CONCEPT
そのリンク、月曜の朝に踏まないで。会社を守る「止まる・確かめる・相談する」習慣
週明けの焦りにつけ込む不審なリンクや添付ファイルへ、全社員で備える。三つの基本動作、30秒の一呼吸、30分の再起動手順から、安全な確認と相談を会社の習慣にする方法を整理します。
3つ 基本動作 止まる・確かめる・相談する | 30秒 まず止まる 急ぎの依頼も一呼吸 | 30分 週明けの確認 公式確認・共有・初動 |
原文公開：2026年10月13日 ／ 転載・編集：2026年10月20日
note原文を読む
note原文を読む
この記事でわかること
- 忙しい朝に組み込む三つの確認動作
- 重要手続きを別経路で確かめる運用
- 報告をためらわない教育と相談経路
目次
〖記事概要〗
連休明けの朝、受信箱には通知や依頼が一気にたまります。
連休明けの朝、受信箱には通知や依頼が一気にたまります。急いで処理したい気持ちにつけ込むのが、不審なリンクや添付ファイルです。情報セキュリティは、詳しい担当者だけの仕事ではありません。全社員が「止まる・確かめる・相談する」を実行できるかどうかで、会社の守りは大きく変わります。本稿では、現場で本当に使える確認手順、生成AI時代に増えるリスク、技術人事が整えるべき教育と相談経路を、実務の視点から整理します。
〖本文〗
月曜日、あるいは三連休明けの火曜日。
週明けの朝は、判断より先に手が動きやすい
月曜日、あるいは三連休明けの火曜日。
月曜日、あるいは三連休明けの火曜日。パソコンを開くと、メール、SMS、社内チャット、各種SaaSの通知がまとめて届いています。返信を待つ相手もいます。会議も始まります。未読件数を早く減らしたい。そんなとき、人は内容を丁寧に読む前に、リンクや添付ファイルへ手を伸ばしがちです。
攻撃する側が狙うのは、システムの弱点だけではありません。忙しさ、焦り、思い込み、権威への反応といった、人間の判断の隙も狙います。「至急」「本日中」「アカウント停止」「パスワード変更」「請求書を確認してください」と書かれていると、確認より行動を優先したくなります。
だから私は、週明けの最初の仕事を「未読をゼロにすること」ではなく、安全に仕事を再開することと定義した方がよいと考えています。メールを見るなという話ではありません。見ることと、そこにある指示へ従うことを分けるのです。
「そのリンクを踏まない」は消極策ではない
不審なリンクを開かないと聞くと、ITが苦手な人向けの初歩的な注意に見えるかもしれません。
不審なリンクを開かないと聞くと、ITが苦手な人向けの初歩的な注意に見えるかもしれません。しかし、実務ではこの一呼吸が非常に重要です。リンクを開けば、偽のログイン画面へ誘導されるかもしれません。添付ファイルを開けば、不正なプログラムが動くかもしれません。正規サービスに似せた画面へ認証情報を入力すれば、本人が自分で鍵を渡した形になります。
ウイルス対策ソフトが入っているから絶対に大丈夫、とも言い切れません。OS、ブラウザ、アプリ、セキュリティ製品は更新が必要ですし、攻撃手法も変わります。技術的な防御は不可欠ですが、最後の入口にいる人の判断も防御の一部です。
ここで大事なのは、社員へ恐怖を植え付けることではありません。「クリックしたら終わりだ」と脅すだけでは、間違えた人が報告をためらいます。必要なのは、迷ったら止まってよい、相談してよい、誤って開いた場合もすぐに知らせてよいという運用です。
会社を守る三つの基本動作
「至急」と書かれていても、まず30秒止まります。
第一に、止まる
「至急」と書かれていても、まず30秒止まります。
「至急」と書かれていても、まず30秒止まります。送信者名だけでなく、実際の送信元アドレスを見ます。文章の不自然さ、普段と違う依頼、見覚えのない添付、短縮URL、必要以上に不安をあおる表現がないかを確認します。
停止は仕事を遅らせる行為ではありません。誤操作による大きな停止を防ぐための、小さな安全確認です。飛行機や工場の点検と同じで、止まる手順を業務へ組み込む方が、結果として事業を速く安定して動かせます。
第二に、確かめる
メールにあるリンクからログインするのではなく、普段使っているブックマークや公式アプリからサービスを開きます。
メールにあるリンクからログインするのではなく、普段使っているブックマークや公式アプリからサービスを開きます。パスワード変更の通知なら、メールのリンクを使わず、公式サイトの設定画面へ自分で移動して確認します。請求書や振込先の変更なら、既知の電話番号や別の連絡経路で相手へ確認します。
表示名が上司や取引先でも、それだけでは本人確認になりません。送信元アドレス、ドメイン、過去のやり取り、依頼内容を組み合わせて見ます。一つの情報へ頼らず、別経路で照合することがポイントです。
第三に、相談する
分からないときに一人で判断しない。
分からないときに一人で判断しない。これは責任逃れではなく、組織としての正しい行動です。情報システム担当、セキュリティ窓口、上司、外部の専門家など、相談先を平時から決めておきます。
相談経路が分からなければ、人は「たぶん大丈夫だろう」と自己判断します。技術人事や管理部門が用意すべきなのは、長い規程だけではありません。「迷ったらこのチャネルへ画面を送る」「添付は開かずに転送する」「誤操作したらこの番号へ連絡する」という、実行できる短い導線です。
セキュリティ事故を個人のミスだけで片づけない
不審メールを開いた社員だけを責めても、会社は強くなりません。
不審メールを開いた社員だけを責めても、会社は強くなりません。なぜその人が一人で判断しなければならなかったのか。なぜ問い合わせ用の共通アドレスを、十分な教育を受けていない担当者が単独で処理していたのか。なぜ相談窓口が分かりにくかったのか。なぜ重要な依頼をメールだけで完結させる設計だったのか。組織側にも見直すべき点があります。
人は必ず迷い、急ぎ、勘違いします。だからこそ、注意力へ依存しすぎない仕組みが必要です。多要素認証、権限の最小化、端末やソフトウェアの更新、メールのフィルタリング、バックアップ、ログの確認、インシデント対応手順などを重ねます。人の教育と技術対策は、どちらか一方では足りません。
また、報告した人が不利益を受ける文化では、初動が遅れます。「開いてしまったかもしれない」と言えること自体を、会社を守る行動として評価する必要があります。早い報告は、被害範囲を小さくする可能性を高めます。
問い合わせフォームに大量の迷惑送信が届いた経験
私自身、会社のホームページを見直し、これまで使っていなかった問い合わせフォームを設置したことがあります。
私自身、会社のホームページを見直し、これまで使っていなかった問い合わせフォームを設置したことがあります。設置直後は静かでしたが、数日たつと大量の迷惑送信が届くようになりました。件数が刻々と増え、受信側の業務にも影響が出ます。最終的には、フォーム側の迷惑送信対策を有効にして止めました。
この経験で改めて感じたのは、公開した入口はすぐに見つけられ、試されるということです。新しいフォーム、公開API、採用ページ、ファイル共有、生成AIで作った小さなWebサービスも同じです。作って公開した時点が完成ではありません。監視し、異常を見つけ、設定を直し、運用を更新するところまでが仕事です。
DX推進では、サービスを早く作ることが重視されます。速さは大切です。ただし、公開後の管理者、ログの確認方法、問い合わせ先、停止判断、更新責任者を決めずに出すと、便利な入口が攻撃の入口にもなります。デジタル・トランスフォーメーションは、機能追加だけでなく、守り方の再設計まで含みます。
生成AIは守る側にも攻める側にも使われる
生成AIの進化により、文章作成、翻訳、プログラム生成、情報整理が速くなりました。
生成AIの進化により、文章作成、翻訳、プログラム生成、情報整理が速くなりました。これは企業にとって大きな機会です。同時に、不自然さの少ない偽メールを大量に作る、相手の業種に合わせて文面を変える、攻撃の試行回数を増やすといった悪用も考えなければなりません。
以前は、文法の乱れや不自然な日本語が見分ける手掛かりになることもありました。しかし、文章が自然だから本物とは限りません。これからは、文面の雰囲気ではなく、依頼の妥当性、送信元、公式画面での状態、別経路での確認を重視する必要があります。
社内で生成AIを使う場合も、入力する情報の範囲を決めます。顧客情報、未公開情報、認証情報、個人情報を、許可されていないサービスへ貼り付けない。AIが作ったプログラムや設定をそのまま公開しない。出力を人が確認し、テストし、権限を見直す。AI活用の推進と情報セキュリティは、対立する仕事ではありません。安全に使える設計があってこそ、AI活用は広がります。
技術人事が担う「全社員を守る人材育成」
セキュリティ教育を情報システム部だけへ任せると、現場の業務から離れた内容になりがちです。
セキュリティ教育を情報システム部だけへ任せると、現場の業務から離れた内容になりがちです。技術人事は、職種ごとの実務と学習をつなぐ役割を担えます。営業には顧客名を使ったなりすまし、人事には応募書類や本人確認情報、経理には請求書や振込先変更、開発にはリポジトリやクラウド認証、管理職には緊急連絡や権限承認というように、入口は異なります。
全員へ同じ動画を一度見せて終わるのではなく、自分の業務で起こり得る場面を使って練習します。研修講座・eラーニングは基礎知識をそろえるために有効です。そのうえで、短い模擬訓練、チームでの振り返り、相談手順の確認を組み合わせます。
評価するのも、受講率だけでは足りません。不審な依頼を止められたか、別経路で確認できたか、相談窓口を使えたか、誤操作を早く報告できたかを見ます。デジタル人材のスキルセットには、ツールを使う能力だけでなく、危険を見分け、止まり、説明し、周囲へ共有する能力も含まれます。
週明け30分のセキュリティ再起動
メール内リンクは使わず、普段のブックマークや公式アプリから主要サービスへ入ります。
最初の10分：公式画面から状態を確認する
メール内リンクは使わず、普段のブックマークや公式アプリから主要サービスへ入ります。
メール内リンクは使わず、普段のブックマークや公式アプリから主要サービスへ入ります。アカウント通知、ログイン履歴、サービス障害、管理者からの正式な連絡を確認します。休日中に公開したフォームやWebサービスがある場合は、受信件数やログの急増も見ます。
次の10分：チームで注意情報を共有する
怪しいメールやSMSが届いていれば、個人名や機密情報を伏せたうえで特徴を共有します。
怪しいメールやSMSが届いていれば、個人名や機密情報を伏せたうえで特徴を共有します。「この件名に注意」「正規連絡はこのチャネルから行う」「パスワード変更は公式設定画面から行う」と具体的に伝えます。注意喚起を抽象語で終わらせないことが重要です。
最後の10分：相談先と初動を確認する
不審なリンクを開いた場合、添付を実行した場合、認証情報を入力した場合に、誰へ何を伝えるかを確認します。
不審なリンクを開いた場合、添付を実行した場合、認証情報を入力した場合に、誰へ何を伝えるかを確認します。端末をネットワークから切り離す必要があるのか、画面を保存するのか、パスワード変更をどの端末から行うのかは、社内手順に従います。現場が迷わないよう、一枚の手順書や固定メッセージにしておきます。
「リンクを踏まない」を業務ルールへ変える
個人の注意に頼らず、会社の標準へ変えるには、重要手続きをメールリンクから始めない設計が有効です。
個人の注意に頼らず、会社の標準へ変えるには、重要手続きをメールリンクから始めない設計が有効です。たとえば、人事システムの変更は社内ポータルから、支払先変更は電話確認を必須に、管理者権限の承認は専用ワークフローから行うと決めます。
また、正規の社内通知にも短縮URLを多用しない、送信元ドメインを統一する、緊急依頼の書き方を決めるといった工夫が必要です。会社自身の連絡方法がばらばらだと、社員は本物を見分けにくくなります。
セキュリティは、禁止事項を増やすだけでは定着しません。なぜその手順が必要か、守る対象は何か、忙しいときでも実行できるかを考えます。現場の負担が大きすぎるルールは、やがて抜け道を生みます。安全性と使いやすさを両立する設計が必要です。
研修を年一回の行事から日常の習慣へ
情報セキュリティ研修は、年に一度の長い講義だけでは足りません。
情報セキュリティ研修は、年に一度の長い講義だけでは足りません。攻撃手法も、社内で使うサービスも、社員の役割も変わるからです。月に一度、五分で確認できる事例を共有する。新しいSaaSを導入したときに注意点を追加する。実際に迷った事例を匿名化して教材へ戻す。この小さな更新が効きます。
リスキリングというと、新しいAIツールやプログラミングを学ぶことへ目が向きます。しかし、変化した環境で安全に判断できるよう学び直すことも、重要なリスキリングです。スキルチェンジやキャリアパスを支える研修には、便利さとリスクを同時に扱う視点が欠かせません。
人や組織が変わるときは、知識より先にマインドセットが壁になることがあります。失敗を隠す、分からなくても聞かない、自分の会社だけは大丈夫だと思う。こうした前提を見直す参考として、私の著書『マインド・トランスフォーメーション AI時代の思考革命: AI時代に必要な人間OSのアップデート』も、必要に応じて手に取っていただければと思います。
もし開いてしまったら、隠さず早く伝える
どれだけ対策しても、誤操作をゼロにはできません。
どれだけ対策しても、誤操作をゼロにはできません。大切なのは、開いてしまった後の行動です。まず自己判断で削除や初期化をせず、社内手順に従って連絡します。いつ、どの端末で、どのメールやメッセージから、何を開き、何を入力したかを、分かる範囲で伝えます。
「叱られるかもしれない」と報告が遅れる方が、会社にとって危険です。管理職は、報告者を責める前に、封じ込めと事実確認を優先します。その後で、なぜ起きたかを個人と仕組みの両面から振り返ります。
インシデント対応は、完璧な人を探す仕事ではありません。不完全な状況でも、被害を広げず、事業を戻し、再発を減らす仕事です。平時から役割を決め、連絡網を試し、外部の相談先も確認しておくことで、いざというときの混乱を減らせます。
強い会社は、詳しい人がいる会社ではなく、相談できる会社
もちろん、セキュリティの専門家は必要です。
もちろん、セキュリティの専門家は必要です。しかし、専門家が一人いるだけで全社員の操作を見守ることはできません。強い会社は、社員一人ひとりが異変に気づき、止まり、適切な相手へ相談できる会社です。
読者の皆さんの会社では、不審なメールを受け取った新人が、三分以内に相談先を見つけられるでしょうか。経理担当者が振込先変更の依頼を受けたとき、別経路で確認する決まりがあるでしょうか。生成AIで作ったアプリを公開するとき、誰が安全性と運用を確認するでしょうか。
答えが曖昧なら、今日一つだけ決めてください。相談チャネルを固定する、週明けに10分確認する、重要手続きはメールリンクから始めない。小さな一歩で構いません。
そのリンクを開く前に止まる。公式画面で確かめる。分からなければ相談する。この三つを個人の注意ではなく、会社の習慣へ変えることが、AI時代の情報セキュリティの土台になります。
〖重要なキーワード解説〗
正規の企業や人物を装い、偽サイトなどへ誘導して認証情報や個人情報を入力させる手口です。
フィッシング
正規の企業や人物を装い、偽サイトなどへ誘導して認証情報や個人情報を入力させる手口です。
正規の企業や人物を装い、偽サイトなどへ誘導して認証情報や個人情報を入力させる手口です。メールだけでなく、SMSやチャットも入口になります。
マルウェア
情報窃取、遠隔操作、破壊などを目的とする不正なプログラムの総称です。
情報窃取、遠隔操作、破壊などを目的とする不正なプログラムの総称です。添付ファイル、リンク先、脆弱なソフトウェアなどを通じて侵入する可能性があります。
多要素認証
パスワードに加え、認証アプリや端末など複数の要素で本人を確認する方法です。
パスワードに加え、認証アプリや端末など複数の要素で本人を確認する方法です。パスワードが漏れた場合の被害を抑える重要な対策です。
インシデント対応
事故や攻撃の兆候を検知し、報告、封じ込め、復旧、振り返りを行う一連の活動です。
事故や攻撃の兆候を検知し、報告、封じ込め、復旧、振り返りを行う一連の活動です。平時の連絡網と役割分担が初動を左右します。
セキュリティ文化
ルールを守るだけでなく、迷ったら止まり、相談し、失敗を早く共有できる組織の習慣です。
ルールを守るだけでなく、迷ったら止まり、相談し、失敗を早く共有できる組織の習慣です。技術対策と人材育成の両方で作ります。
マインド・トランスフォーメーション
新しい技術を導入するだけでなく、判断基準、学び方、責任の持ち方を更新する変革です。
新しい技術を導入するだけでなく、判断基準、学び方、責任の持ち方を更新する変革です。「自分だけは大丈夫」という思い込みを手放すことも含まれます。
〖著者紹介〗
こんにちは、IT・DX教育サービスの株式会社サートプロ 近森満です。
こんにちは、IT・DX教育サービスの株式会社サートプロ 近森満です。
■所属・役職
・IoT検定制度委員会 事務局長（IoT検定、＋DX認定、超知性ASI検定）
・一般社団法人 IT職業能力支援機構 理事長（Android資格）
・電気・電子系技術者育成協議会 副理事長（E検定）
・組込みソフトウェア管理者技術者育成研究会 メンバー（組込み）
・ET教育フォーラム合同会社 代表（コンテンツ制作）
・経済産業省 地方版IoT推進ラボ ビジネス創出事業メンター（IoT支援）
・経済産業省 地域DX推進ラボ ビジネス創出事業メンター（DX支援）
・デジタル庁 デジタル推進委員（デジタル化支援）
・DX事業共同組合 設立理事（DX推進）
・一般社団法人日本サステナブルビジネス機構 幹事（SDGs認証）
・”一億総活躍社会を実現する”共生日本協議会 理事（DEI支援）
・アジャイル開発技術者検定試験コンソーシアム 事務局長（Agile検定）
・一般社団法人国際サイバーセキュリティ協会 事務局長（IACS認定）
AI導入や人材育成を自社の課題に合わせて進めたい方は、DX・AI人材育成のご相談もご覧ください。
〖音声配信〗
2年先の未来を先取り。
2年先の未来を先取り。AI・DX・超知性ASI時代のデジタル戦略を読み解くPodcast「DX企画書のネタ帳」。未来を先取りする実践的なヒントを毎日お届けしています。
今回の音声配信はSpotifyで聴くことができます。
よくあるご質問
不審な依頼に一人で判断せず、確認と相談につなぐ習慣を確認します。
不審なリンクを見たときの基本は何ですか？
本文では「止まる・確かめる・相談する」の三つを挙げています。急がせる通知でもまず一呼吸置き、送信者名だけでなく実際の送信元や依頼内容を確認します。メール内のリンクではなく、普段のブックマークや公式アプリから状態を確かめます。分からなければ情報システム担当や決められた窓口へ相談します。止まることを仕事の遅れとせず、大きな誤操作を防ぐ小さな安全確認として業務に組み込む考え方です。
上司や取引先の名前なら、信用してよいですか？
表示名だけでは本人確認になりません。送信元アドレスやドメイン、過去のやり取り、依頼内容を合わせて確認します。特に請求書や振込先変更、パスワード変更などは、メールのリンクから始めず、既知の電話番号や公式画面など別経路で照合します。生成AIで自然な文章を作れるため、不自然な日本語がないことも安全の証拠にはなりません。一つの手掛かりに頼らず、重要な操作ほど組織で決めた手順を使います。
週明け30分の確認は、何をしますか？
最初の10分は、メールのリンクを使わず公式画面から主要サービスやアカウントの状態を確認します。次の10分は、不審なメールやSMSの特徴を、個人名や機密情報を伏せてチームで共有します。最後の10分は、誤って開いた場合に誰へ何を伝えるか、相談先と初動を確かめます。具体的な端末の切り離しや記録の扱いは社内手順に従い、一枚の手順書や固定メッセージにして迷いを減らします。
誤って開いてしまったら、どう伝えますか？
自己判断で削除や初期化をせず、社内手順に従って早く連絡します。いつ、どの端末で、どのメールやメッセージから、何を開き、何を入力したかを分かる範囲で伝えます。管理職は報告者を責める前に封じ込めと事実確認を優先します。本文は、誤操作をゼロにするより、早く報告して被害を広げず事業を戻すことを重視しています。平時から窓口、役割、連絡網を試しておくことが初動につながります。
研修だけで安全な習慣は定着しますか？
年一回の動画や長い講義だけで終わらず、職種ごとの実務に近い場面で確認と相談を練習します。営業、人事、経理、開発などで異なる入口を教材にし、短い模擬訓練や振り返りを組み合わせます。受講率だけでなく、止まれたか、別経路で確認できたか、窓口へ相談できたか、誤操作を早く報告できたかを見ます。技術対策と教育を重ね、忙しいときにも実行できる短い導線を整える必要があります。
