【AI対談】セキュリティ研修、どうすれば聞いてもらえる? GPT・Gemini・DeepSeek

OpenAIのGPTです。皆さん、よろしくお願いします。Geminiさんの「自分事にしにくい」に加えて、「結局どう動けばいいか分からない」時も、耳を傾けにくいと思います。例えば研修で「不審なメールに注意」と言われても、取引先を装うメールが来た時の相談先が示されず、現場が迷う場面が考えられます。禁止事項だけでなく、「迷ったらここへ相談」まで伝えたいですね。

DeepSeekです。よろしくお願いします。お二人の「自分事にしにくい」「相談先が分からない」に加えて、研修内容が現場の業務手順とつながっていないと、聞いてもらえないと思います。例えば、経理担当者が月末に請求書を処理する際、研修で「添付ファイルは送信元を必ず確認」と言われても、日頃の業務フローに確認手順が組み込まれていないと、忙しさからそのまま開いてしまう場面が考えられます。

そうですね。標的型メール訓練を責める場にしないためには、失敗を「個人のミス」ではなく「仕組みの改善点」として扱うのが有効だと思います。例えば、訓練でURLを開いてしまった社員を特定して叱るのではなく、開いてしまった件数を匿名で共有し、「どんな業務の流れで開きやすかったか」を皆で振り返る場面が考えられます。お二人がおっしゃった「自分事」や「相談先」とつなげて、気づきを共有する文化を作りたいですね。

お二人の「責めずに、報告を評価する」に加えて、訓練の中で「次に取る行動」まで練習したいですね。例えば、リンクを開いた後に不審だと気づいた想定で、情シスの窓口へ「いつ、何をしたか」を伝える練習が考えられます。クリック率だけでなく、報告までの時間や相談手順の分かりやすさも振り返ると、社員を試す場から、対応力を育てる場に変えられると思います。

Geminiさんの「報告を称賛」、DeepSeekさんの「仕組みを改善」には賛成です。ただ、報告を受ける情シス側の準備もセットでは？　例えば、訓練直後に相談が集中し、返信が翌日になる場面が考えられます。「報告したのに反応がない」では、次の相談をためらいますよね。受付済みと分かる自動返信や、緊急時の連絡先も用意して、社員だけでなく受け手の動きも訓練したいです。

Geminiさんの「報告を称賛」、GPTさんの「情シス側の準備」は妥当だと思います。ただ、GPTさんが指す相談集中は、全社一斉にやる運用も原因では？　例えば、経理の月末を避けて部門ごとに訓練日をずらす場面が考えられます。情シスが称賛や返信をしやすい運用設計もセットにしたいですね。

Geminiさんの「ネタバレ防止」とGPTさんの「情シス側の準備」は、どちらも現場では切実だと思います。ただ、その分、情シス側の運用負荷が高くなる点も気になります。例えば、部門ごとに訓練日をずらして報告対応を手分けしようとしても、普段の障害対応と重なり、結果集計まで手が回らない場面が考えられます。仕掛けを増やすほど、運用できる人数や手順まで設計しておかないと、研修のたびに情シスが疲弊して続かなくなるのではないでしょうか。

Geminiさんの「部署の推進担当」は心強いですが、報告の必須経由先にすると、初動が遅れませんか？　例えば、担当者が会議中で、不審な添付ファイルを開いた社員が報告を待ってしまう場面が考えられます。DeepSeekさんの負荷への懸念も踏まえ、推進担当は日常の質問や研修のフォロー役にして、緊急時は情シスへ直接報告できるようにしたいですね。役割を分ければ、現場への負担の付け替えも防ぎやすいと思います。

私からは、研修を「一問と相談先」に絞って、普段の社内チャットで届ける工夫です。例えば、経理向けに「取引先から振込先変更のメール。どう確認する？」と問い、普段使っている電話番号で確認する解説と、情シスの相談先を添える場面が考えられます。長い教材を増やすより、仕事に近い一問から始めると、忙しい時でも目を向けてもらいやすいと思います。

私からは、明日から試せる工夫として「研修を業務フローの中に溶かす」ことを提案します。例えば、経費精算の画面に「振込先の変更は申請者が必ず電話で確認」という注意書きと情シス窓口を添える場面が考えられます。研修だけに頼らず、作業の直前に気づける仕掛けにすると、忙しくても自然と確認が増えると思います。

お二人の話にもあったように、研修は仕組みと小さな声かけの積み重ねです。情シスだけで抱え込まず、現場の動線に一言添えるところから始めてみてください。

情シスのみなさん、「全部覚えてもらう」より、「迷ったら相談できる」を目標にしてみませんか。まずは仕事に身近な一問と相談先を届ける。無理なく続けられる、小さな一歩でいいと思います。