最終更新日：2026年11月3日。この記事にリンクされている情報源に基づき確認済み。
午後4時50分、電話をかけてきた人物は、取締役会前にロックアウトされてしまった財務部長だと名乗り、パスワードのリセットと新しいMFAコードを要求した。声は自信に満ちており、担当者は役に立ちたいと思った。これが、ITヘルプデスクのトレーニングで埋めなければならないギャップである。Verizonの2026年データ侵害調査報告書によると、 違反の62％に人的要因が関与しているまた、攻撃者はヘルプデスクの担当者やパスワードのリセットが必要なユーザーになりすましており、ある程度の成功を収めていると述べている。
認定資格では、チケット発行とトラブルシューティングについて学びます。このリストでは、もう半分、つまりアカウントに触れる前に誰が電話に出ているかを確認することについて説明しています。3つのグループに分かれた8つの既成コース、それぞれの修正内容、展開方法が用意されています。各グループの最後には、 私たちのピック唯一の法的論点は米国の連邦規則に関するものなので、これは判決ではなく、概要としてご利用ください。
全8コースの概要
| コース | それがカバーするもの | 長さ | その背後にある法律は？ |
|---|---|---|---|
| スタッフ向けのパスワード、パスキー、多要素認証 | 安全なサインイン、多要素認証、パスキー、復旧ショートカット | 30 min | いいえ |
| フィッシングとソーシャルエンジニアリング | 危険信号、検証、報告 | 30 min | いいえ |
| ソーシャルエンジニアリング、詐欺、ディープフェイク | 電話詐欺、決済詐欺、なりすまし詐欺 | 35 min | いいえ |
| セキュリティ意識向上の基本 | 管理者権限を持つ人なら誰でも守るべき基本的な習慣 | 35 min | はい（米国連邦規則、対象となる金融機関） |
| マルウェアとランサムウェア | 感染がどのように広がるか、そして最初の数分間 | 30 min | いいえ |
| サイバーインシデント対応と侵害報告 | 初期対応手順と報告経路 | 35 min | いいえ |
| ITIL 4とITサービスマネジメント | サービスデスクにおけるインシデント、問題、変更 | 45 min | いいえ |
| すべての人にAIセキュリティを | シャドウAI、即時注入、および操作された出力 | 30 min | いいえ |
セキュリティ意識向上コースだけが米国の連邦規則の対象であり、しかも一部の組織に限られています。FTCセーフガード規則では、対象となる金融機関はセキュリティ意識向上コースを提供しなければならないと規定されています。 従業員に対するセキュリティ意識向上トレーニングそれは、他のすべての人に当てはまる方向性を示すものではない。
アカウントセキュリティとソーシャルエンジニアリング
スタッフ向けのパスワード、パスキー、多要素認証
この30分間のコースでは、アカウントが攻撃の標的となる理由、強力で固有のサインイン方法、多要素認証とパスキー、偽のサインインページ、そして共有、ショートカット、復旧に関するグレーゾーンについて解説します。エージェントは一日中パスワードやMFAのリセットを行っているため、行動を起こす前に安全な検証方法が必要です。「あなたならどうしますか？」というシナリオで、魅力的なショートカットが提示された場合に、参加者全員に意見を求めるのが効果的です。
フィッシングとソーシャルエンジニアリング
フィッシングとソーシャルエンジニアリングは、ヘルプデスクのエージェントを直接標的にします。この30分のコースでは、攻撃者が信頼、緊急性、権威をどのように利用するかを説明し、危険信号を教え、最後に12問の最終チェックを行い、80%の正答率で合格します。エージェントは、発見したことを報告する方法も学びます。危険信号を見つけるラウンドは、選択肢を選ぶクイズとして効果的です。その他の攻撃タイプについては、ガイドを参照してください。 ソーシャルエンジニアリングの例.
ソーシャルエンジニアリング、詐欺、ディープフェイク：電話、決済、なりすまし詐欺
財務部長のような声の電話は、偽の声かもしれません。この35分間のコースでは、新しい銀行口座情報を求める説得力のある要求を取り上げ、既知の番号で要求を確認する方法を教え、ディープフェイクの音声とビデオについても解説します。エージェントは、地位、礼儀正しさ、秘密保持を証拠ではなくプレッシャーとして扱うことを学びます。「なぜ小切手をスキップするのか？」というワードクラウドは、それを素早く捉えます。
セキュリティ意識向上の基本
この35分間のコースでは、管理者ツールにアクセスできるすべての人を対象に、基本的な知識を習得できます。具体的には、なぜ人々が標的になるのか、攻撃の段階、メール、テキストメッセージ、電話、ウェブ、USBなどにおける危険信号、基本的な行動パターン、そして報告方法について解説します。コースの最後には、80%以上の正答率で合格となる12問の最終確認テストがあります。このコースは、上記で触れたFTCセーフガード規則という米国連邦規則を背景とした唯一のコースであり、一部の金融機関を対象としています。ご自身の状況については、弁護士にご相談ください。
おすすめ：従業員向けのパスワード、パスキー、多要素認証。 リセットやMFAの変更は、まさに攻撃者が受付に要求する内容なので、ここでの認証習慣こそが午後4時50分の電話を防ぐものなのです。
インシデントとマルウェア
マルウェアとランサムウェア：感染の拡大方法と対処法
エージェントは、不審なポップアップやロックされたファイルに関する最初の報告を受ける立場にあるため、感染がどのように始まるかを知っておく必要があります。この30分間のコースでは、無料フォントのダウンロードから始まる感染の事例を取り上げ、一般的な感染経路、安全な習慣、バックアップとアップデート、そして最初の数分間について解説します。「どのように始まったのか？」という質問は自由回答形式のスライドとして機能し、支払いを促すレッスンでは、ユーザーが支払いを要求してきた場合にどう対応すべきかを説明します。
サイバーインシデント対応と侵害報告（非専門家向け）
静かなノートパソコンが実は情報漏洩だった場合、最初の10分間が重要です。この35分間のコースでは、エージェントが見抜くべき兆候、報告方法、対応チームの次の行動、そしてプレッシャーの中で人々が沈黙を守る理由を学びます。また、自分の役割を想定した机上訓練も含まれています。エージェントは、この訓練を通して、即興で対応するのではなく、インシデント処理プロセスを段階的に進め、証拠を保全することができます。
おすすめ：専門家以外向けのサイバーインシデント対応および侵害報告に関する書籍。 事件が最初に報告されるのは多くの場合デスクであり、最初の10分間の明確な手順は、巧妙な解決策よりも効果的である。
サービス管理とAIリスク
ITIL 4とITサービスマネジメント：サービスデスクにおけるインシデント、問題、変更
この45分間のコースは、まず1つの障害が40回発生することから始まり、次にサービス価値体系、基本原則、インシデント、問題、変更の違い、影響度と緊急度による優先順位付け、SLA、そして適切なチケットの書き方について説明します。これにより、日々のサービスデスク業務が体系化されます。分類レッスンでは、エージェントが実際のチケットをインシデント、問題、変更に分類し、自然な形で「回答を選択する」ラウンドを行います。
すべての人のためのAIセキュリティ：シャドウAI、プロンプトインジェクション、操作された出力
ユーザーは、承認されていないAIツールについてデスクに問い合わせるようになりました。この30分間のコースでは、シャドウAI、プロンプトの挿入、PDFやメールに隠された指示、無料のAI拡張機能、承認済みツールのリクエスト方法、インシデントの報告方法などを解説します。エージェントは、これらの質問に安全に回答するためにこのコースが必要です。「隠された指示を見抜く自信はどの程度ありますか？」という評価尺度は、コース受講前後の変化を示しています。
私たちのおすすめ：ITIL 4とITサービスマネジメント。 適切なプロセスこそが、プレッシャーのかかる状況下でも本人確認を滞りなく行うための鍵となる。適切に分類・優先順位付けを行う部署であれば、発信者の本人確認を行う時間を確保できるのだ。
計画の展開方法
露出順に並べます。人間の要素は 侵害の 62% Verizonのレポートでは、まず認証方法を教えるコースから始めましょう。
- 新しいエージェントの最初の週には： パスワード、パスキー、多要素認証、フィッシングとソーシャルエンジニアリング、そしてセキュリティ意識向上の基本。
- 最初の1ヶ月以内に： 詐欺とディープフェイク、マルウェアとランサムウェア、インシデント対応、そしてITIL 4コース。
- 毎年： 各コースの復習クイズに加え、新しいAIツールがリリースされるたびにAIセキュリティコースの復習クイズが実施されます。
- 適用される場合: 対象となる金融機関である場合は、FTCの安全対策規則に規定されているとおり、セキュリティ意識向上トレーニングを最新の状態に維持し、自国または州で他に適用される事項について顧問弁護士に確認してください。
これらのコースを実施する方法 AhaSlides
これらのいずれも、自己ペース学習コースとして構築できます。 AhaSlides コース作成者は、ライブQ&Aセッションの資料として活用したり、両方を組み合わせたり、コース終了後のアンケートや30日後のフォローアップを実施して、何が変わったかを確認したりできます。
- 答えを選んでください: 発信者の要求と4つの可能な応答を表示するか、どのチケットがインシデントで、どのチケットが問題なのかを尋ねる。
- ワードクラウド： 「なぜ捜査官は身元確認を省略するのか？」と問いかけてみてください。最も大きな単語は、どのようなプレッシャーに対処するための訓練が必要かを示しています。
- 評価尺度: 前後で、「緊急のMFAリセットを拒否する自信はどの程度ありますか？」を1から5の段階で尋ねてください。
- 自由回答形式： ライブセッション終了時に、受付から匿名のニアミス事例を収集する。
FAQ
ITヘルプデスクのスタッフにはどのような研修が必要ですか？
ヘルプデスク担当者には、チケット管理とITILの基礎知識に加え、本人確認とソーシャルエンジニアリングへの認識が必要です。上記のコースはこれら両方を網羅しており、入門資格を取得することで技術的な側面をさらに深めることができます。
攻撃者はどのようにしてヘルプデスクを標的にするのか？
彼らは従業員になりすましてパスワードや多要素認証のリセットを要求するため、担当者はまず本人確認を行う必要がある。Verizonの報告書によると、攻撃者はヘルプデスク担当者やパスワードのリセットを必要とするユーザーになりすましているという。
ヘルプデスクの資格取得は価値があるのか？
資格証明書は採用に役立ちますが、セキュリティ意識向上トレーニングは、デスクでの実際のインシデントを減らす効果があります。この記事は資格証明書の販売を目的としたものではありませんので、両者は相互補完的なものとして捉えてください。
情報漏洩の疑いがある場合、ヘルプデスク担当者はどのような対応を取るべきでしょうか？
直ちにインシデント対応手順に従い、証拠を保全してください。まずは後始末を試みず、たとえ確信が持てなくても報告してください。
この記事は一般的な情報提供であり、法的助言ではありません。ご自身の職場に関する決定については、資格のある弁護士または規制当局にご相談ください。
