台湾でよく聞く「情報セキュリティ教育訓練は年 3 時間」は、「資通安全責任等級分級辦法」（情報セキュリティ責任等級の区分に関する規則）が等級ごとに定める実施事項に基づいています。対象は公務機関と特定非公務機関で、時間数は一般職員、情報担当者、情報セキュリティ専任人員の区分ごとに異なります。
以下は、2026 年 1 月に改正された同規則の附表に基づいて整理したものです。実際に適用される等級と実施事項は、主管機関の認定に従います。
情報セキュリティ教育訓練時間の一覧
A・B・C 級の公務機関と特定非公務機関では、3 つの人員区分の時間要件は共通です。
| 人員区分 | 時間要件 | 教育訓練の種類 |
|---|---|---|
| 一般使用者および管理職 | 1 人あたり年 3 時間以上 | 情報セキュリティ一般教育 |
| 情報セキュリティ専任人員以外の情報担当者 | 2 年ごとに 3 時間以上の専門教育または職能訓練、かつ毎年 3 時間以上の一般教育 | 専門教育または職能訓練＋一般教育 |
| 情報セキュリティ専任人員 | 1 人あたり年 12 時間以上 | 情報セキュリティ専門教育または職能訓練 |
- D 級：専任人員の要件はなく、他の 2 区分は上表と同じ
- E 級：一般使用者および管理職の年 3 時間以上の一般教育が基本要件（中央の目的事業主管機関が別途定める場合あり）
- 情報セキュリティ専任人員は、別途、情報セキュリティの専門資格または資通安全職能訓練証書（主管機関の職能評価に合格して交付されるもの）を保有し、有効性を維持する必要があります（公務機関は専門資格と職能訓練証書を各 1 件以上、特定非公務機関はいずれかを 1 件以上）
対象：公務機関と特定非公務機関
この時間数の規定は「資通安全管理法」に基づくもので、対象は公務機関と「特定非公務機関」です。2025 年改正後の第 3 条では、特定非公務機関は重要インフラ提供者、公営事業、特定財団法人、政府の支配下にある事業・団体・機関と定義されています。各機関の責任等級は主管機関が認定します。
教育訓練は、初回の認定または等級変更から 1 年以内に完了する必要があります。人員の異動時も同様で、新規採用者や異動者は 1 年以内に不足分を受講します。
一般の民間企業も準拠する必要がありますか
上記の対象に当たらない一般企業について、資通安全管理法は教育訓練の時間数を定めていません。ただし実務上、次の 3 つの場面で求められることが少なくありません。
- 政府調達の受注や機関からの業務受託：契約上、従業員の教育訓練を含め、委託元機関の情報セキュリティ要件への準拠を求められることが一般的です
- 取引先によるサプライヤー監査：大企業や金融業のサプライヤー調査票では、「従業員の年間情報セキュリティ教育時間と修了率」が頻繁に問われます
- ISO/IEC 27001：時間数の規定はありません。箇条 7.2 は力量の確保と証拠の保持、箇条 7.3 は認識の確保を求めています。附属書 A の管理策 6.3 を適用する場合は、職務に応じた教育訓練と、方針・手順の定期的な周知も対象になります
個人情報保護・マネロン対策・労働安全衛生の教育訓練時間
情報セキュリティ教育とあわせて問われることの多い、台湾のその他の規定です。
| 規定 | 時間要件 | 補足 |
|---|---|---|
| 個人資料保護法（台湾） | 法律上の統一された時間数はない | 施行細則第 12 条は、適切な安全管理措置に「啓発および教育訓練」を含めることができると定めています。業種によっては個人データの安全管理に関する個別の規則があります |
| マネー・ローンダリング対策 | 専任担当者には年間の在職研修時間が定められている | 金融監督管理委員会（金管会）が業種ごとに定める内部統制規則に基づき、一般職員は各機関の研修計画に従う |
| 労働安全衛生 | 新規雇用時または作業内容の変更前の一般安全衛生教育は 3 時間以上（変更前後の作業環境・内容が同等の場合を除く） | 職業安全衛生教育訓練規則に基づく。特殊作業は別途時間数の定めあり |
| ISO/IEC 27001 | 時間数の規定なし | 力量・認識の確保、有効性の評価、力量の証拠となる記録の保持が求められる。管理策 6.3 を適用する場合は、職務に応じた教育訓練と方針等の定期的な周知も対象 |
時間数の記録には何を残せばよいか
監査や主管機関の検査で最も多く問われるのは、「各人が今年、どの教育訓練を何時間受けたか」です。教育訓練ごとに、少なくとも次の情報を残しておくことをおすすめします。
- 講座名、種類（一般教育または専門教育）、時間数
- 従業員ごとの修了日（人事名簿・人員区分と照合できる形で）
- 対面研修は出席・退席の記録（受講時間の証明）、オンライン講座は視聴完了の記録
- テストの成績など、理解度を示す記録
- 新規採用者・異動者の 1 年以内の受講状況の追跡
全体の流れ
時間数の規定を、いつでも提示できる記録にするための 5 ステップです。
-
1
適用等級と人員区分を確認する
機関の責任等級を確認し、各人員を「一般使用者および管理職」「情報担当者」「情報セキュリティ専任人員」の 3 区分に分けます。
-
2
年間の教育計画を立てる
人員区分ごとに一般教育と専門教育を割り当て、各区分が満たすべき時間数を算出します。情報担当者の専門教育は 2 年ごとの要件も考慮して計画します。
-
3
教育訓練を実施し、時間数を記録する
対面研修は出席・退席の記録で実際の受講時間を残し、オンライン講座は視聴完了を記録します。研修後はテストで理解度を確認します。
-
4
未達者と異動者を追跡する
四半期ごとに時間数が不足している人を確認し、新規採用者と異動者が 1 年以内に所定の時間数を満たせるよう管理します。
-
5
年間の時間数レポートを出力する
監査や検査の前に、各人員の受講講座、時間数、成績、修了日を出力します。
LabLearn で情報セキュリティ教育の時間数と証跡を管理する
LabLearn は、オンライン講座、対面研修の出席・退席記録、受講後のテスト、修了証を 1 つのシステムで管理します。部署ごとに修了率と不合格者を追跡でき、監査対応レポートと出席表を PDF で出力できます。問題は自社の情報セキュリティ方針をもとに AI が作成し、担当者の確認を経てから公開されます。
よくある質問
情報セキュリティ教育訓練は年に何時間必要ですか？+
台湾の「資通安全責任等級分級辦法」では、一般使用者と管理職は 1 人あたり年 3 時間以上の一般教育、情報セキュリティ専任人員以外の情報担当者は 2 年ごとに 3 時間以上の専門教育または職能訓練と毎年 3 時間以上の一般教育、情報セキュリティ専任人員は 1 人あたり年 12 時間以上の専門教育または職能訓練が必要です。
「1 人あたり年 3 時間」は一般の民間企業にも適用されますか？+
資通安全管理法の対象は、公務機関と特定非公務機関（重要インフラ提供者、公営事業、特定財団法人、政府の支配下にある事業・団体・機関）です。一般企業に法定の時間数はありませんが、政府調達や取引先のサプライヤー監査では定期的な教育訓練を求められることが多く、「1 人あたり年 3 時間」を目安とする企業も少なくありません。なお、ISO/IEC 27001 自体は時間数を定めていません。
新規採用者の情報セキュリティ教育は、いつまでに完了する必要がありますか？+
同規則では、初回の認定または等級変更から 1 年以内に教育訓練を完了することとされており、人員の異動時も同様です。そのため、新規採用者と異動者は 1 年以内に所定の時間数を満たす必要があります。
オンライン講座は情報セキュリティ教育訓練の時間数に含められますか？+
同規則は対面かオンラインかを限定しておらず、重要なのは受講した時間数と内容を証明できることです。オンライン講座では視聴完了と受講時間の記録を保持し、テストを実施した場合はその結果も保存しておくことをおすすめします。主管機関が時間数の認定方法を別途定めている場合は、それに従います。
ISO/IEC 27001 に情報セキュリティ教育訓練の時間数の規定はありますか？+
ありません。ISO/IEC 27001 は、力量と認識の確保、講じた処置の有効性の評価、力量の証拠となる記録の保持を求めています。附属書 A の管理策 6.3 を適用する場合は、職務に応じた意識向上・教育・訓練と、方針等の定期的な周知も行います。時間数は組織が自ら定めます。