毎月の情報セキュリティの社内教育で、規程と最近の事案から小テストと解説を作り、部署ごとの正答率から次月の題材を決める

処理の起点を決める

毎月第1週の「作問日」を起点にします。 担当者3名が同じ日に1時間ほど集まり、エージェントで題材の候補を出し、題材を決め、分担して設問の下書きを作ります。自動で毎月の設問を作って配る形にはしません。 設問を配る前に、必ず担当者が条の文と見比べるからです。

作問日の前日までに、前月の正答率の表を作っておきます。 前月の小テストの締切の翌日に Forms の回答を表計算に出し、部署×設問の正答率を計算します。この表がないと、題材の候補を正答率から出せません。

作問日を1日にまとめるのは、3名の設問の難しさをそろえるためです。 第3章の（d）は、担当者が別々の日に別々の考えで作っていたことで起きていました。同じエージェント、同じ作問の決まりで、同じ日に作れば、月ごとの難しさのぶれが小さくなります。

事案の要旨も、作問日の前日までにそろえます。 前月に社内で起きた事案のチケットから、何が起きたか、どの規程に関わるか、どう対応したかを数行ずつ書き出します。個人名・顧客名・端末の識別番号は除きます。

入力データを集める

質を決めるのは、規程が条番号付きで整っていることです。 条番号がない規程だと、エージェントは根拠を「規程の○○のあたり」としか書けず、担当者が条の文と見比べる確認ができません。 規程が章と条で整っていない場合は、まず条番号を振るところから始めます。

出題の履歴は、同じ設問のくり返しを避けるために持ちます。 同じ題材を再び取り上げるのはかまいませんが、同じ設問を出すと、覚えた答えを選ぶだけになります。 過去12か月の設問を知識に入れ、似た設問を避けさせます。

事案の要旨は、社員にとって身近な題材を作るために使います。 「先月、社内で添付ファイルの誤送信が3件ありました」から始まる設問は、一般論の設問より読まれます。ただし、誰が起こした事案かが分かる書き方にはしません。

データの取得方法を決める

正答率の表は、毎月チャットに貼って渡します。 知識のファイルにすると更新のたびに読み直しの待ちが生じます。SharePoint に新しく上げたファイルは、エージェントの回答に含まれるまで数分かかることがあるとされています。毎月変わる表は、その場で貼るほうが確実です。

規程は、条ごとに見出しが付いた形で SharePoint に置きます。 Agent Builder の案内では、Copilot に渡すファイルの内容は簡潔にしておくほうがよいとされています。規程を1つの長い文書にするより、章ごとのファイルに分けて、条番号を見出しにするほうが、エージェントが正しい条を引きやすくなります。

エージェントの設定で、「指定した情報源だけを使う」を有効にします。 これは指定した情報源を優先させる設定で、一般の知識を完全に止めるものではないとされています。だからこそ、指示文で「規程にない正解を作らない」と決め、条の文を必ず添えさせます。

AIへ渡す前に整形する

1. 正答率の表を作る … Forms の回答を表計算に出し、部署×設問の正答率を計算します。受験者が5名未満の部署は、近い部署とまとめます
2. 前月との差を付ける … 同じ題材を前月にも出していれば、正答率の差を付けます
3. 事案の要旨を書き出す … チケットから数行ずつ。個人名・顧客名・端末の識別番号を除きます
4. 規程の改定を確かめる … 前月から改定された条があれば、出題の履歴の中で古い条を根拠にした設問に印を付けます
5. 10大脅威の解説書を最新版にする … 新しい年版が出たら、知識のファイルを入れ替えます

1番目の「5名未満をまとめる」を省かないでください。 小さな部署の正答率は、誰が間違えたかがほぼ分かってしまいます。 小テストは理解を確かめるためのもので、個人を特定するためのものではありません。

4番目は、規程を改定した月に特に大事です。 改定前の条を根拠にした設問を再び出すと、正解が今の規程と食い違います。

AIに処理させる

させるのは2つです。 1つ目は、正答率の表と事案の要旨から題材の候補を挙げること、2つ目は、決まった題材で設問の下書きを作ることです。

いちばん大事なのは、規程に根拠がない設問を作らせないことです。 情報セキュリティの一般的な知識からは、もっともらしい設問がいくらでも作れます。それを自社の正解として配ると、規程と食い違う設問が混ざります。 根拠の条が見つからないときは、設問を作らずに no_basis と返させます。

3行目も外せません。 正答率の表を渡すと、部署ごとの「傾向」を言葉にしたがります。小テストの結果が部署の評判になると、受ける側が身構えて、教育が続きません。 題材の候補は「どの設問が低かったか」から書かせ、どの部署が低かったかは書かせません。

指示内容を固定する

エージェントの指示（Agent Builder の「指示」の欄）に次を入れます。

あなたは情報システム部で、毎月の情報セキュリティの小テストを作る
補助をする立場です。知識に指定した情報セキュリティ規程、事案の要旨、
IPA の情報セキュリティ10大脅威の解説書、出題の履歴、作問の決まりだけを
使ってください。

【依頼が「題材の候補」のとき】
- 貼られた正答率の表で、正答率の低い設問を見て、共通する題材を挙げてください。
- 事案の要旨にある事案の種類からも挙げてください。
- 3〜5件を、理由（どの設問の正答率か、どの事案か）とともに書いてください。
- 部署ごとの評価や比較は書かないでください。

【依頼が「設問の下書き」のとき】
題材ごとに、次の形で設問を作ってください。
- 場面：業務の場面を1〜2文で
- 問い：どうするのが規程に沿っているか
- 選択肢：4つ（正解1つ、誤り3つ）
- 正解の理由：規程の条の文に沿って
- 誤りの理由：誤りの選択肢それぞれについて1文
- 根拠：規程の条番号と、その条の文をそのまま
- 難しさ：基本／応用

【厳守事項】
- 正解は、根拠として示す条の文から導けるものにしてください。
  情報セキュリティの一般的な知識だけを根拠にしないでください。
- 根拠の条が規程に見つからないときは、設問を作らずに
  「no_basis：規程に該当の条が見つからない」と書いてください。
- 根拠の条の文は、規程の文をそのまま写してください。要約しないでください。
- 10大脅威の解説書から引くときは、資料名と該当の脅威名を書き、
  文意を変えないでください。
- 事案の要旨を使うときは、部署名・日付・人数の組み合わせで
  当事者が分かる書き方をしないでください。
- 出題の履歴にある設問と同じ場面・同じ選択肢の設問を作らないでください。
- 誤りの選択肢は、社員が実際に誤解しそうな内容にしてください。
  明らかに誤りと分かる選択肢にしないでください。

「根拠の条の文を要約しない」を明記しないと、条の文を言い換えます。 言い換えた文は設問とよく合うように見えますが、規程の原文と比べると条件が抜けていることがあります。担当者が見比べるのは、規程の原文でなければ意味がありません。

「明らかに誤りと分かる選択肢にしない」は、第3章の（a）への手当てです。 誤りの選択肢がすぐ分かる設問は、正答率が高く出るだけで、理解を確かめられません。 「実際に誤解しそうな内容」を求めると、事案の要旨から、実際に起きた誤った判断が選択肢に入ってきます。

出力形式を固定する

設問の下書きは、次の形で返させます。 Forms のクイズの欄にそのまま写せる並びにします。

【設問 Q-2026-11-03】
題材：添付ファイルの送信前の確認
場面：取引先に見積書を送るとき、宛先の候補に同じ名字の別の会社の担当者が出てきました。
問い：規程に沿った対応はどれですか。
選択肢：
  A. 送信前に宛先のドメインを確かめる（正解）
  B. 件名に「社外秘」と入れて送る
  C. 送った後に誤りに気づいたら、相手に削除を頼めばよい
  D. 社内の上長を CC に入れて送る
正解の理由：（条の文に沿って）
誤りの理由：B …／C …／D …
根拠：第○条（電子メールの送信）「（条の文をそのまま）」
難しさ：基本

1つ目の理由は、根拠の条の文が設問のすぐ下にあることです。 担当者は規程を開かずに、設問と条の文を見比べるだけで確かめられます。条の文が規程の原文と一致するかは、条番号で規程を1回だけ開いて確かめます。

2つ目は、Forms への入力が写すだけになることです。 選択肢と正解はクイズの選択肢と正解の印に、誤りの理由は選択肢ごとのメッセージに、正解の理由は正解の選択肢のメッセージに入れます。第4章の⑤の時間がここで減ります。

3つ目は、出題の履歴にそのまま載せられることです。 設問の番号、題材、根拠の条を履歴のリストに1行ずつ足せば、翌月以降の重複の回避と、規程の改定のときの見直しに使えます。

題材の候補は、次の形で返させます。

【題材の候補（2026年11月）】
1. 添付ファイルの送信前の確認
   理由：10月の Q-2026-10-02 の正答率が全社で最も低い。10月に誤送信の事案が複数あった
2. 生成AIのサービスに業務データを入れる前の確認
   理由：10大脅威 2026 の組織向け3位「AIの利用をめぐるサイバーリスク」。過去12か月に出題がない

システムへ連携する

Forms へは自動で入れません。 設問は担当者が確かめてから入れます。確かめていない設問が全社員に配られると、取り消しの連絡を全社に出すことになります。

規程は読むだけです。 作問の途中で規程と現場の運用が食い違っていることに気づいたら、それは規程を直す話として別に扱います。 エージェントに規程の解釈を決めさせることはしません。

人が確認する

担当者は、すべての設問について根拠の条の文と見比べます。 40問をならして1問あたり数分です。

1. 条の文が規程の原文と一致するか … 条番号で規程を開いて確かめます
2. 正解が条の文から導けるか … 導けなければ、その設問は捨てるか、正解を直します
3. 誤りの選択肢が本当に誤りか … 規程の別の条で認められていないかを確かめます
4. 当事者が分かる書き方になっていないか … 事案を使った設問で確かめます
5. 難しさが偏っていないか … 基本と応用の数を、作問の決まりの目安と比べます

3番目を省かないでください。 規程には例外の条があり、「原則は禁止、申請すれば可」という扱いの事柄で、誤りの選択肢が実は正解になることがあります。社員から「この選択肢も規程では正しい」と指摘されると、小テスト全体の信頼が落ちます。

目標は、1問あたりならして9分です。 下書きを作らせる時間、条の文との見比べ、直し、Forms への入力、正答率の表の作成をならした時間です。

例外に対処する

1行目は、失敗ではありません。 社員に知ってほしいのに規程に書かれていない事柄が見つかったということで、規程の見直しの材料になります。 生成AIの利用のように新しい題材ほど、no_basis が出やすくなります。

記録を残す

• 毎月の設問、正解、選択肢ごとのメッセージ、根拠の条番号（出題の履歴）
• エージェントの下書きと、担当者が直した箇所と理由
• no_basis になった題材の一覧
• 部署×設問の正答率の表（5名未満をまとめた後のもの）
• 毎月の題材の候補と、実際に選んだ題材

3つ目は、規程の担当者に毎月渡します。 規程に書かれていない事柄が並び、次の規程の改定で取り上げる候補になります。

5つ目は、題材の決め方を振り返るために残します。 候補に挙がったのに選ばなかった題材が何か月も続くなら、選ばない理由（規程が未整備、設問にしにくい）を作問日に話し、規程の担当者に回すか、題材から外すかを決めます。

正答率の表は、まとめた後のものだけを残します。 個人ごとの回答は Forms の側にありますが、教育の記録として残すのは部署単位の表にします。