NISTが「人を弱点とみなすセキュリティ対策」からの転換を提案-Human-Centered Cybersecurityとは

米国立標準技術研究所（NIST）は2026年8月12日、「Human-Centered Cybersecurity Guidelines and Resources Concept Paper」を公開しました。

Human-Centered Cybersecurity（HCC）は、従業員のミスを減らすために教育を増やす考え方ではありません。人のニーズ、能力、限界を前提に、セキュリティのポリシー、業務プロセス、技術、サービスを設計する考え方です。

NISTは、サイバーセキュリティ分野で長く使われてきた「人は弱いリンクであり、技術で補うべきだ」という見方について、限定的であり、有害になり得ると指摘しています。人はミスをする一方で、不審な事象を発見して報告する人であり、問題を解決する人であり、組織の防御を支える存在でもあります。

今回の文書は正式なガイドラインではありません。NISTは、HCCを実務へ落とし込むためのガイドラインやリソースを今後整備する方針で、2026年9月30日まで意見を募集しています。

Human-Centered Cybersecurityのサマリー

• NISTは2026年8月12日、HCCのガイドライン・リソース策定に向けたコンセプトペーパーを公開しました。
• HCCは、人のニーズ、能力、限界をセキュリティのポリシー、プロセス、技術、サービスの設計・運用に組み込む考え方です。
• 今回の文書は正式なガイドラインや遵守基準ではなく、今後のNIST文書を検討するためのコンセプトペーパーです。
• NISTは「人は弱いリンク」という考え方を、限定的で有害になり得るものとして問題視しています。
• HCCでは、人をリスク要因だけでなく、不審事象の報告者、防御者、問題解決者として位置付けています。
• 年1回のセキュリティ意識向上研修だけに人的リスク対策を依存する運用にも限界があるとしています。
• HCCは教育だけでなく、セキュリティ文化、人とシステムの相互作用、コミュニケーション、認知・行動、人の弱みと強みまで対象にします。
• セキュリティ担当者のストレスやバーンアウトもHCCの対象であり、一般従業員だけを「人的リスク」として扱う考え方ではありません。
• コンセプトペーパーでは、罰則的なフィッシング訓練を「従業員を試すもの」から「教育や支援策が機能しているかを試すもの」へ転換した企業事例が紹介されています。
• 現場の従業員をセキュリティプロセスの設計に参加させ、業務上の負担を減らした企業事例も紹介されています。
• AIや自動化が進んでも「human-in-the-loop」はなくならないとNISTは見ています。
• HCCの効果測定方法はまだ確定しておらず、導入成熟度で測るのか、文化、信頼、ユーザビリティ、レジリエンスなどの成果で測るのかが今後の検討課題です。
• NISTは、基礎文書、既存NISTガイドへの統合、個別テーマのガイド、ケーススタディ、Quick Start Guide、ツール、チェックリスト、研修モジュールなどを候補として検討しています。
• 意見募集の期限は2026年9月30日です。

項目	内容
文書名	Human-Centered Cybersecurity Guidelines and Resources Concept Paper
公開日	2026年8月12日
発行元	米国立標準技術研究所（NIST）Information Technology Laboratory
位置付け	HCCガイドライン・リソース策定に向けたコンセプトペーパー
HCCの中心	人のニーズ、能力、限界をセキュリティ設計の中心に置く
主な対象領域	セキュリティ文化、人とシステムの相互作用、コミュニケーション、認知・行動・認識、人の弱みと強み
対象者	経営層、セキュリティ・IT担当者、開発者、リスク管理、人事、教育担当者、政策・標準策定者など
効果測定	未確定。導入・成熟度、文化、信頼、ユーザビリティ、レジリエンスなどを候補に検討
今後の成果物	基礎文書、既存NIST文書への統合、個別ガイド、ケーススタディ、Quick Start Guide、ツール、チェックリスト、研修モジュールなど
意見募集期限	2026年9月30日

Human-Centered Cybersecurityは「セキュリティ教育の強化」ではない

Human-Centered Cybersecurityは、従業員向け研修の回数を増やしたり、フィッシング訓練を高度化したりすることだけを指すものではありません。

NISTはHCCを、サイバーセキュリティへ影響を与える、またはサイバーセキュリティから影響を受ける人を中心に置き、そのニーズ、能力、限界を考慮してセキュリティを設計するアプローチとしています。

ここでいう「人」には一般従業員だけでなく、セキュリティ担当者、システムや製品の開発者、経営層、リスク管理部門、人事、教育担当者、ポリシーや標準を決める担当者も含まれます。

SOC担当者が大量のアラートに追われて重要な判断を誤りやすいのであれば、担当者への再教育だけでなく、アラートの優先順位、画面設計、シフト、業務量を見直す必要があります。

安全なファイル共有手順が複雑すぎて、従業員が別のクラウドサービスへ逃げているのであれば、ルール違反を繰り返し注意する前に、安全な手順が実務で使える設計になっているかを確認します。

HCCが見ているのは、人・技術・プロセスを別々に管理することではなく、その3つがどのように影響し合っているかです。

「人は弱いリンク」で原因分析を終わらせない

NISTのコンセプトペーパーでは、サイバーセキュリティ分野で広く使われてきた「人はweak link（弱いリンク）であり、技術によってそのリスクを抑えるべきだ」という考え方を取り上げています。

NISTは、この見方を限定的で、有害になり得る考え方としています。そのためNISTは、新たなガイドラインやリソースの開発を進めるにあたり、組織やサイバーセキュリティ専門家に対し、コンセプトが記載されたホワイトペーパーを精査し、2026年9月30日までにフィードバックを提出するよう求めています。

実際フィッシングメールをクリックした、警告を無視した、設定を誤ったという行動がインシデントの直接的なきっかけになることはあります。しかし、そこで「利用者が注意しなかった」と結論付ければ、その後ろにある問題を見落とします。

ホワイトペーパーでは、サイバーセキュリティ専門家Phil Venables氏の見解として、「human error」とされたインシデントを詳しく見ると、実際には設計の悪い環境、使いにくいUI、システム運用上の問題の中で、人が何とか業務を成立させようとしていたケースがあるという趣旨の指摘を紹介しています。

例えば、警告が一日に何度も表示され、その大半が業務上問題のない通知なら、利用者が警告を無視する習慣が形成される可能性があります。安全な手順に時間がかかりすぎるのであれば、期限に追われた従業員が近道を選ぶこともあります。

HCCでは、このような行動を本人の知識不足だけで説明せず、システム、業務フロー、コミュニケーション、組織文化まで含めて原因を確認します。

これは「人に責任がない」という意味ではありません。再発を防ぐには、人の行動を変えるだけでなく、その行動を生み出した環境も変える必要があるという考え方です。

HCCは「人・技術・プロセス」の中心に人を置く

NISTは、複雑な組織のサイバーセキュリティを「technology、process、people」の3要素で捉えています。

HCCは、この中から技術を外して人を優先する考え方ではありません。

セキュリティ技術を導入した結果、人がどのように操作するのか。業務プロセスが安全な行動を妨げていないか。ポリシーが実際の業務と矛盾していないか。3要素の関係を見ることが中心です。

コンセプトペーパーでNISTが整理した主要テーマでは、「人を組織のサイバーセキュリティプログラムの中心に置くこと」に加え、人のニーズや課題を考慮し、安全な行動を取りやすいシステムを設計することが、インシデントの可能性低減やレジリエンス向上につながるとしています。

HCCをセキュリティ対策とは別の活動として追加するのではなく、既存のセキュリティプログラムそのものを人間中心にするという位置付けです。

HCCはセキュリティだけでなく生産性にも関係する

NISTは、HCCを「使いやすいセキュリティ」というだけでなく、組織の競争力や事業運営にも関係する考え方として整理しています。

セキュリティ対策が業務の障壁になれば、従業員は回避策を探します。その結果、シャドーITやパスワードの使い回し、アップデートの先延ばし、警告の無視といった行動につながる可能性があります。

反対に、安全な操作が通常業務の流れに組み込まれていれば、セキュリティ上の摩擦を減らしながら防御を強化できます。

NISTは、HCCによってリスク管理の改善、インシデント対応コストや評判への損害の低減、従業員の満足度や意欲の向上、セキュリティ上の摩擦や専門家のバーンアウトを減らすことによる生産性向上などが期待されるとしています。

「セキュリティを強くするほど業務は使いにくくなる」という二者択一ではなく、安全性と実務の両方を成立させる設計を考えるのがHCCです。

「セキュリティを増やせば安全になる」とは限らない

ホワイトペーパーには、医療分野のコンサルティングに携わるサイバーセキュリティ専門家の事例も紹介されています。

例えば、医療機関が個人のスマートフォンを業務環境へ持ち込まない方針を採用した場合、「禁止したので安全」と考えるのではなく、そこで必要だった認証を何で代替するかまで考える必要があります。

スマートフォンを禁止した結果、MFAを使いにくくしたり、別の不便な認証方法を従業員に強いたりすれば、別のリスクを生む可能性があります。

NISTが紹介した実務者は、「more security is not always better」という趣旨で、安全性、コンプライアンス、プライバシーと、利用者が実際に必要とする業務をバランスさせる必要があると説明しています。

HCCでは、コントロールを追加した数ではなく、その対策が実際の利用環境で安全に機能するかを見る必要があります。

年1回のセキュリティ教育だけでは人的リスクを解決できない

今回のNIST発表について、Industrial Cyberは「employee awareness training falls short」との見出しで報じています。

この表現だけを見ると、「NISTがセキュリティ教育は効果がないと判断した」と受け取る可能性がありますが、NISTの主張はそこまで単純ではありません。

NIST公式ブログは、セキュリティ意識向上研修自体は有用としたうえで、研修だけでは不十分だと説明しています。

コンセプトペーパーでは、多くの組織が人的要素への対策として年1回のコンピューター型セキュリティ研修だけに依存していることを課題に挙げました。

そこには、

「従業員は研修で提示された内容に常に注意を払い、覚えている」

「従業員が安全に行動しない最大の理由は知識不足である」

という2つの誤った前提があるとNISTは指摘しています。

従業員が安全な行動を取れない原因が、使いにくいセキュリティ手順、業務を妨げるシステム、報告しにくい組織文化にあるのであれば、同じ研修を繰り返しても根本原因は残ります。

教育をなくすのではなく、「教育すれば人の問題は解決する」という運用から離れることがHCCのポイントです。

セキュリティ教育だけでは防御が完結しない理由については、「セキュリティ教育だけではサイバー攻撃は防げない-監視・検知・対応と組み合わせる考え方」でも整理しています。

フィッシング訓練は「人」ではなく「教育と支援策」をテストする

コンセプトペーパーの10ページには、「Testing Training, Not People」と題した企業事例が掲載されています。

その企業では、フィッシング訓練に失敗した従業員へ罰則的な対応を行っていました。その結果、従業員がメールへ反応すること自体を恐れるようになり、通常業務にも影響が出たとされています。

そこで、訓練の目的を「どの従業員が失敗するかをテストすること」から、「教育や従業員を支援する仕組みが機能しているかをテストすること」へ変更しました。

従業員が訓練で誤った行動を取った場合には、単に失敗者として記録するのではなく、どのような支援が必要だったのか、どの支援策が機能しなかったのかを確認し、次回は違う行動を取れるように改善します。

事例を提供したCISOによると、この転換後、従業員がメールを恐れるという問題は解消し、部門ごとに必要な支援が異なることも分かるようになったとされています。

この事例は、クリック率や報告率を不要にするものではありません。

数字を「従業員の成績表」として使うのではなく、教育、UI、報告フロー、業務環境のどこに改善余地があるかを発見するデータとして使うという違いです。

セキュリティ教育で「行動が変わった」と判断するためのKPI、ベースライン、継続評価については、「セキュリティ教育の効果測定、何をもって『行動変容』とするか　KPI・ベースライン・継続評価の考え方」で詳しく解説しています。

現場をセキュリティ設計に参加させる「Co-Creating Cybersecurity」

ホワイトペーパーの6ページでは、現場の従業員とセキュリティプロセスを共同設計した企業事例も紹介されています。

この企業では、従業員がセキュリティを生産性の障壁としてどう感じているかを社内ワークショップで調べました。

その結果を受け、セキュリティ部門だけでルールを決めるのではなく、小規模な従業員チームと一緒にプロセスの案を作り、実務に合わせて調整しました。

事例を提供したHuman Factors/Behaviorの実務者は、プロセスの負担が以前より小さくなったことに加え、「従業員の意見が聞かれる」という感覚が重要だったとしています。

これはHCCの実装を考える際に重要な視点です。

セキュリティ部門が「安全な手順」を作り、完成後に従業員へ教育するだけでは、実際の業務とずれたルールになる可能性があります。

設計段階から利用者を参加させれば、どこに負担があり、どこで回避行動が起きるかを、導入前に把握しやすくなります。

セキュリティ教育でも「まず聞く」

ホワイトペーパーの12ページには、大学のセキュリティ意識向上担当者による「The Power of Listening First」という事例があります。

この大学では、まず学内でフォーカスグループを開き、

「サイバーセキュリティについて何を知っているか」

「どこに不足を感じるか」

「何が難しいか」

「何をもっと知りたいか」

を従業員に聞きました。

その結果、利用者はサイバーセキュリティを複雑だと感じ、何をすればよいか分からないという課題を抱えていることが分かり、その声を教育プログラムの設計へ反映しました。

教育内容を決めてから受講者へ届けるのではなく、先に利用者の困りごとを把握する。この順序もHCCの特徴です。

HCCは一般従業員だけでなくセキュリティ担当者も対象

「人的リスク」という言葉は、フィッシングに引っかかる一般従業員を指す文脈で使われがちです。

NISTのHCCはそれより広く、サイバーセキュリティ専門職の負荷も対象にしています。

コンセプトペーパーでは、絶えず変化する脅威、仕事上のプレッシャー、セキュリティ環境の複雑化によって、セキュリティ専門家がストレスやバーンアウトに直面していると指摘しています。

疲労やストレスは、認知状態、健康、仕事のパフォーマンスへ影響し、結果として組織の生産性、人材の安定、レジリエンスを損なう可能性があります。

一般従業員についても、難しく理解しにくいセキュリティ手順、業務を中断する技術、罰則的な運用、自分には関係がないと感じるルールが、満足度や生産性、セキュリティへの関与を下げる可能性があると整理しています。

HCCは「従業員をどう管理するか」という視点ではなく、セキュリティに関与する全員が安全に判断できる環境をどう作るかという考え方です。

AIが普及してもhuman-in-the-loopはなくならない

コンセプトペーパーはAIについても明確に触れています。

NISTは、AIや新しい技術によってセキュリティ業務を効率化し、人の負荷を減らせる可能性を認めています。

一方で、「human-in-the-loop」はAIや他の技術が発展してもなくならないとしています。

AIでアラートを要約しても、最終的な遮断判断を人が行う場合があります。AIがポリシーを提案しても、そのルールが自社の業務へ適合するかは人が確認します。

NISTが引用するインタビュー参加者は、ツール、保護策、運用、最終的な結果を成否に導く要素の多くが人やチームに依存すると説明しています。

さらにNISTは、AIが人とセキュリティの関係へプラスにもマイナスにも作用するため、AIとHCCの交点を慎重に検討する必要があるとしています。

HCCは一般従業員の教育論だけではなく、AIを利用するSOCや情報システム部門の業務設計にも関係します。

HCCの責任をセキュリティ部門だけに置かない

NISTは、HCCの実装責任が一つの部門にあるとはしていません。

経営層、技術者、政策担当者、リスク管理者、人事担当者、セキュリティ教育担当者、HCCの専門家など、複数の役割が責任を持つとしています。

例えば、使いにくい認証画面は開発・設計の問題でもあります。報告すると不利益を受ける組織文化は人事や経営の問題でもあります。セキュリティ担当者が深夜まで大量のアラートを処理しているなら、人員配置や経営資源の問題でもあります。

「従業員教育はセキュリティ部門の仕事」と切り分けるだけでは、HCCを実装できません。

NISTは数百人規模の実務者・研究者の意見からHCCの論点を整理

今回のコンセプトペーパーは、NIST内部だけで作られたアイデアではありません。

NISTは、HCCの研究と実務のギャップを調べた2つの調査で、280人を超えるサイバーセキュリティ実務者とHCC研究者から意見を集めています。

さらに、最近実施したインタビューと調査では、360人を超える異なる立場の参加者から、HCCをどのように捉えているか、実務へどう落とし込むべきかを収集しました。

このほか、NISTが共同開催したワークショップ、専門家や組織との会議、NIST文書やブログへの意見、100回を超えるHCC関連プレゼンテーションで得られたフィードバックも反映しています。

これらの参加者が重複している可能性があるため、280人と360人を単純合算して「640人超」とするのは適切ではありません。

NISTは、こうした実務者・研究者との対話から、HCCが現場へ浸透しない理由を整理しています。

NISTが挙げたHCC普及の7つの課題

コンセプトペーパーでは、HCCを企業へ普及させるうえでの課題を具体的に示しています。

課題	NISTが示す問題
HCCの解釈が統一されていない	対象がエンドユーザーだけなのか、セキュリティ担当者も含むのかなど認識に差がある
技術中心の考え方が強い	「人は弱いリンク」という発想が残り、人の役割が軽視されやすい
年1回の研修への依存	知識を与えれば安全に行動するという前提で対策を終えている
HCC人材が少ない	セキュリティ担当者が人間要因を学ぶ機会が少なく、心理学やHuman Factorsの専門家も少ない
既存フレームワークでHCCの扱いが少ない	教育以外のHCC実践が明示されず、企業が何をすべきか判断しにくい
成果測定の方法がない	HCCの効果をどう測り、組織へのプラスの影響をどう示すかが定まっていない
研究と実務に隔たりがある	Usable Security、心理学、社会学などの研究成果が現場で使える形へ翻訳されていない

特にNISTが問題視しているのが、研究と実務のギャップです。

HCCやUsable Securityには学術的な蓄積がありますが、企業のセキュリティ担当者が簡単に探せるとは限らず、見つけてもそのまま実装できる形になっていない場合があります。

NISTが今回ガイドラインと実務資料の策定へ動いた背景には、この「知見はあるが現場で使えない」という問題があります。

HCCの成果をどう測るかは、まだ決まっていない

HCCには、現時点で統一された評価方法がありません。

NIST自身も、組織がHCCの効果をどう測り、プラスの影響をどう示すかに不確実性があるとしています。

コンセプトペーパーでは、HCCを「アプローチ」として扱い、導入状況や成熟度で測るのか、それとも「成果」として扱い、文化、信頼、ユーザビリティ、レジリエンスなどで測るのかを明確にすることを、今後の成果目標の一つにしています。

ここは、セキュリティ教育の効果測定と分けて考える必要があります。

フィッシング教育の行動変容であれば、クリック率、報告率、報告速度、再発率などを使って評価できます。

一方、HCCはシステムの使いやすさ、報告文化、セキュリティ担当者の負荷、業務プロセス、組織の信頼まで対象とするため、単一のKPIでは評価しにくくなります。

セキュリティ教育の行動変容については、「セキュリティ教育の効果測定、何をもって『行動変容』とするか　KPI・ベースライン・継続評価の考え方」で、KPIを「実施」「理解」「行動」「定着」「リスク成果」に分けて整理しています。

HCCは既存のNISTガイドラインへ組み込まれる可能性も

NISTは、HCCを独立した新しいフレームワークとして作ると決定したわけではありません。

コンセプトペーパーでは、今後の公開方法として複数の選択肢を示しています。

一つは、既存のNISTサイバーセキュリティ文書へHCCの考え方を直接組み込む方法です。

例として、NIST SP 800-63 Digital Identity Guidelinesシリーズでは、技術要件だけでなくCustomer Experienceとしてユーザビリティや利用者の成功を考慮する内容がすでに含まれているとしています。

もう一つは、既存NIST文書とマッピングした独立文書です。Risk Management FrameworkのOverlayやCSF Community Profilesのように、既存フレームワークとの対応関係を示す形が想定されています。

このほか、セキュリティ文化、Usable Cybersecurity、Human-Centered Cybersecurity Communicationsなど、個別テーマの短いガイドや、HCCを導入した企業事例、HCCが不足したことで問題が起きた事例をまとめるケーススタディも候補です。

NISTはまず、HCCの範囲、目的、組織への価値を示す基礎文書を作る計画です。その後、より具体的な実装ガイドへ進む構想を示しています。

Quick Start Guide、チェックリスト、ツールも候補

NISTが検討しているのは長いガイドラインだけではありません。

ホワイトペーパーでは、実務者が使える資料の候補として、

• CSF 2.0のようなQuick Start Guide
• 中小企業向けサイバーセキュリティ動画のような動画
• NICE Framework ToolsやNIST Phish Scaleのようなツール・方法論
• CSF 2.0 Organizational Profileのようなチェックリストやテンプレート
• Risk Management Frameworkの入門コースのような研修モジュール

を挙げています。

今後HCCがNIST文書として具体化した場合、「人を中心に考える」という理念だけでなく、企業が自社のプロセスを評価するチェックリストや、HCC成熟度を確認するツールまで発展する可能性があります。

ただし、これは現時点で決定済みの公開計画ではなく、ステークホルダーから提案されている候補です。

ヒューマンリスク管理との違い

Human-Centered Cybersecurityとヒューマンリスク管理（HRM）は重なる部分がありますが、同じものではありません。

HRMは、従業員の役割、権限、行動、攻撃への露出などから人的リスクを把握し、教育や技術的対策によって介入する運用の考え方です。

一方、HCCは「なぜその危険な行動が起きるのか」を、人とシステム、業務プロセス、組織文化の関係から設計し直すところまで含みます。

例えばHRMで「特定部署のフィッシングクリック率が高い」と把握した場合、追加研修を実施するだけでなく、その部署が受信するメールの特性、報告方法、業務上の時間制約、認証UIなどを見直すのがHCCの視点です。

両者は競合するものではなく、HRMでリスクを発見し、HCCの考え方で原因と環境を改善するという組み合わせも考えられます。

ヒューマンリスク管理については、「ヒューマンリスク管理とは何か-セキュリティ教育が『研修』から『運用』に変わった理由」で詳しく解説しています。

情報システム・セキュリティ部門への示唆

HCCを自社へ取り入れるために、NISTの正式ガイドラインが完成するまで待つ必要はありません。

まず確認したいのは、セキュリティ上の問題が発生した際に「利用者の教育不足」で原因分析を止めていないかです。

フィッシングをクリックしたのであれば、教育履歴だけでなく、メールの難易度、業務上そのメールを信じやすい状況がなかったか、報告方法が分かりやすかったかを確認します。

ルールを回避する従業員がいる場合は、ルールを再周知する前に、安全な手順が通常業務の速度や操作方法に合っているかを確認します。

SOCで見逃しが発生した場合は、担当者の注意力だけでなく、アラート件数、優先順位付け、画面構成、シフト、権限、エスカレーション手順まで確認します。

フィッシング訓練や教育結果を人事評価や罰則へ直結させている場合には、その運用が報告行動を萎縮させていないかを見る必要があります。訓練は「誰が失敗したか」を探すためではなく、「現在の教育と支援策のどこが機能していないか」を発見する機会として利用できます。

新しいセキュリティルールやシステムを導入するときには、完成後に利用者へ説明するだけでなく、設計段階から現場の意見を聞くことも有効です。NISTの事例が示すように、利用者自身がプロセス設計へ参加することで、業務上の摩擦や回避行動を導入前に発見できる可能性があります。

HCCが求めているのは、「人に優しいセキュリティ」という抽象的な理念だけではありません。

安全な行動を取りやすくし、危険な回避行動を取りにくくする。問題が起きた際には、人だけを修正するのではなく、技術とプロセスも同時に見直す。セキュリティを利用する人だけでなく、守る側の疲労や認知負荷も管理する。

NISTが今回示した方向性は、セキュリティ教育、SOC運用、認証、システム開発、インシデント対応を「人の実際の行動」という共通の視点から見直すものです。

関連記事

セキュリティ教育の効果測定、何をもって「行動変容」とするか　KPI・ベースライン・継続評価の考え方

受講率やクリック率だけでは教育効果を判断できない理由と、行動変容を測定するためのKPI、ベースライン、継続評価の方法を解説しています。

セキュリティ教育で従業員の行動を変える5つのステップ-海外公的機関の知見から解説

NIST、NCSCなどの知見を基に、教育を知識の提供で終わらせず、実際の行動へつなげる設計方法を整理しています。

ヒューマンリスク管理とは何か-セキュリティ教育が「研修」から「運用」に変わった理由

従業員を一律の「弱点」として扱わず、役割、権限、行動、攻撃への露出を基に人的リスクを継続管理する考え方を解説しています。

セキュリティ教育だけではサイバー攻撃は防げない-監視・検知・対応と組み合わせる考え方

教育と技術的な監視・検知・対応を分離せず、組織の防御サイクルとして接続する考え方を整理しています。

出典

• Human-Centered Cybersecurity Guidelines and Resources Concept Paper – NIST
• Stronger Cybersecurity Programs Start with People: NIST Wants Your Input on the Path Forward for Human-Centered Cybersecurity – NIST
• Human-Centered Cybersecurity – NIST Computer Security Resource Center
• Advancing Human-Centered Cybersecurity: Challenges and Pathways Forward – NIST
• Workshop Summary Report for ConnectCon 2024: Minding the Gaps in Human-Centered Cybersecurity – NIST
• NIST calls for input on human-centered cybersecurity as employee awareness training falls short – Industrial Cyber