標的型攻撃メール訓練はEラーニングと同じ予算枠でツール導入を考えると失敗する|セキュリティ対策 Lab

投稿日時: 2026年08月12日更新日時: 2026年08月12日

標的型攻撃メール訓練は「教育」ではない-Eラーニングと同じ予算枠でツール導入を考えると失敗する

標的型攻撃メール訓練を、コンプライアンス研修や情報セキュリティeラーニングと同じ予算区分の中で扱っていないでしょうか。米SANS Institute・英国NCSC・イスラエルINCDのいずれも、予算の勘定科目そのものを論じているわけではありませんが、継続性・専任体制・経営層の関与が訓練の実効性を左右するという点では共通しています。この記事では、これら3つの枠組みを手がかりに、標的型攻撃メール訓練を単年度・単発の教育イベントとして扱うことが、なぜ実務上つまずきやすいのかを整理します。

この記事のサマリー

米SANS Instituteのセキュリティ意識・文化成熟度モデルは、訓練プログラムを5段階で評価しており、年1回・随時の実施でコンプライアンス要件を満たすことだけを目的とした状態を、最も未成熟な「コンプライアンス重視」段階と位置づけています。
SANSが2025年に実施した調査（Embedding a Strong Security Culture 2025 Report）では、従業員の行動変容には3〜5年、組織文化としての定着には5〜10年の継続的な取り組みが必要だとするデータが示されています。
SANSの調査データでは、成熟度の高いプログラムほど、運用に投入されている専任スタッフの人員（FTE換算）が多いという相関も示されています。
英国NCSCが中堅から大規模な組織向けに提供する「10 Steps to Cyber Security」は、従業員向けの「エンゲージメントとトレーニング」を、リスク管理・資産管理・アクセス管理・ログ監視・インシデント対応などと並ぶ、サイバーリスク管理の10の柱の一つとして位置づけています。同ガイダンスは組織全体のリスク管理の枠組みを扱うもので、予算の区分方法そのものを論じているわけではありません。
イスラエルINCDは、2025年に前年比7倍となる31,657件のフィッシング攻撃に対応したと公表しており、局長のヨッシー・カラディ氏は、新世代のAIモデルの登場によりサイバー攻撃が人間の速度から機械の速度へと転換している以上、従来型の防御だけではもはや十分ではないと述べています。
これら3つの枠組みはいずれも、訓練を「予算区分」という切り口で直接論じたものではありません。ただし、継続性・専任体制・経営層の関与という共通要素は、単年度の教育予算サイクルの中では確保しにくい条件でもあり、この記事ではその関係を整理します。

整理表

観点	SANS・NCSC・INCDが実際に述べていること	単年度・単発の教育予算サイクルとの関係（本記事の整理）
実施の継続性	SANS：コンプライアンス重視段階は年1回・随時の実施にとどまる	単年度予算では、翌年度も同内容を繰り返しやすい
到達までの時間軸	SANS 2025年調査：行動変容に3〜5年、文化定着に5〜10年	単年度で区切られる予算サイクルとは時間軸が異なる
専任体制	SANS：成熟度の高いプログラムほど専任FTEが多い	教育予算では専任担当者を置かない運用になりやすい
組織内の位置づけ	NCSC：10のリスク管理領域の一つとして扱う	教育研修とは異なる意思決定プロセスに置かれる可能性
脅威の変化速度	INCD：攻撃はAIにより人間の速度から機械の速度へ	単発の研修内容は最新の脅威に追随しにくい

SANSの成熟度モデルが示す「コンプライアンス重視」段階の実態

米国のセキュリティ研究・教育機関SANS Instituteが提唱する「セキュリティ意識・文化成熟度モデル」は、組織のセキュリティ意識向上プログラムを、非存在・コンプライアンス重視・意識と行動変容の推進・長期的な文化変革・メトリクス駆動という5段階で評価する枠組みです。このうち2番目の「コンプライアンス重視」段階は、監査要件や法令順守を主目的とし、実施が年1回・随時にとどまり、従業員が自組織のポリシーや自身の役割を十分に理解していない状態と定義されています。

SANSが2025年に発表した調査報告書（Embedding a Strong Security Culture 2025 Report）は、70カ国・約2,700人のセキュリティ意識向上担当者のデータをもとに、従業員の行動変容には3〜5年、それが組織文化として定着するには5〜10年の継続的な取り組みが必要だと報告しています。この時間軸は、単年度で予算が区切られ、年度末に成果を評価される一般的な教育研修の予算サイクルとは、性質が異なります。

あわせてSANSの調査データでは、成熟度の高いプログラムほど、運用に投入されている専任スタッフの人員（FTE換算）が多いという相関も示されています。SANSのモデル自体は「予算区分」という言葉を用いて論じているわけではありませんが、年1回の実施にとどまり専任担当者を置かない運用は、モデルが定義する「コンプライアンス重視」段階の特徴と重なります。

英国NCSCの「10 Steps to Cyber Security」が示す、リスク管理上の位置づけ

英国の国家サイバーセキュリティセンター（NCSC）が中堅から大規模な組織向けに提供するガイダンス「10 Steps to Cyber Security」は、組織が押さえるべきサイバーセキュリティ対策を10の領域に整理しています。この10領域には、リスク管理、資産管理、アイデンティティ・アクセス管理、データセキュリティ、ログ・モニタリング、インシデント管理などと並んで、「エンゲージメントとトレーニング」が独立した1つの柱として含まれています。

このガイダンスは、組織全体のサイバーリスク管理をどう設計するかを扱うものであり、予算の勘定科目や会計上の区分方法そのものを論じているわけではありません。その点は正確に踏まえる必要があります。一方で、従業員教育がリスク管理の他の9領域（アクセス管理やログ監視など）と並列に扱われているという枠組み自体は、訓練を単発の研修と切り離して考える一つの参考材料になります。

イスラエルINCDが示す脅威の変化速度

イスラエルの国家サイバー局（INCD）は、2025年に31,657件のフィッシング攻撃に対応したと公表しており、これは前年比で7倍の増加にあたります。INCD局長のヨッシー・カラディ氏は、新世代のAIモデルの登場によりサイバー攻撃が人間の速度から機械の速度へと転換しているとしたうえで、従来型の防御だけではもはや十分ではないと述べています。

この発言は、防御の具体的な体制論（予算区分や訓練の位置づけ）にまで踏み込んで述べたものではありません。ただし、攻撃の変化速度がこれほど急速である以上、年1回の研修内容だけで対応し続けることには限界があると考えられます。これはINCDが直接主張している内容というより、示された統計と発言から導かれる、本記事としての解釈です。

単年度の教育予算サイクルとの関係——本記事の整理

ここまで見てきた3つの枠組みは、いずれも「訓練を教育予算とセキュリティ対策予算のどちらに置くべきか」を直接論じたものではありません。しかし、それぞれが指摘する継続性（SANS）、組織内でのリスク管理上の位置づけ（NCSC）、脅威の変化速度（INCD）という3つの要素は、単年度・単発を前提とした一般的な教育研修の予算サイクルの中では確保しにくい条件でもあります。

具体的には、単年度で承認され対象人数や実施回数を基準に規模が決まる教育予算のもとでは、複数年にわたる継続投資や専任担当者の配置、脅威の変化に応じた内容の更新が、構造的に後回しになりやすいと考えられます。これは3つの情報源が共通して直接主張している結論ではなく、それぞれの指摘を踏まえて本記事が導いた整理である点をあらためて明記しておきます。

情報システム部門が経営層に説明する際のポイント

自社の標的型攻撃メール訓練が、どの予算区分（教育・研修予算か、セキュリティ対策予算か）で承認されているかを確認してください。区分そのものが、実施頻度や担当体制の制約になっていないか点検する価値があります。
経営層への説明では、SANSの成熟度モデルにおける自社の現在地（コンプライアンス重視段階にとどまっていないか）を示し、SANSの2025年調査が示す継続投資の時間軸（3〜5年、5〜10年）を、単年度予算の前提とあわせて共有することをおすすめします。
予算区分の変更を提案する際は、NCSCの「10 Steps to Cyber Security」が訓練を他のリスク管理領域と並列に扱っている点を、組織内の位置づけを見直す際の参考材料として紹介できます。ただし同ガイダンスが予算区分を直接規定しているわけではない点には留意してください。
専任担当者の配置状況を棚卸しし、外部委託任せ・情報システム部門の片手間業務になっていないかを確認してください。

予算区分をセキュリティ対策予算へ切り替えたあとは、ベンダー選定の基準そのものも変わります。教育予算で調達する場合は価格や受講のしやすさが比較の中心になりがちですが、セキュリティ対策予算として調達する場合は、脅威情報の更新頻度や効果測定の指標、他の対策との連携のしやすさが評価軸になります。具体的な比較項目やベンダーへの確認事項は、標的型攻撃メール訓練ツール/サービスの比較と選び方で整理していますので、予算区分の見直しとあわせてご活用ください。

まとめ

標的型攻撃メール訓練が定着しにくい背景には、シナリオの古さや頻度の少なさだけでなく、単年度・単発を前提とした教育予算のサイクルという構造的な要因もあると考えられます。米SANSの成熟度モデル、英国NCSCのリスク管理の枠組み、イスラエルINCDが示す脅威の変化速度は、いずれも訓練の予算区分そのものを直接論じたものではありませんが、継続性・体制・脅威への追随という観点から、単発の教育イベントとして扱うことの限界を考えるための材料になります。具体的な訓練ツールの選び方や、AI時代の教育に求められる5つのポイントについては、その訓練メール、何年前のテンプレートですか――AIが日次で更新する攻撃に追随できる訓練ツールの見分け方、AI時代のセキュリティ教育、押さえるべき5つのポイント【完全ガイド】もあわせてご覧ください。