不審なメールへの対応が人によって違う
添付ファイルやURLを開く判断、報告すべき目安が統一されていない。
SECURITY AWARENESS & PRACTICAL TRAINING
攻撃者が狙うのは、システムを使う人。組織の免疫力を育てる。
一般の利用者も狙われる。組織全体で備える教育。
メールを開く、認証する、ファイルを共有する。攻撃者は、こうした日常業務と人の心理を利用して侵入の機会を探します。クロイツの情報セキュリティ教育は、攻撃者の手口を知るだけでは終わりません。気づく・止める・報告する行動を、組織全体に広げます。
一般社員・新入職員・管理職・医療従事者など、対象者と業務に合わせて内容を調整します。
BUILD ORGANIZATIONAL RESILIENCE 組織の免疫力
01
気づくいつもと違うメール・画面・依頼
02
立ち止まる指示にすぐ従わず、確かめる
03
報告する迷わず担当窓口につなぐ
04
共有・改善する気づきを組織の対策に生かす
一人の気づきを、組織全体の防御力へ。
WHY EDUCATION MATTERS
高度なシステムでも、人と運用に隙があれば狙われる。
サイバー攻撃は、ソフトウェアの脆弱性だけを狙うものではありません。取引先を装ったメール、偽のログイン画面、上司を名乗る電話、不自然な多要素認証の通知。攻撃者は、普段からシステムを使う一般のユーザーを入口にすることがあります。
どれほど高度なセキュリティ製品を導入していても、利用者が不審な依頼を見抜けず、報告先が分からず、組織の運用が機能していなければ、対策の効果を十分に発揮できません。技術対策とともに、現場の判断力と運用を整えることが必要です。
責める教育ではなく、守れる組織をつくる教育。
ミスを個人の責任で終わらせず、気づいた人が早く相談でき、報告を受けた組織が動ける状態を目指します。
COMMON CHALLENGES
教育しているのに、現場で不安が残る。
攻撃者が狙うのは、忙しい日常業務の中で生まれる一瞬の判断や、報告・運用の隙です。
研修を実施しても行動が変わらない
受講記録はあるものの、現場で何をするべきかが定着しているか分からない。
入職・異動のたびに教える内容がばらつく
新入職員や中途採用者への説明が担当者任せになっている。
事故が起きたときの報告先が曖昧
誤送信や不審なログインに気づいても、誰に・いつ伝えるかが分からない。
生成AIやクラウド利用のルールが浸透しない
機密情報や個人情報をどこまで入力・共有してよいのか判断が難しい。
管理職や経営層が研修の対象から外れている
現場だけでなく、承認・指示・報告を受ける立場にも共通理解が必要。
KREUZ APPROACH
攻撃者は、人の心理と業務を突く。
「なぜ、その依頼を信じてしまうのか」「攻撃者なら誰に何をさせようとするか」。攻撃者側の発想から、職員が実際に直面する場面を考えます。
だまし方を知る
取引先・上司になりすまし、急がせ、慣れた作業に見せかける。人の心理を利用する手口を、攻撃者の視点から解説します。
狙われる場面を知る
メール、電話、ログイン、ファイル共有など、普段の業務のどこに攻撃の入口があるかを具体的に考えます。
組織で防ぐ行動を身につける
疑わしい依頼への確認、操作の中断、迅速な報告。個々の気づきを組織の対応につなげる動きを学びます。
攻撃者の行動を知り、一般の職員が攻撃の入口になりにくい環境と、気づいたときに止められる仕組みを育てます。
ORGANIZATIONAL RESILIENCE
組織の免疫力を、日々の行動で育てる。
ここでいう「組織の免疫力」とは、攻撃を絶対に防ぐという意味ではありません。一人が異常に気づき、立ち止まり、報告し、組織が対応と改善につなげられる力のことです。
気づく力
偽メール、電話でのなりすまし、不審な認証通知などに違和感を持てる。
止める力
急がされても操作を続けず、別の連絡手段で確認できる。
報告する力
「間違いかもしれない」とためらわず、決められた窓口へ伝えられる。
改善する力
現場の気づきを共有し、手順・教育・ルールの見直しに生かせる。
目指すのは個人の注意力に頼り切らない組織
職員が正しく判断することに加え、報告を受け止める担当者や管理職、必要な対応を決める仕組みまで整える。教育と運用をつなぐことが、組織の免疫力を高める第一歩です。
TRAINING TOPICS
人が狙われる場面から学ぶ研修テーマ
攻撃者が利用する行動や心理を入口に、自社の業務と報告・対応手順へ結びつけます。
不審メール・フィッシングへの対応
取引先や上司を装ったメール、偽サイト、不審な添付ファイルや電話を題材に、だまされやすい場面と確認方法を学びます。
アカウント・認証情報の扱い
偽のログイン画面や不審な多要素認証通知、パスワードの使い回し、アカウント共有を例に、認証情報を守る行動を学びます。
個人情報・機密情報の取り扱い
メールの宛先、ファイル共有、USB媒体、端末の持ち出し、SNSへの投稿など、身近な情報漏えいの原因を確認します。
生成AI・クラウドサービスの安全な利用
入力してはいけない情報、組織で承認されたサービスの利用、共有設定、出力内容の確認といった判断を扱います。
異常に気づいたときの初動・報告
サポート詐欺、マルウェア感染の疑い、誤送信などを例に、勝手な削除・初期化を避けることや、迅速に報告する方法を確認します。
自社ルールの理解・定着
情報セキュリティポリシー、報告先、相談しやすい仕組み、管理職の受け止め方を実際の業務に当てはめて確認します。
※ 上記は研修テーマの例です。すべてを一度に実施するものではありません。内容・時間・実習の有無はご相談のうえ決定します。
WHO WE TRAIN
対象者に合わせて、伝える内容を変えます。
攻撃者が狙う入口は、職種や権限によって異なります。一般職員から経営層まで、それぞれの判断と行動を整理します。
新入職員・中途採用者
最初に覚えるべき基本ルール、情報の取り扱い、不審な事象を見つけたときの報告先を共有します。
一般従業員・現場スタッフ
攻撃者が最初の入口に選びやすい日常業務を中心に、不審な依頼への確認と早期報告を学びます。
管理職・経営層
部下が報告しやすい環境づくり、報告後の初動、例外対応、組織としての判断と責任を確認します。
情報システム担当者・管理者
利用者への周知、通報後の初動、アカウント管理や運用上の注意点などを共有します。
医療機関の職員・管理者
患者情報の取り扱い、医療情報システム、電子カルテ停止時の連絡や日常の判断など、医療現場の実情を踏まえます。
業務委託先・派遣スタッフ等
担当業務とアクセス可能な情報に応じて、必要なルールと報告手順を共有する方法をご相談いただけます。
LEARNING BY SCENARIOS
もし自分が狙われたら。その場で考える。
攻撃者は、セキュリティの専門家だけでなく、日常業務を行う職員にも接触します。研修では「自分ならどうするか」「報告を受けた組織はどう動くか」まで、ケースで考えます。
取引先を装うメールが届いた
急いで振込先の変更を求められた。返信する前に、何を確認するべきか。
見覚えのないログイン承認通知
自分が操作していないのに、多要素認証の承認を求める通知が届いた。
送信後に宛先の誤りに気づいた
誤送信を隠さず、どの情報を記録し、どこへ報告するか。
TRAINING FORMAT
知識の習得から、行動の定着へ。
研修の実施自体をゴールにせず、実際に報告・確認ができるかを考え、対象者と目的に合わせて内容を組み立てます。
講義・セミナー
実際の攻撃手法や事例を、専門用語をなるべく抑えて解説。社内研修や団体向け講演にも対応します。
ケーススタディ・質疑
自社で起こり得る事象を取り上げ、その場で判断を考え、疑問点を整理します。
判断の確認・振り返り
ご希望に応じて、事例問題やアンケートで「報告先が分かるか」「危険な依頼を止められるか」を確認し、次の教育につなげます。
実施方法もご相談ください。
対面・オンライン、単発・継続、講演形式・部門別研修など、参加人数と業務への影響を踏まえて調整します。標的型メール訓練などの実践訓練は、目的と実施条件を確認したうえで別途ご相談ください。
PROCESS
ご相談から実施までの流れ
現状の確認
対象者、業務、研修目的、課題、社内ルールを伺います。
内容・方法の調整
テーマ、時間、人数、講義形式、確認方法を決めます。
研修の実施
具体例を交え、判断や報告のポイントを共有します。
振り返り・次の改善
必要に応じて質疑や理解度を確認し、継続教育に生かします。
WHEN TO TRAIN
組織の免疫力は、一度の研修では育たない。
攻撃手口も業務環境も変化します。採用時だけでなく、実際の事例を振り返り、繰り返し判断する機会をつくることが重要です。
- 入社・入職、異動、担当業務の変更時
- 情報セキュリティポリシーや手順の改定時
- 新しいシステムやクラウドサービスの導入時
- 不審メールやインシデントが発生した後の振り返り
- 定期的な教育計画の見直し・フォローアップ
PLAN & FEES
研修内容・費用は、目的と規模に応じて。
対象者の人数や職種、必要なテーマ、実施回数、開催方法により適した研修は異なります。決まった内容を一律に提供するのではなく、組織の状況に合う形をご提案します。
FAQ
よくあるご質問
「組織の免疫力を高める教育」とは何ですか？
不審なメールや依頼に気づく、判断に迷ったら立ち止まる、早く報告する、組織で共有・改善するという一連の行動を定着させる教育です。攻撃を完全に防ぐという意味ではなく、被害につながる兆候を見逃さず、被害の拡大を抑えるための判断と連携を育てます。
システムのセキュリティ製品を導入していても教育は必要ですか？
はい。偽のログイン画面への入力や取引先を装った依頼への対応など、利用者の判断を狙う攻撃があります。技術対策だけに依存せず、現場の判断と報告、組織の運用を組み合わせることが重要です。
セキュリティに詳しくない従業員でも受講できますか？
はい。専門用語をなるべく抑え、メール、パスワード、情報共有など身近な業務から説明します。対象者の習熟度に応じて内容を調整します。
新入職員向けの短時間研修も依頼できますか？
ご相談いただけます。60分程度などの時間を想定した研修も、必要なテーマを絞って構成します。時間・内容は目的を確認して決定します。
医療機関の職員向けにも対応していますか？
はい。患者情報の取り扱い、医療情報システムの利用、院内での連絡・報告など、医療現場に即したテーマを扱います。施設の規程や業務に合わせて内容を調整します。
講演やオンライン研修にも対応していますか？
社内研修に加え、セミナー・イベント等での講演もご相談いただけます。オンラインでの実施も、人数や内容、環境を確認したうえで調整します。
研修後に理解度を確認できますか？
ご希望に応じて確認問題、簡単なアンケート、ケースごとの質疑などを組み合わせられます。実施方法や集計・報告範囲は事前にご相談ください。
標的型メール訓練やサイバーBCP訓練も依頼できますか？
標的型メール訓練は目的・対象範囲・実施条件に応じてご相談を承ります。組織の判断・連絡・業務継続を検証するサイバーBCPの机上訓練は、別の専門サービスとしてご案内しています。
他の支援と組み合わせることはできますか？
はい。情報セキュリティコンサルティングや医療機関向け支援などと組み合わせ、規程の変更、インシデント後の改善、定期教育に反映する形もご相談いただけます。
SECURITY EDUCATION CONSULTATION
人を狙う攻撃に、組織全体で備える。
「一般職員の判断力を高めたい」「報告が上がる組織にしたい」「毎年の研修を見直したい」。そんな悩みから、組織の免疫力を高める教育を一緒に考えます。