会社のセキュリティ担当を今から用意するなら — SGをリスキリング入口にする社内育成ロードマップ

「うちの会社、セキュリティ担当って誰なんだろう」

この問いに即答できない会社が、日本では大半だ。 中小企業に限らず、大企業でも「ITの人が担当」「総務が兼務」という状態は珍しくない。

サイバー攻撃の標的は大企業だけではない。むしろ防御が手薄な中小企業・取引先を踏み台にして大企業を狙う「サプライチェーン攻撃」が急増している。 「うちは狙われるほど大きくない」という認識が、今や最も危険な思い込みだ。

なぜ「全社員セキュリティ」が必要か

専門部署を作っても意味がない理由

セキュリティインシデントの侵入経路の大半は人間の行動だ。

• フィッシングメールのURLをクリックする
• 弱いパスワードを使い続ける
• 個人PCで仕事のデータを扱う
• 不審なUSBを差し込む

セキュリティ専門部署がどれだけ優秀でも、一人の社員の不注意一つでシステムへの侵入口が開く。 つまりセキュリティは専門家が守るものではなく、全社員で守るものだ。

生成AIがサイバー攻撃を加速させている

フィッシングメールの作成、脆弱性スキャン、マルウェアの自動生成——これらが生成AIを使えば素人でもできる時代になった。

「Anthropicて何？」というレベルの社員が、精巧なAI生成フィッシングメールを受け取る時代だ。 攻撃者が使うAIの精度に対して、防御側の人間の知識が追いついていない状況が今の現実だ。

なぜSGをリスキリングの入口にするべきか

SGが「全社員向け」な理由

情報セキュリティマネジメント試験（SG）は、IPAが設計した「情報セキュリティの管理側の知識」を問う試験だ。 基本情報技術者（FE）が技術者向けなのに対して、SGは非エンジニアでも取得できる設計になっている。

• 標準学習時間：150〜200時間（未経験から）
• 合格率：50〜55%
• 試験形式：CBT（随時受験可能）

バックオフィス職・管理職・営業職でも現実的に合格できるラインだ。

AI活用で「専任講師を月額20ドルで雇う」感覚

社員にセキュリティの学習を促す際、最もよく聞く声が「何から勉強すればいいか分からない」「テキストを読んでも頭に入らない」だ。

生成AIはこの問題を解消する。 月額20ドル程度で、何度でも質問できる専任の講師を雇うようなものだ。

• 「マルウェアとランサムウェアの違いがわからない」→ その場で事例つきで教えてもらえる
• ぶしつけな質問をしても怒らない、何度同じことを聞いても問題ない
• 通勤中・昼休みなど、自分のペースで使える
• 相手（講師）のスケジュールに合わせる必要がない

SGの学習内容は「現実の業務で起きうること」がシナリオになっている。 AIに「自分の会社でこの問題が起きたらどうすればいいか」と実務と絡めて質問することで、教科書的な知識が行動できる知識に変わる。

SGで身につく知識が実務直結

試験範囲には以下が含まれる。

これはセキュリティ担当者だけでなく、すべての社員が知っておくべき内容だ。

社内展開ロードマップ

Phase 1：情報システム担当・総務がまず取得する（0〜6ヶ月）

まず「旗振り役」を1〜2名育てることが最初のステップだ。

情報システム担当または総務担当がSGを取得することで：

• 社内のセキュリティリスクを正確に評価できるようになる
• 社員向けの研修・ルール整備の土台ができる
• 経営層への報告・稟議が具体性を持つようになる

SGの学習はAIを使えば効率化できる。以下のプロンプトで弱点補強が速くなる。

情報セキュリティマネジメント試験（SG）の午後問題を解く練習をしたいです。

以下のシナリオで問題を作ってください:
「中規模の製造業の総務担当者が、取引先からのメールに添付されたファイルを
開いたところ、PCが異常動作し始めた。この状況でのインシデント対応手順を問う問題」

問題は試験形式（設問1〜3の記述式）で作成してください。

Phase 2：部門長・管理職に受験を推奨する（6〜18ヶ月）

情報システム担当の取得後、次のターゲットは各部門のマネージャー層だ。

マネージャーがSGを取得することで：

• 部下への指示にセキュリティ観点が加わる
• 部門内の情報管理ルールを自分事として捉えられる
• 「コンプライアンス研修」で終わらず、実務に繋がる知識になる

会社がリスキリング費用（受験料7,500円＋テキスト代3,000〜5,000円）を補助することで受験のハードルを大幅に下げられる。

Phase 3：全社員を対象にしたセキュリティリテラシー底上げ（18ヶ月〜）

Phase 1・2で社内にSG取得者が複数生まれた段階で、全社員向けの施策を展開する。

• SG取得を奨励する制度設計（合格報奨金・資格手当の追加）
• SGの学習コンテンツを社内研修に組み込む（eラーニング形式が最適）
• インシデント対応訓練の実施（フィッシングシミュレーション等）

生成AIとセキュリティ知識の接続

SGを取得した社員が次に進むべきは「生成AIを使ったセキュリティ実践」だ。

生成AIはセキュリティ業務で以下のように活用できる。

メールのフィッシング判定 怪しいメールのヘッダー・本文をAIに貼り付け、フィッシングの可能性を分析させる。

インシデントレポートのドラフト作成 インシデント発生時に、状況をAIに入力して報告書の骨子を生成させる。

社内規定のギャップ分析 現行の情報セキュリティ規定をAIに読み込ませ、法令・規格（ISO27001等）と比較してギャップを指摘させる。

SGで学んだ「何が問題で、どう対応すべきか」という思考の枠組みがあれば、AIはそれを強力に補助するツールになる。逆にSGの知識なしにAIを使うと、AIの回答が正しいかどうかの判断ができない。

まとめ

セキュリティは「専門家がいればいい」という時代は終わった。 一人の社員の不注意が会社全体を止めるリスクがあるとすれば、すべての社員がセキュリティの基礎知識を持つことが最低限の防衛ラインだ。

情報セキュリティマネジメント（SG）をリスキリング施策として導入することは、その最初の一歩として現実的な選択肢になる。

• 150〜200時間で取得できる（非エンジニアでも可）
• 試験内容が実務の問題意識に直結している
• CBTで随時受験でき、社員のペースに合わせやすい
• 取得者が生成AIを使いこなす土台ができる

経営者・管理職がまず率先して受験することが、社内展開を加速させる最大の施策になる。

セキュリティマネジメント試験の具体的な学習方法は SGの完全攻略ガイド を参照してほしい。