するのを忘れずに。

4. 生成AIを利用する時の注意点

生成AIは非常に便利ですが、データの取り扱いには細心の注意が必要です。

以下は一例です。社内のポリシーに従うようにしましょう。

機密情報を入力しない： 顧客名、製品名、ソースコード、パスワードなどは入力しないようにしましょう。
固有名詞を伏せ字にする： 特定の個人名や社名を「顧客A」にするなど、匿名化してプロンプトを作成しましょう。
会社のアカウントを利用： 組織が許可したツールを用い、学習に利用されない設定になっているか確認してください。

まとめ：データの扱いが「身を滅ぼす」こともある

「自分一人のミスくらい大丈夫だろう」という考えは禁物です。SNSへの不適切な投稿や、背景に資料が写り込んだ写真のアップロードなど、わずかな不注意が大きなインシデントに繋がります。日頃から「このデータはどのレベルか？」を意識し、正しい手順で扱うことが最大の防御になります。

社内規定などにある、懲戒に関する項目に目を通しておくとよいかもしれません。情報流出に関して詳細が載っていると思います。

参考資料：