情報セキュリティ対策は、大きく「物理的対策」「技術的対策」「人的対策」の3つに分類されますが、セキュリティ教育・訓練はこのうちの「人的対策」における最も核心的な活動です。どれほど高価で最新のウイルス防衛システムやアクセス制御を導入しても、それを運用する社員がソーシャルエンジニアリング（パスワードを聞き出す詐欺やなりすましなど）に引っかかったり、安易なパスワードを設定したり、退社時にPCをロックせずに放置したりすれば、そこがセキュリティの最も弱い環（ボトルネック）となってシステム全体が突破されてしまいます。セキュリティ教育は、単に「やってはいけないルール」を覚えさせるだけでなく、「なぜそのルールが必要なのか」という脅威の背景やメカニズムを理解させる（セキュリティ意識＝アウェアネスの向上）ことが重要です。また、知識を身につける座学（教育）に加え、実際にインシデントを体験する疑似訓練を定期的に組み合わせることで、緊急時に体が動くようにしておく実践力が身につきます。