ヒューマンリスク管理とは何か-セキュリティ教育が「研修」から「運用」に変わった理由|セキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

ヒューマンリスク管理（Human Risk Management、HRM）とは、従業員を一律に「セキュリティ上の弱点」とみなすのではなく、役割、権限、実際の行動、脅威への露出、セキュリティ知識などを継続的に把握し、リスクに応じて教育、コーチング、ポリシー、技術的な制御を適用するセキュリティ運用です。

従来のセキュリティ教育ツールやセキュリティ意識向上トレーニング（Security Awareness Training、SAT）が、研修の受講や知識の習得を主な対象としてきたのに対し、HRMは「実際の行動が変わり、組織のリスクが下がったか」までを管理します。SATを否定する考え方ではなく、教育をヒューマンリスク管理の一部として位置づけ直す点が重要です。

日本語圏でもHRMを掲げる製品や解説は増えていますが、その多くは自社製品の説明を目的としたものです。本稿では、いずれの製品にも属さない立場から、SAT、HRM、Gartnerが提唱するSecurity Behavior and Culture Program（SBCP）の3語を切り分けます。KnowBe4、Gartner、Forresterの一次情報をもとに、それぞれの違いと企業が取り組むべき成熟段階を整理します。

ヒューマンリスク管理のサマリー

ヒューマンリスク管理は、人に起因するリスクと、人が攻撃や不適切な業務設計によって受けるリスクを継続的に把握し、低減する取り組みです。
SATは知識習得やコンプライアンスの基盤として引き続き必要ですが、HRMでは教育を複数ある介入手段の一つと位置づけます。
Forresterは2024年、従来のSecurity Awareness and Training（SA&T）という市場名称をHuman Risk Managementへ正式に変更しました。
Forresterの定義では、行動の検知・測定、リスクの定量化、リスクに基づく介入、従業員の支援、セキュリティ文化の形成がHRMの中核です。
GartnerのSBCPは、従業員の行動に関連するインシデントを減らす全社的なプログラムです。HRM製品と同義ではありません。
KnowBe4が2024年11月に発表したHRM+は、SAT、メールセキュリティ、アンチフィッシング、リアルタイムコーチングなどを統合し、市場が教育単体から継続運用へ移っていることを示しました。
受講完了率、理解度テスト、標的型メール訓練のクリック率だけでは、実際の業務におけるリスクや行動変化を十分に把握できません。
HRMでは、ID・権限、メールやクラウド利用時の行動、セキュリティイベント、外部への露出、教育履歴などを組み合わせてリスクを判断します。
全従業員へ同じ研修を追加するのではなく、役割とリスクに応じて対象、内容、タイミング、技術的制御を変えることが基本です。
規程や認証上の受講要件を満たすSATと、実際の被害率を下げるHRMでは、予算区分、管掌部署、評価指標を分けて考える必要があります。
HRMは従業員の監視や処罰を目的とする仕組みではありません。透明性、目的の限定、データ最小化、ポジティブな行動の評価が必要です。

項目	内容
日本語	ヒューマンリスク管理、ヒューマンリスクマネジメント
英語	Human Risk Management
略称	HRM
対象	従業員、役員、委託先などが生み出すリスクと、攻撃・権限・業務環境によって人が受けるリスク
主な入力情報	本人の役割、ID・権限、セキュリティ行動、実際のイベント、脅威への露出、教育・訓練結果、組織文化
主な対応	教育、リアルタイムコーチング、注意喚起、ポリシー変更、アクセス制御、セキュリティ部門への対応ワークフロー
最終目的	受講完了ではなく、望ましい行動の定着と人に関連するサイバーリスクの低減

SATからHRMへ用語が変わった理由

セキュリティ教育では長く、年次研修の受講率、理解度テストの点数、標的型メール訓練のクリック率などが主要な指標として使われてきました。これらは教育を実施した事実や、特定時点の反応を確認するうえでは有効です。一方、受講後に業務上の判断が変わったか、危険な行動が再発していないか、攻撃を早く報告できるようになったかまでは分かりません。こうした見直しが必要になった背景は、なぜ今、セキュリティ教育を見直す企業が増えているのかでも整理しています。

Forresterは2022年、従来のSA&Tから、将来的な「Adaptive Human Protection」へ移行する構想を示しました。その中間段階として位置づけられたのがHRMです。2024年2月に公開したブログ「The Future Is Now: Introducing Human Risk Management」でHRMへの移行を打ち出し、同年、SA&Tという市場名称を正式にHRMへ変更しました。同年9月には「The Forrester Wave: Human Risk Management Solutions, Q3 2024」を公開し、9社を35項目で評価しています。

市場の変化を時系列で見ると、単なる言い換えではないことが分かります。

時期	主な動き	意味
2022年	ForresterがSA&Tの将来像としてHRMとAdaptive Human Protectionへの移行を提示	研修方法ではなく、行動とリスク低減を中心に据える方向を示した
2024年2月	ForresterがHRMへの移行を打ち出すブログを公開	SA&Tを正式に退ける方針とHRMの定義を示した
2024年	ForresterがSA&T市場の名称をHRMへ正式に変更	教育を主語にした市場から、人のリスクを管理する市場へ移行した
2024年	GartnerがSBCPを主要なサイバーセキュリティトレンドに選定	全社的な行動変容と文化形成をセキュリティ施策として位置づけた
2024年9月	Forresterが初のHRM Solutions Waveを公開	HRMを独立したソリューション市場として評価した
2024年11月	KnowBe4がHRM+を発表	SATとメール防御、コーチングなどを一つの運用へ統合した
2025～2026年	GartnerとForresterが生成AI・AIエージェントを含む行動リスクへ議論を拡張	対象がメール訓練から、実際の業務行動やAI利用へ広がった

SATとHRMの違い

SATとHRMの最も大きな違いは、研修を実施することが目的か、リスクを下げるために研修を使うかという点です。SATはHRMに置き換えられて不要になるのではなく、HRMを構成する基礎的な機能として残ります。

比較項目	SAT・従来型セキュリティ教育	ヒューマンリスク管理
主な目的	知識の習得、注意喚起、規程・法令上の受講要件を満たす	人に関連するリスクを継続的に特定、評価、低減する
管理単位	全従業員、部門、受講グループ	個人、役割、部門、権限、リスク群、組織全体
主なデータ	受講履歴、テスト結果、訓練メールへの反応	ID・権限、行動イベント、脅威への露出、教育結果、報告行動、セキュリティ製品の検知情報
実施時期	年次、四半期、キャンペーン単位	継続的。リスクやイベントの発生時にも介入する
介入方法	一斉研修、教材配信、模擬フィッシング	対象別研修、リアルタイムコーチング、ポリシー変更、アクセス制御、対応ワークフロー
主な指標	受講完了率、テスト得点、クリック率	危険行動の再発率、報告速度、介入後のリスク変化、高リスク層の推移、インシデントへの影響
教育の位置づけ	施策の中心	複数あるリスク低減策の一つ
運用部門	情報システム、セキュリティ、研修担当	情報システム、セキュリティ、CSIRT、SOC、IAM、法務、人事、事業部門

例えば、財務部門の従業員が標的型メール訓練で一度もクリックしていなくても、送金権限を持ち、経営者情報が外部に公開され、BECの標的になっている場合はリスクが低いとは限りません。反対に、訓練メールを一度クリックした従業員でも、その後に不審メールを素早く報告し、同じ行動を繰り返していなければ、改善を評価する必要があります。

セキュリティ意識向上トレーニングだけでは測れないもの

セキュリティ教育の限界は、教材の品質や受講率が低いことだけではありません。知識と実際の行動の間に差があることです。

受講完了率が100%でも、従業員が急いでいる場面、上司から依頼されたように見える場面、業務を止めたくない場面では、安全な行動より利便性が優先されることがあります。Gartnerも、従来の意識向上だけに焦点を当てた方法ではリスク低減に不十分であり、業務上の速度や利便性が不安全な行動の理由になると説明しています。この問題は受講完了率100%でもなぜ引っかかるのかでも解説しています。

クリック率にも同様の限界があります。訓練メールの難易度や対象者、配信時期によって数値が変わるうえ、クリックしなかった理由が「攻撃を見抜いた」のか「メールを開かなかった」のかは区別できません。クリック率を下げるだけでなく、報告率、報告までの時間、同じ危険行動の再発、実環境でのイベントを組み合わせて評価する必要があります。

HRMが重視するのは、教育を増やすことではなく、知識と行動の差が生じる場面を検知し、必要な人へ必要なタイミングで介入することです。行動変容の具体的な設計はセキュリティ教育で従業員の行動を変える5つのステップで整理しています。

KnowBe4のHRM+が示した教育と技術対策の統合

KnowBe4は2024年11月、オールインワンのヒューマンリスク管理プラットフォーム「HRM+」を発表しました。HRM+は、セキュリティ意識向上トレーニング、メールセキュリティ、アンチフィッシング、リアルタイムコーチング、AI防御エージェント、コンプライアンストレーニングを統合したものです。

この構成が示すのは、HRMが「より高度なeラーニング」だけを意味しないことです。メール上の脅威や利用者の行動を検知し、リスクを評価し、その場でコーチングや防御を実施するところまでを一つのサイクルとして扱っています。

ただし、HRMを実現するために全機能を一社の製品へ集約しなければならないわけではありません。既存のSAT、メールセキュリティ、ID管理、DLP、CASB、SIEM、SOARなどから得られる情報を連携し、組織として一貫した判断と介入ができる構成も考えられます。重要なのは製品数ではなく、「検知、評価、介入、効果測定」が分断されていないことです。

GartnerのSBCPは製品ではなく全社プログラム

Gartnerが用いるSecurity Behavior and Culture Program（SBCP）は、従業員の行動に関連するサイバーセキュリティインシデントを最小化するための全社的なアプローチです。新しい考え方と安全な行動を組織へ定着させ、より安全な働き方を生み出すことに重点があります。

Gartnerは2024年、SBCPを主要なサイバーセキュリティトレンドとして取り上げました。2025年には、多くの組織でSBCPが転換点を迎え、良い行動と悪い行動の双方をセキュリティの構成要素として扱う必要があると説明しています。2026年6月のGartner Security & Risk Management Summitでも、セキュリティ意識の向上そのものではなく安全な習慣の形成を目標に据えること、そして従業員をリスク要因ではなく資産として扱うことが提起されています。

SBCPとHRMは競合する用語ではありません。SBCPは組織が運営するプログラム、HRMは人に関連するリスクを把握して低減する考え方と、それを支えるソリューション市場です。SATは、その両方で利用される教育手段です。

用語	位置づけ	中心となる問い
SAT・SA&T	教育・訓練の機能	必要な知識を学び、脅威へ対応できるか
HRM	リスク管理の考え方とソリューション市場	どこに人のリスクがあり、何をすれば低減できるか
SBCP	全社的な行動・文化形成プログラム	安全な判断と行動を組織の日常へどう定着させるか

GartnerはSBCPの実行にあたり、Practices、Influences、Platforms、EnablersからなるPIPEフレームワークと、行動中心・成果中心の指標を挙げています。研修担当者だけに任せるのではなく、業務プロセス、管理職の影響、利用する基盤、組織的な支援を組み合わせる考え方です。

Forresterの定義と評価軸から見るHRMの要件

ForresterはHRMソリューションを、人がもたらすリスクと人が受けるリスクを管理・低減する仕組みと定義し、次の4点を中核に置いています。

人のセキュリティ行動を検知・測定し、ヒューマンリスクを定量化する
リスクに基づいてポリシーやトレーニングによる介入を開始する
従業員が自分と組織をサイバー攻撃から守れるよう教育・支援する
ポジティブなセキュリティ文化を形成する

Forresterの2024年のWaveは35項目で事業者を評価しています。詳細な評価表は有料調査に含まれるため、本稿では公開されている定義、調査概要、関連するForresterの解説をもとに、製品・サービス選定時の確認軸を実務向けに整理します。

確認軸	確認する内容
行動の検知・測定	訓練結果だけでなく、実環境の安全・不安全な行動を取得できるか
リスクの定量化	行動、ID・権限、脅威への露出、教育履歴を関連づけ、スコアの根拠を説明できるか
リスクベースの介入	全員一律ではなく、対象者、役割、リスク、タイミングに応じて介入できるか
従業員の支援	教育だけでなく、判断が必要な場面で安全な選択肢を提示できるか
セキュリティ文化	違反や失敗だけでなく、報告や改善などのポジティブな行動も測定できるか
外部連携	メール、IAM、DLP、クラウド、エンドポイント、SIEMなどから信号を受け取り、対応へつなげられるか
効果測定	受講完了ではなく、介入前後の行動、リスク、業務負荷、インシデントへの影響を示せるか
運用とガバナンス	データの利用目的、保持期間、閲覧権限、従業員への説明、誤判定への対応を管理できるか
コンテンツの更新性	教材や訓練シナリオの総数ではなく、直近12か月に追加・改訂された割合と、更新の起点となる脅威情報の入手経路を確認できるか
新しい手口への追随	返信誘導型BEC、QRコード、メッセージアプリ誘導など、直近に顕在化した手口を訓練シナリオとして提供できるか

Forresterは2026年の解説で、リスクを判断する入力として、ID情報、セキュリティ行動とイベント、デジタル上の足跡と露出、セキュリティ意識を挙げています。また、HRMの目的は行動だけを管理することではなく、露出、アクセス、状況、文化を含め、人によって生じるリスクと人が直面するリスクを減らすことだと明確にしています。

コンテンツの更新性を見る際は、教材数の多さだけで判断できません。更新日、改訂理由、脅威情報との接続まで確認する必要があります。具体的な確認方法はその訓練メール、何年前のテンプレートですか？で解説しています。

ヒューマンリスクは個人の点数だけでは決まらない

HRMでは、個人の訓練成績だけでリスクを決めません。同じ行動でも、本人の役割、アクセスできる情報、攻撃される可能性、既存の技術的制御によって影響が異なるためです。

実務では、次の要素を組み合わせて判断します。

行動：不審メールへの反応、認証情報の入力、機密情報の共有、未承認サービスの利用、不審事象の報告
脅威への露出：メールアドレスや役職の公開、漏えい認証情報、攻撃キャンペーンの標的、なりすましドメイン
権限と影響：管理者権限、送金権限、機密情報へのアクセス、顧客データの取扱量
知識と経験：教育履歴、訓練結果、過去の介入、同じ行動の再発状況
組織要因：業務の繁忙、承認手続き、相談のしやすさ、報告者を責めない文化、安全な代替手段の有無

リスクスコアは優先順位を決める補助情報であり、従業員を序列化するための点数ではありません。算定根拠が不透明なスコアを人事評価や懲戒へ直接利用すると、報告の萎縮やデータの誤解につながります。

KnowBe4がArlington Researchへ委託した2025年の調査では、日本のサイバーセキュリティリーダー50人と一般従業員250人を対象とした集計で、HRMが「確立されている」と回答した組織は8%、従業員リスクを有効に可視化できているとの回答は29%でした。調査対象が限定されたベンダー委託調査である点には留意が必要ですが、日本企業でHRMがまだ発展途上にあることを示す一つの材料です。

ヒューマンリスク管理の成熟度モデル

以下は、ForresterとGartnerの公開情報をもとに、セキュリティ対策Labが実務向けに整理した成熟度モデルです。両社が公式に公表した共通モデルではありません。

段階	状態	主な指標	次に行うこと
レベル1：コンプライアンス研修	年1回の一斉研修と受講管理が中心	受講完了率、テスト得点	対象者、教材、未受講者対応を標準化する
レベル2：継続的SAT	定期教育と標的型メール訓練を繰り返す	クリック率、報告率、部門別推移	難易度や対象をそろえ、再発と報告速度を測る
レベル3：行動ベース運用	役割や行動に応じて教育・コーチングを変える	再発率、介入後の改善、報告までの時間	実環境のイベントと教育データを連携する
レベル4：統合HRM	ID、権限、露出、行動、脅威情報を統合してリスクを評価する	高リスク層の推移、介入効果、部門・役割別リスク	ポリシー、アクセス制御、CSIRT・SOC対応へ接続する
レベル5：適応型保護	状況に応じて教育と技術的制御をリアルタイムに調整する	インシデント減少、リスク低減、業務摩擦、対応時間	AIエージェントを含む新しい業務行動へ対象を拡張する

多くの組織では、レベル1からレベル5へ一度に移行する必要はありません。まずレベル2で継続的な訓練と測定を安定させ、重要部門を対象にレベル3の行動ベース運用を試行する方法が現実的です。

Gartnerは2025年、生成AIを組み込んだプラットフォーム型のSBCPを導入した組織は、2026年までに従業員起因のセキュリティインシデントが40％少なくなると予測しました。これは導入済み組織の実績値や効果保証ではなく、Gartnerによる予測です。ただし、レベル3からレベル4で目指す成果が、研修の効率化ではなく実際のインシデント低減であることを示す材料になります。

HRMで見るべき指標

Forresterは、研修完了率はコンプライアンスという目的には対応するものの、それ自体を最終目標にすべきではないと説明しています。HRMの指標は、次の4層に分けると管理しやすくなります。

実施指標：対象者への到達率、受講完了率、介入実施率
行動指標：危険行動の再発率、不審メールの報告率、報告までの時間、安全な代替手段の利用率
リスク指標：高リスク層の人数と推移、介入前後のリスク変化、重要権限保有者の露出状況
成果指標：人に関連するインシデント、対応時間、被害や業務停止への影響、セキュリティ対策による業務摩擦

一つの指標だけで評価すると、現場が数字を下げること自体を目的にする恐れがあります。クリック率を下げるために簡単な訓練だけを行ったり、報告件数を減らすために報告の基準を厳しくしたりすれば、実際のリスクは改善しません。複数の指標を組み合わせ、望ましい行動と事業上の成果が同じ方向へ動いているかを確認する必要があります。

Gartnerは2024年、2027年までに大企業のCISOの50％がヒューマンセントリックなセキュリティ設計手法を採用し、セキュリティに起因する業務上の摩擦を最小化するとともに、統制の定着を最大化すると予測しました。対策の強さだけでなく、従業員が安全な手順を無理なく選べるかを成果指標へ含める必要があります。

その予算は、研修費ですか、セキュリティ運用費ですか

SATからHRMへの移行が日本で進みにくい理由の一つに、予算区分と管掌部署の問題があります。

セキュリティ教育は、多くの企業で人事部門または総務部門の教育予算として計上されてきました。年に一度の集合研修やeラーニングの延長線上にあるためです。この区分のまま標的型攻撃メール訓練やHRMの仕組みを導入しようとすると、二つの問題が起きます。標的型攻撃メール訓練をeラーニングと同じ予算枠で考えると失敗する理由でも、この構造を詳しく解説しています。

一つは、評価軸が受講管理に固定されることです。教育予算の稟議では、受講者数、受講完了率、一人あたり単価が説明の中心になります。行動の再発率や報告までの時間といった指標は、教育予算の文脈では評価されにくく、結果として「安く、全員に、確実に受講させられるか」だけで比較されます。

もう一つは、更新頻度が年次に固定されることです。教育予算は年度単位で編成され、教材も年度の初めに選定されることがあります。一方、攻撃手口は年度の途中でも変化します。リンクや添付ファイルを使わず、返信から接触を始めるBECなど、新しい手口を前年度に選定した教材が扱っていない可能性があります。生成AIによるフィッシングやBECの変化はAIでフィッシングメールはどう変わったかで整理しています。

HRMを機能させるには、目的に応じて予算区分を見直す必要があります。判断の基準は次のとおりです。

目的が規程や認証上の受講要件を満たすことであれば、教育予算で管理する
目的が実際の被害率を下げることであれば、セキュリティ運用予算としてEDRやメールセキュリティと同じ枠で扱う

後者の場合、管掌は情報システム部門またはセキュリティ部門となり、評価軸は受講完了率ではなく、検知、報告、対応、再発防止へ移ります。更新頻度も年次ではなく、脅威の変化に追随する形へ変える必要があります。

稟議を上げる先を間違えると、機能ではなく単価で比較され、必要な仕組みが「高すぎる研修」として却下されます。製品の選定より前に、これは何の予算なのかを決めることが実務上の出発点です。

90日で始めるヒューマンリスク管理

最初から大規模な統合基盤を導入しなくても、既存の教育、訓練、メールセキュリティ、ID管理の情報を使ってHRMの運用を始められます。AI時代に見直すべき教育設計の全体像はAI時代のセキュリティ教育、押さえるべき5つのポイントでも整理しています。

開始から30日までは、研修、標的型メール訓練、報告窓口、インシデント、ID・権限管理で取得しているデータを棚卸しします。同時に、「クリック率を下げる」ではなく、「財務部門のBEC関連リスクを下げる」「不審メールの報告を早める」など、事業リスクに接続した目標を設定します。

31日から60日までは、財務、経営層、システム管理者など、影響の大きい一つの対象群で試行します。役割、権限、訓練結果、報告行動、実際の検知情報を組み合わせ、対象者別の教育やコーチングを実施します。

61日から90日までは、介入前後の行動とリスクを比較します。効果が確認できた介入を標準化し、CSIRTやSOCへの通知、アクセス権限の見直し、管理職へのレポートなどへ接続します。個人データを利用する範囲、閲覧者、保持期間、本人への説明もこの段階で明文化します。

HRMを監視や処罰の仕組みにしない

Gartner Security & Risk Management Summit 2026では、従業員をリスク要因ではなく資産として扱う考え方が提起されました。人の行動を扱う以上、HRMにはプライバシー、労務、組織文化への配慮が必要です。リスクの高い従業員を探して処罰する運用にすると、不審な事象や自分のミスを報告しない文化が生まれます。

収集するデータはリスク低減に必要な範囲へ限定し、何を、なぜ取得するのかを説明する必要があります。個人別データを扱う前に部門や役割単位の傾向を確認し、個人への介入が必要な場合も教育や安全な業務設計を優先します。誤判定の訂正手続きや、スコアを人事評価へ流用しないルールも必要です。

また、危険な行動だけでなく、不審メールの早期報告、正しい確認手順の利用、同僚への支援といった望ましい行動も評価します。人をリスク源としてだけでなく、防御を担う主体として扱うことが、HRMとセキュリティ文化の前提です。

ヒューマンリスク管理に関するよくある質問

Q. HRMを導入するとSATは不要になりますか。

A. 不要にはなりません。SATは基礎知識と共通ルールを伝え、コンプライアンス要件を満たすために必要です。HRMではSATを一律に配信するだけでなく、リスクに応じて対象、内容、頻度、タイミングを調整します。

Q. HRMとGartnerのSBCPは同じものですか。

A. 同じではありません。HRMは人に関連するリスクを管理する考え方とソリューション市場です。SBCPは安全な行動と文化を組織へ定着させる全社プログラムです。HRMの技術やデータは、SBCPを運営するための基盤になり得ます。

Q. 専用のHRM製品がなければ始められませんか。

A. 既存のSAT、メールセキュリティ、ID管理、インシデント記録を組み合わせて、小規模に開始できます。ただし、対象者やデータが増えると、連携、リスク評価、介入、効果測定の自動化が必要になります。

Q. 最初に見るべき指標は何ですか。

A. 全社共通の一つの指標ではなく、低減したいリスクから決めます。フィッシングであればクリック率だけでなく、報告率、報告時間、同じ行動の再発、実際のインシデントを組み合わせます。

情報システム部門への示唆

ヒューマンリスク管理への移行は、研修製品を別の製品へ置き換えるプロジェクトではありません。教育、メール防御、ID・権限、インシデント対応の間にあるデータと運用の分断を解消し、「どのリスクへ、どの介入を行い、結果がどう変わったか」を追跡できる状態を作る取り組みです。

製品やサービスを選定する際は、教材数や配信機能だけでなく、実際の行動を取得できるか、リスクスコアの根拠を説明できるか、対象別の介入が可能か、既存のセキュリティ製品や対応フローと連携できるかを確認する必要があります。標的型攻撃メール訓練に必要な比較項目は標的型攻撃メール訓練サービスの選び方で確認できます。

一方、目的が規程や認証上の受講要件を満たすことであれば、受講管理と教材配信に優れたSATで足ります。ただし、この場合に達成されるのは受講記録の整備であって、フィッシングやBECによる被害率の低減ではありません。両者は別の目的です。同じ予算区分と評価軸で同時に満たせるものではないという前提を、導入前に社内で合意しておく必要があります。

HRMが成熟すると、従業員からの報告は教育の成果であると同時に、攻撃を早期に検知するセンサーになります。教育担当だけで完結させず、CSIRTやSOCによる検知・分析・対応、IAMやDLPによる技術的制御へつなげることで、セキュリティ教育は年に一度の「研修」から、日常的にリスクを下げる「運用」へ変わります。