評価基準 No.4-2-1-3
セキュリティの意識向上のための教育・研修
版を固定した URL です（400-v1.1）。現在の版は 評価基準 No.4-2-1-3 を見てください。
原文要求事項と評価基準
要求事項 No.4-2-1 セキュリティの意識向上のための教育・研修
経営層を含むすべての要員に対して、セキュリティの意識向上のための教育・研修を実施すること。
評価基準 No.4-2-1-3（★4）
・以下のトピックについて、役員、従業員、派遣社員及び受入出向者を対象に、新規受入れ時、かつ、年１回以上、教育資料配布・掲示、e ラーニング、集合教育等による教育・研修を実施すること。
-電子メールによるマルウェア感染の予防
-Web 閲覧によるマルウェア感染の予防
-機密区分の定義と取扱い
出典
出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」100 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得
原文対象外となるための条件・適合基準
対象外となるための条件
該当なし
適合基準
①以下の全てのトピックについて、役員、従業員、派遣社員及び受入出向者を対象に、教育資料配布・掲示、e ラーニング、集合教育等による教育・研修を実施していること。
-電子メールによるマルウェア感染の予防
-Web 閲覧によるマルウェア感染の予防
-機密区分の定義と取扱い
②①の教育・研修については、新規受入れ時、かつ、年 1 回以上実施していること。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-2-1-3、72〜73 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=72。2026-11-03 取得
原文自己評価方法（SCS-410）
①セキュリティ教育・研修計画、セキュリティ教材、セキュリティ教育・研修の実施記録等を確認し、以下の全てのトピックについて、役員、従業員、派遣社員及び受入出向者を対象に、教育資料配布・掲示、e ラーニング、集合教育等による教育・研修を実施していることを確認する。
-電子メールによるマルウェア感染の予防
-Web 閲覧によるマルウェア感染の予防
-機密区分の定義と取扱い
②教育・訓練計画、教材、周知記録、実施記録及び受講記録等を確認し、①の教育・研修については、新規受入れ時、かつ、年 1 回以上実施していることを確認する。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-2-1-3、72〜73 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=72。2026-11-03 取得
原文第三者評価の評価手法（SCS-420）
▶質問
①以下の全てのトピックについて実施している教育の実施方法を質問する。
-電子メールによるマルウェア感染の予防
-Web 閲覧によるマルウェア感染の予防
-機密区分の定義と取扱い
②上記の教育の実施について、以下の全ての項目について質問する。
-実施頻度
-直近の実施日
▶閲覧
原則として実施しない。
▶観察
原則として実施しない。
出典
出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-2-1-3、87 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=87。2026-11-03 取得
公式解説SCS-620 の解説
教育・研修には何が盛り込まれていればよいか？
・対象者や目的によって盛り込む事項は様々であるが、「理解向上」を目的とした教育を行う場合には、昨今の世の中の動向や、会社の規定を中心とした説明が望ましく、また、「注意喚起」を目的とした教育を行う場合には、他社事例を織り交ぜた「注意しなくてはいけないこと」「してはいけないこと」などを具体的に紹介する事が望ましい。
・電子メールと Web 閲覧という経路の違いによって必要な予防策や説明すべき内容が異なるため、それぞれの感染経路を想定した教育を実施する必要がある。
・また、機密区分の定義と情報の取扱いについては、各社の社内ルール等で定めた機密区分と、各機密区分の取扱いについて具体的に紹介する必要がある。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-2-1 【解説】、78〜79 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=78。2026-11-03 取得
教育・研修の効果の確認まで実施するべきか？
・本項目ではそこまでの実施は求めていないが、各組織の任意の取組として実施することは有効である。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.4-2-1 【解説】、78〜79 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=78。2026-11-03 取得
関連
改訂
この評価基準に関わる公式の改訂の記録はありません。