День кибербезопасности для сотрудников в 2026: программа и учения

Как провести День кибербезопасности для сотрудников: программа станций, безопасные учения, роли команды, работа с данными и факторы сметы.

День кибербезопасности для сотрудников переводит знакомые правила из презентации в действия: участник слышит про подозрительные письма и сразу решает, куда сообщить о них. На настольном учении руководители находят места, где теряется решение. Мы в «Авентуре» собираем такой формат вместе с профильной командой заказчика. Руководитель информационной безопасности (CISO) отвечает за содержание и безопасные границы, а мы - за программу, маршруты, технику и работу площадки.

Telegramチャンネル「アベンチュラ」にご登録ください、企業イベントに関する新しい実践的な資料を受け取るために。

Зачем компании отдельный День кибербезопасности?

概要： この日、企業は従業員が不審な点をどのように報告し、管理職がインシデントのシナリオに沿って意思決定を行うかを確認します。この形式は、ルールの説明、行動の訓練、プロセスの振り返りを組み合わせています。1回のイベントでリスクがなくなるわけではなく、技術的な防御を代替するものでもありません。イベント後には、担当者を明記した改善リストが残ります。

米国国立標準技術研究所（NIST）は、サイバーセキュリティとプライバシーの教育を、評価と改善を繰り返す継続的なプログラムとして位置づけています。そのため、サイバーセキュリティの日は他のコミュニケーションの間に配置するのがよいでしょう。. イベント前に、従業員が典型的に困っている点を集めましょう。. イベント後には、短いリマインダーを送りましょう。. 別途、見つかったギャップが埋まっているかを確認しましょう。

この形式は、通常の研修がテストで終わり、人が実際の業務状況でどう行動するかを示さない場合に特に役立ちます。従業員は「フィッシング」という用語を知っていても、不審なメールをどこに送ればよいか分からないことがあります。管理者は対応計画を覚えていても、運用停止の判断を誰が下すのかを知らないことがあります。サイバーセキュリティの日は、こうした疑問を安心して出せる場を提供します。

準備の前に、経営課題を明確にしましょう。適切な表現は次のとおりです。

1. 従業員が不審なリクエストについて報告する正規のチャネルを知っているかを確認する。
2. 管理職とサポート部門に、エスカレーションの流れが理解できるかを確認する。
3. 支払いまたは人事に関するリクエストを、独立したチャネルで確認する訓練を行う。
4. コミュニケーション、アクセス権限、手順書の不足を見つける。
5. 演習後の是正措置計画を策定する。

「サイバーリテラシーを高める」という目標は広すぎます。それでは、参加者が何をすべきか、クライアントがどのような成果を得るかが分かりません。私たちはブリーフを観察可能な行動から始め、その後でステーション、シーン、演出を選びます。

Границы безопасного формата

安全なサイバーセキュリティの日では、悪意のあるコード、本番データ、公開されたエラーリストは必要ありません。学習環境は本番環境から切り離されています。シナリオはメッセージ、意思決定、役割を検証します。専門チームが事前に中止基準を承認し、デモをテストし、参加者に圧力をかけることなく演習を停止できます。

米国サイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）は、目標、シナリオ、討議用の質問、最終報告書を中心にテーブルトップ演習を組み立てています。参加者は、インシデントの発生前、発生中、発生後に何をすべきかを話し合います。この形式により、攻撃を再現することなくプロセスを検証できます。画面上に学習用のメッセージが表示されることはありますが、チームが危険なファイルを実行したり、実際のインフラストラクチャーを調査したりすることはありません。

許可される仕組みと禁止される仕組みは、コンセプトの段階ですでに分けています。

各デモンストレーションにはコンテンツオーナーが必要です。通常はCISO、情報セキュリティ部門の担当者、またはクライアント側から招かれた専門分野のエキスパートです。運営チームはサイバーセキュリティの専門家を演じたり、見栄えのために合意済みのシナリオを変更したりしません。

ストップ基準も事前に記録します。これには、実際のデータが予期せず出力されること、本番システムへ移行すること、アクセス制御を失うこと、承認された学習環境からのあらゆる逸脱が含まれます。このような兆候が出た場合、進行役はブロックを一時停止し、技術チームがそれを切断し、参加者には中立的な理由と次のステップを伝えます。

Программа из станций и общего учения

プログラムは、短い全体導入、具体的な課題を伴ういくつかのステーション、最後の振り返りを組み合わせます。行列を作らないよう、グループは異なる地点から開始します。ウェーブの人数は、最も手狭なステーションによって決まります。従業員が実践モジュールを受けている間に、管理職向けに別途テーブルトップ演習を追加することもできます。

ステーションはミニ講義とは異なります。参加者は不審点を報告し、リクエストを確認し、または導入課題に基づいて判断を下します。カードには目的、定員、進行担当を記録します。機材、ストップ基準、予備は別途記録します。

プログラム例は次のように構成できます：

正確な構成は対象者によって異なります。財務部門には支払いリクエストの確認がより適しており、人事（HR）チームは人事データの保護を検討します。経営層はエスカレーションと優先順位について判断します。ITスペシャリストはサポート部門とともに、訓練シグナルの受信を確認します。これらすべての役割に共通する単一の講義が、同じように有益な結果をもたらすことはほとんどありません。

フローは最もボトルネックになるポイントから設計します。あるステーションで安全に作業できるのが8人なら、25人のグループは行列を生み、集中力を失います。対象者を複数のウェーブに分け、異なるスタート番号を割り当て、ルートの色をバッジ、案内表示、画面で統一するのが良いでしょう。

ローテーションの詳細な原則については、こちらの記事で解説しています： 労働安全の日。サイバーセキュリティでは内容が変わりますが、運営の論理は同じです。1つのモジュール、1つのアクション、既知の定員、移動時間、予備。

専門的なコンテンツ、ステーション、会場、ルートを1つのスキームにまとめられます。 お見積もりをご依頼ください。まず目的と制約から始め、その後、プログラムとイベント運営の解決策を示します。

Как подготовить фишинг-симуляцию без ловушки для сотрудников?

要約すると、シミュレーションは犯人探しではなくシステムの動作を検証します。そのため、情報セキュリティ責任者、HR、IT、法務部門が事前に目的と対象者を合意します。また、処理の根拠と結果の保存期間も定めます。訓練用メールは実際のパスワードを収集せず、チームは対照群でテストします。演習後には落ち着いた振り返りを行います。

英国のNational Cyber Security Centreは、どの訓練パッケージもすべてのフィッシング試行を見分けられるようにはならないと明確に警告しています

ローンチ前の最小限のチェック項目には、以下が含まれます：

1. シミュレーションの目的と範囲を1つの文書に記述します。
2. 対象者、シナリオ、データ処理について、CISO、HR、IT、法務部門と合意します。
3. 病気、死、解雇、借金などのテーマや、その他の心を傷つける誘引を排除します。
4. 入力されたパスワードを保存せず、実際に動作する悪意あるコードを使用しないこと。
5. メール、ページ、通知、レポートをテストグループで確認します。
6. サポート窓口がトレーニングメッセージを受け取る準備ができていることを確認する。
7. 一斉配信を停止できる担当者を任命する。
8. 支援的なデブリーフィングとわかりやすい手順を準備する。
9. 結果へのアクセスを制限し、削除期限を事前に定める。
10. 一つの結果を自動的な懲戒処分に結び付けない。

事前通知のレベルは、手法と社内文書によって異なります。すべての組織で完全な秘匿性を一律に約束したり、同じ種類の同意を求めたりすることはできません。決定は、依頼者の法務チームと専門チームが行います。本記事では業務上・倫理上の問いを提示しますが、法的見解の代替となるものではありません。

シミュレーションは、技術的な障壁と明確な手順と組み合わせて初めて役立ちます。プログラムには、重要な依頼を別の既知のチャネルで確認すること、多要素認証、更新、バックアップ、アクセス制限を含めるべきです。従業員が最後にして唯一の防御線になってはなりません。

Роли команды и зона ответственности

情報セキュリティ責任者は内容を承認し、演習を中止できます。HRは労働規則と非懲罰的なトーンを監視します。ITは情報セキュリティ監視センター（SOC）とともにテスト環境を準備します。法務部門はデータの取り扱いを確認します。私たちアベンチュラでは、これらの決定をプログラム、会場、動線、機材と統合します。

分離は、プロジェクトを2つの極端から守ります。第一の場合、主催者チームは評価できない技術シナリオを受け取ります。第二の場合、情報セキュリティ責任者が受付、什器、ナビゲーション、動線を自らまとめなければなりません。共同ワーキンググループは、各決定を適任のオーナーに委ねます。

一人が複数の役割を兼ねることはできますが、役割名は残しておくのが有益です。そうすることで、チームは誰がシグナルを観察し、誰が意思決定し、誰がそれを実行し、誰が参加者に伝え、誰が結果を記録するのかを理解します。このスキームは以下でも使用します： イベントの危機管理計画.

Подготовка по шагам

準備は、目的、対象者、データの範囲から始まります。その後、チームは動線、テスト環境、コミュニケーションを組み立てます。複雑なアクションはすべて、会場で使用するものと同じデバイスとファイルを使ってテクニカルリハーサルを行います。最終リハーサルでは、「修正済み」と記すだけでなく、再テストによって指摘事項をクローズします。

実務の流れは次のとおりです。

1. 成果の責任者を任命し、参加者の観察可能な行動を明確にする。
2. 対象者を役割、部門、シフト、参加方法ごとに分ける。
3. 許容される訓練シナリオ、データ、停止基準を承認する。
4. 各対象者の課題に合わせて、ステーションと全体訓練を選ぶ。
5. フローマップ、モジュールの収容力、移行間隔を作成する。
6. 登録、アクセス権、最小限の項目セットを定義する。
7. テストアカウント、モックアップ、予備資料を準備する。
8. 招待状、ルール、管理者向けメッセージを調整する。
9. 参加者の入場から最終レポートまで、技術リハーサルを実施する。
10. テスト後にシナリオを更新し、問題箇所を繰り返す。
11. 最終レポートのフォームと是正措置計画を準備する。

リハーサルでは、会場で使用するものと同じリンク、デバイス、画面、ファイルのバージョンが必要です。チームは、招待、登録、入場、ステーション、結果の記録、遷移をたどります。ネットワーク障害、デバイス故障、誤ったファイル、ボトルネックエリアの過負荷を個別にシミュレーションします。

各指摘には、再現条件、担当者、期限を設定します。修正後、チームは同じステップを繰り返します。詳細なスキームは、以下のテーマに関する資料にあります： イベントの技術リハーサル.

参加者がシフト制で動く場合、プログラムを1つの共通時間枠に詰め込む必要はありません。同じモジュールを複数のウェーブで繰り返し、共通のスタートは録画するか、各シフトごとに実施できます。その際、主要な説明と専門家へのアクセスは同等に保たれる必要があります。

Какие данные собирать и как их хранить?

明確なアクションにつながるデータだけを収集してください。登録には通常、氏名、部署、参加ステータス、サポート依頼があれば十分です。演習結果は集計値で分析するのが望ましいです。イベント前に、チームはフィールド構成、アクセス権、保存期間を承認します。また、匿名化と削除のルールも定めます。

連邦法第152-FZ号第5条は、データ処理を具体的な目的と結び付けることを求めています。データは、その目的に必要な量を超えてはなりません。法律または契約で別段の定めがない限り、識別情報を必要な期間を超えて保存することはできません。この規定を特定のプロジェクトに適用できるかは、発注者側の弁護士が確認します。

この規定を個別プロジェクトに適用できるかは、依頼者の弁護士が確認します。

1. この値について、私たちはどのような決定を下すのでしょうか？
2. 誰がそれを見て、何のために？
3. いつそれは不要になりますか？
4. 人の識別なしで同じ結果を得ることはできますか？

経営層向けの報告では、完了したステーション数、参加者全体の集計、プロセス上の不足点リストで十分なことがよくあります。「誰が間違えたか」の個人別表は追加リスクを生み、手順の改善にはほとんど役立ちません。個人別の結果が必要な場合は、この判断に別途の正当化根拠と限定アクセスを設ける必要があります。. 経営層向けの報告では、完了したステーション数、参加者全体の集計、プロセス上の不足点リストで十分なことがよくあります. 「誰が間違えたか」の個人別表は追加リスクを生み、手順の改善にはほとんど役立ちません

登録は一つのメインリストで行われます。バックアップのエクスポートは指名された担当者が保管し、障害時のみ使用されます。アクセシビリティのリクエストは、診断を明かす依頼ではなく、必要な支援として表現されます。より実践的な詳細は、次の記事にあります： イベント参加者の登録.

Доступность очной и гибридной программы

参加者は、行動する、観察する、聞く、読む、質問するなど、自分に可能な方法でルートを進める必要があります。会場、配信、資料、予備手段はまとめて確認します。登録により、秘密を保ったまま支援を依頼できます。字幕、マイク、読みやすいナビゲーション、テキストによる代替は、予備シナリオに切り替えた場合も維持します。. 参加者は、行動する、観察する、聞く、読む、質問するなど、自分に可能な方法でルートを進める必要があります. 会場、配信、資料、予備手段はまとめて確認します. 登録により、秘密を保ったまま支援を依頼できます

ワールド・ワイド・ウェブ・コンソーシアム（W3C）は、対面会場と遠隔プラットフォームの両方を考慮し、重要な視覚情報は言葉で説明し、高品質のマイクを使用することを推奨しています。プログラムはわかりやすい概要から始めるべきで、主な結論はアクセシブルなテキスト形式で繰り返すと役立ちます。. ワールド・ワイド・ウェブ・コンソーシアム（W3C）は、対面会場と遠隔プラットフォームの両方を考慮し、重要な視覚情報は言葉で説明し、高品質のマイクを使用することを推奨しています

プログラムはわかりやすい概要から始めるべきで、主な結論はアクセシブルなテキスト形式で繰り返すと役立ちます。

• 入口からすべての必須ゾーンまでのアクセシブルなルート；
• 座る必要がある、または車椅子を使用する参加者のための席；
• 十分なコントラストのある大きなナビゲーション；
• 会場からの質問用のマイク；
• 主要なビデオの字幕またはテキスト代替；
• アクセシブルな形式でのイベント前の資料；
• 個人のスマートフォンが不要なステーション；
• 静かに質問する方法；
• 密度の高いブロック間の休憩；
• バックアップ環境でのアクセシビリティの維持。

ハイブリッド参加者は、行動する機会のない短縮版を受け取るべきではありません。ステーションが学習メッセージの送信を要求する場合は、テスト用のリモートチャネルを準備してください。それが不可能な場合は、同等の観察と意思決定のシナリオを提案してください。技術的なガイドラインは、次の資料にまとめられています： イベントのアクセシブルなライブ配信.

Метрики без обещаний про отсутствие инцидентов

Измеряйте действия и исправления вместо абстрактной «защищённости». Полезны использование штатного канала, корректность эскалации, время первого сообщения, нагрузка на поддержку и выполнение плана улучшений. Один День кибербезопасности не доказывает соответствие стандарту и не обещает отсутствие инцидентов. Динамику сравнивают только между сопоставимыми упражнениями.

Итоговый документ связывает цели учения с действиями, которые команда могла наблюдать. В нём остаются сильные стороны, области для доработки, корректирующие действия, ответственные и сроки. Это полезнее одного среднего балла викторины и помогает вернуться к решениям после события.

Рабочий набор метрик может включать:

Не стоит обещать «устранить человеческий фактор» или снизить риск на произвольный процент. Люди работают внутри системы: на их действия влияют интерфейсы, доступы, нагрузка, технические барьеры и качество поддержки. Агентство Европейского союза по кибербезопасности (ENISA) также строит программы обучения по аудиториям, каналам и показателям, а не вокруг одного универсального события.

После Дня назначьте короткий разбор владельцев. Они закрывают быстрые исправления, отправляют сложные вопросы в рабочий план и возвращают сотрудникам понятный ответ: что компания изменила после учения. Без этого формат рискует остаться ярким, но изолированным эпизодом.

Смета Дня кибербезопасности

Бюджет зависит от числа станций, потоков и повторов. Отдельно считаются эксперты, тестовая техника, площадка, доступность и репетиция. Сначала утверждают структуру и границы, затем считают производство. Мы не называем универсальную цену на участника: одинаковое число гостей может требовать одного зала или сложной многозонной программы для нескольких смен.

Смету удобно собирать по блокам:

Сокращать лучше то, что не влияет на учебное действие. Иногда можно упростить декор, но сохранить тестовую среду, доступность, координацию и время на репетицию. Дорогая сцена не исправит неработающую кнопку сообщения и не заменит специалиста, который имеет право принять решение.

予算バスケットの全体的な考え方は、次の記事で解説しています： 企業イベントの予算見積もり。事前見積もりのためには、都市、対象者、形式、ステーション数、シフト制、データ、会場、ハイブリッド参加に関する要件が必要です。

Бриф агентству: что подготовить

Хороший бриф отделяет профильное содержание от организации события: заказчик приносит цель, аудиторию, владельца безопасности и ограничения. Мы в «Авентуре» уточняем площадку, потоки, технику, доступность, состав команды и график решений. Если вводных пока мало, мы проводим установочную встречу и собираем вопросы. Политику информационной безопасности определяет профильная команда заказчика.

До обращения полезно подготовить:

1. サイバーセキュリティデーの目的と、社員が訓練すべきアクション。
2. 対象者層の構成、都市、部門、シフト、リモート参加者。
3. コンテンツのオーナーと、CISO、HR、IT、法務部門による承認者リスト。
4. 許容されるシナリオ、データ、デバイス、中止基準。
5. 希望するステーションと必須の社内手続き。
6. 登録、アクセス、写真撮影、録画、レポートに関する要件。
7. アクセシビリティと言語に関するニーズ。
8. 会場、またはその選定における制約条件。
9. 予算の範囲と、削減できない費目。
10. 最終レビュー後に経営層が下す決定。

Мы в «Авентуре» можем взять на себя организационную часть: концепцию, сценарный план, площадку, маршруты, технику, оформление, координаторов, репетицию и работу в день события. Профильный эксперт заказчика утверждает содержание станций и киберучения. Такое разделение даёт команде ясные границы и помогает не превращать серьёзную тему в развлекательную викторину.

社員向けのサイバーセキュリティデーを準備しているなら、 私たちのポートフォリオをご覧ください。事前見積もりを取得するには、 お見積もりをご請求ください。。私たちが課題、役割、制約を明確にします。その後、プログラムとイベント準備の計画を提案します。

出典

• NIST: Building a Cybersecurity and Privacy Learning Program
• CISA: Tabletop Exercise Packages

• NCSC: Phishing attacks, defending your organisation
• ICO: Monitoring workers checklists
• W3C WAI: Making Events Accessible
• КонсультантПлюс: Федеральный закон № 152-ФЗ «О персональных данных»
• Microsoft Learn: Attack simulation training
• ENISA: Awareness Raising in a Box