怪しいメールに社員がだまされない会社に。月1回の注意と3問の確認をAIで作る

この記事では、取引先にセキュリティ対策を聞かれても困らない。社内の決まりと回答をAIで整えるの「社員への注意を定期的に出す」を、仕組みとして作る方法を説明します。

一言でいうと、社内の情報セキュリティの決まりから、毎月1つのテーマを表で選ぶ。AIが、そのテーマの短い注意の文と、3問の確認を下書きする。社長が確かめて社員に送り、答えの正しかった割合を表で数える。割合の低かったテーマは、次の月にもう一度出すという形です。決まりを作っただけで終わらせず、社員が毎月少しずつ思い出す仕組みにします。

被害は小さな会社でも起き、社員の行動が入り口になる

情報処理推進機構（IPA）が2024年10月から11月に、全国の中小企業4,191社に行った調査では、2023年度に被害に遭った企業の過去3期の被害額の平均は73万円、復旧までの期間の平均は5.8日でした（＠IT、ScanNetSecurityの報道による）。直近3期に情報セキュリティ対策に投資していない企業は62.6%で、理由の最多は「必要性を感じていない」でした。

対策には、機械やソフトでするものと、社員の行動で守るものがあります。パソコンやソフトを最新にすること、パスワードを使い回さないこと、怪しいメールの添付やリンクを開かないこと、外にデータを持ち出すときの決まりを守ること。IPAの「5分でできる！情報セキュリティ自社診断」の25の項目にも、社員一人ひとりの行動にかかわるものが多く入っています。

社内の決まりを作っても、社員が覚えていなければ守られません。年に一度の研修だけでは、忙しい毎日の中で忘れてしまいます。

今は決まりを配って終わり、守られているかが分からない

多くの小さな会社では、社員への伝え方が次のようになっています。

社内の決まりを作り、入社のときに配る
年に一度、朝礼で「怪しいメールに気をつけて」と話す
社員が決まりを覚えているかは、確かめていない
取引先の確認票で「社員に教えていますか」と聞かれても、何をしたかを説明しにくい

選び、AIが注意と3問を書き、社長が送り、答えを数える

社内の情報セキュリティの決まりから毎月1つのテーマを表で選び、AIが短い注意の文と3問の確認を下書きし、社長が確かめて社員に送り、答えの正しかった割合を数えて、低かったテーマを次の月にもう一度出す

仕組みは4つの段でできています。

1. 並べる：テーマの表を作る。 社内の決まりと、自社診断の項目から、社員の行動にかかわるテーマを表に並べます（怪しいメール、パスワード、パソコンの更新、持ち出し、事故のときの連絡、など）。表には、前に出した月と、答えの正しかった割合の欄を作ります。

2. 選ぶ：今月のテーマを表から選ぶ。 ここはAIの仕事ではありません。

前の月に答えの正しかった割合が低かったテーマがあれば、それをもう一度選ぶ
なければ、いちばん長く出していないテーマを選ぶ
取引先の確認票で聞かれたばかりのテーマがあれば、優先する

3. 下書きする：AIが注意の文と3問を書く。 AIに、選んだテーマと、社内の決まりの該当する部分を渡し、2つを下書きさせます。

注意の文：スマホで1分で読める長さ。なぜ大事か、何をするか、困ったら誰に連絡するか
3問の確認：「この場合、どうしますか」の形の問いと、選択肢と、正しい答えと理由

社内の決まりにないことは書かせません。

4. 送って数える：社長が確かめて送り、答えを数える。 社長が中身を確かめ、社員に送ります。社員は、3問に答えを返します（表のフォームや、連絡の道具の投票などで）。答えの正しかった割合を表で数え、テーマの表に入れます。

注意と問いの型をスキルにし、テーマ選びと集計はAIの外に置く

この仕組みが毎回同じ質で回るかどうかは、AIに渡す決まりと、AIの外の仕組みで決まります。作る側から見ると、ここが「AIを使う」と「使いこなす」の差です。

注意の文と問いの型を Skills にまとめる。 Skills（スキル）は、AIに渡す手順書・見本・道具を1つにまとめたものです。頼まれた内容に合うときにAIが自動で読み込むので、毎回同じ説明をしなくても、AIの働きが安定します。ここでは、次のものをスキルにします。

注意の文の型：なぜ大事か、何をするか、困ったら誰に連絡するか、の3つを短く
問いの型：会社でありそうな場面を1つ置き、選択肢3つで聞く形
会社の言葉：使っているメールやソフトの呼び方、相談の窓口の名前
書いてはいけないこと：社内の決まりにない手順、実在の取引先や社員の名前、不安をあおる言い方、社員を責める言い方

テーマ選びと、答えの正しかった割合は、AIの外に置く。 AIそのもの以外の、指示・道具・点検の仕組みを設計することを、ハーネスエンジニアリングと呼ぶことがあります。ここでは、テーマの表から今月のテーマを決まりに沿って選ぶこと、社員の答えを表で集めて正しかった割合を数えること、割合の低いテーマに印を付けることが、それに当たります。

正しかった割合が、教え直すテーマを教えてくれる

この仕組みでいちばん効くのは、答えの正しかった割合を数えることです。

割合の低いテーマは、社員が分かっていないか、決まりが分かりにくいかのどちらかです
次の月にもう一度出し、それでも低ければ、社内の決まりの書き方を見直します
数えた記録は、取引先の確認票で「社員に教えていますか」と聞かれたときに、何を、いつ、どれだけ教えたかを答える材料になります

答えは、誰が間違えたかを責めるためには使いません。会社として、どのテーマを教え直すかを決めるために使います。

確認票への回答の作り方は、セキュリティの確認票に1日で答える。実施状況の表と過去の回答からAIが下書きで説明しています。

社長の仕事は、月に1回確かめて送ることになる

仕組みが入ると、社員への伝え方は次のように変わります（想定です）。

	今まで	仕組みが入ったあと
伝える回数	入社時と年に一度	毎月1回、1分で読める長さで
テーマ	毎回「怪しいメール」	表から順に、決まり全体を回る
覚えているか	分からない	3問の正しかった割合で分かる
教え直し	しない	割合の低いテーマをもう一度
取引先への説明	何をしたか言いにくい	いつ、何を、どれだけ教えたかが残る

経営への効果は、被害の入り口を減らし、取引先に説明できること

効果は、前提を置いて考えます。

被害に遭ったときの損＝被害額＋止まった日数分の売上＋取引先への影響

IPAの調査では、被害額の平均は73万円、復旧の平均は5.8日でした。社員の行動から入る被害を1件でも防げれば、この仕組みにかかる費用を大きく上回ります。

もう1つの効果は、取引先への説明です。確認票で「社員への教育」を聞かれたとき、毎月のテーマと正しかった割合の記録があれば、実際にしていることとして答えられます。

費用はほとんど要らず、AIの利用料は月4円ほど

作る順番と、かかる日数

テーマの表と、注意の文と問いの型と、書いてはいけないことを決める（会社：社長と担当者、2時間）。ここがいちばん大事です
社員が答えを返す方法を決める（会社：担当者、30分。表のフォームや、連絡の道具の投票で足ります）
テーマの選び方と、正しかった割合の数え方を表に作る（会社：担当者、1時間）
頼み方をスキルにする（作る人、0.5人日。会社で契約したAIのチャットに型を保存して使うなら不要）

作る費用

作る費用＝作る人の日数（人日）× 1日あたりの単価

スキルにする場合で、作る側の目安は0.5人日です。会社で契約したAIのチャットに、型と決まりを貼って頼むやり方なら、作る費用はかかりません。

毎月の費用

費用	中身	想定の会社での目安
AIの利用料	月1回の注意の文と3問の下書き	月約4円（下の計算）
表計算・連絡の道具	すでに使っているもの	追加0円の想定
人の時間	社長の確認と、社員の1分	月に数十分

AIの利用料は、読ませた量と書かせた量で決まります。2026年10月7日時点のAnthropic社のClaude（Sonnet 5.5）の公式料金は、読ませる量100万トークン（AIが文字を数える単位）あたり2ドル、書かせる量100万トークンあたり10ドルです。テーマと社内の決まりとスキルで5,000トークンを読ませ、注意の文と3問で1,500トークンを書かせると見積もると、0.025ドル、1ドル150円で約3.8円です。

何か月で取り戻せるか

この仕組みは、時間を浮かせて取り戻すものではありません。かかるのは、月に数十分の人の時間と、数円の利用料です。上の式のとおり、被害を1件防げれば、それだけで何年分もの費用を上回ります。

必要な人は3役で、送るかを決めるのは社長

役	誰が	すること	時間
送る人	社長	注意の文と3問を確かめて送る	月15分
数える人	総務の担当者	テーマを選び、答えを数え、表に入れる	月30分
答える人	社員全員	注意を読み、3問に答える	月1〜2分

いちばん大事なのは、毎月続けることです。テーマの表を一巡すれば、決まり全体を社員が思い出したことになります。

1年で決まりを一巡し、正しかった割合が上がる見込み

どこまでいけるかは、毎月続けられるかで決まります。目安は次のとおりです。

時期	見込み
最初の3か月	怪しいメール、パスワード、更新の3つを回す。答えの返し方に慣れる
半年	正しかった割合の低いテーマが分かり、決まりの分かりにくいところを直す
1年	テーマの表を一巡し、取引先に教育の記録を説明できる

効果を確かめるには、次の3つを記録します。

テーマごとの正しかった割合：毎月記録します
答えを返した社員の割合：続いているかを見ます
社員からの「これは怪しいのでは」という相談の数：決まりが行動に移っているかを見る材料にします

社員を責める材料にすると失敗する

作る側から見て、よくある失敗は次の4つです。

間違えた社員を責める。 答えは会社として教え直すテーマを決めるためだけに使い、個人の評価に使いません
毎月同じテーマを出す。 テーマの表から、まだ出していないものを選びます
社内の決まりにない手順をAIが書く。 決まりの該当する部分だけを渡し、「書いてはいけないこと」に入れます
長い文を送る。 スマホで1分で読める長さにします。長いと読まれません

技術の細かい判断（どのソフトを入れるか、設定が正しいか）は、AIの一般論ではなく、システムの担当会社に確かめます。社内の決まりや、社員の答えの記録は、外に出してはいけない情報です。会社で契約した、入力をAIの学習に使わないプランで扱い、社内ルールに書いておきます。決め方は社員が安心してAIを使える会社にする、A4で1枚の社内ルールにまとめています。

まとめ

社内の決まりと自社診断の項目から、社員の行動にかかわるテーマを表に並べる
毎月1つのテーマを表の決まりで選び、AIが1分で読める注意の文と3問の確認を下書きする
社長が確かめて送り、答えの正しかった割合を表で数える
割合の低いテーマは次の月にもう一度出し、それでも低ければ決まりの書き方を見直す
費用はほとんどかからず、AIの利用料は月約4円。記録は取引先への説明にも使える