セキュリティ教育だけではサイバー攻撃は防げない-監視・検知・対応の連動が必要|セキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

セキュリティ教育は、サイバー攻撃を単独で防ぐ仕組みではありません。従業員が異常に気づき、迷わず報告できる状態をつくり、その報告を監視・検知・対応へつなげるための人的なセキュリティ対策です。教育を実際の被害低減につなげるには、脅威の監視、攻撃の検知、初動対応と連動させる必要があります。

受講完了率が100%でも、巧妙なフィッシングメールやビジネスメール詐欺を全員が見抜けるわけではありませんし、標的型攻撃メール訓練で報告率が上がっても、報告を受け取る担当者が決まっていなければ、攻撃メールの全社検索や削除、認証情報の失効、端末隔離にはつながりません。

教育の目的を「間違えない社員をつくること」に置くと、クリック率やテストの点数だけが評価となってしまいます。

しかしセキュリティ教育の本質的な目的は「異常を早く把握し、被害を小さくすること」に置き直す必要があり、本質的な「運用」は、報告から検知、封じ込め、復旧までの一連の運用となります。

セキュリティ教育と監視・検知・対応のサマリー

セキュリティ教育は、従業員へ知識と判断基準を提供する重要な対策ですが、攻撃の侵入、認証情報の悪用、マルウェア実行を単独で阻止するものではありません
NIST Cybersecurity Framework 2.0では、教育・訓練は「Protect」に含まれ、「Detect」「Respond」「Recover」とは別の機能として整理されています
英国NCSCは、すべてのフィッシングを見抜けるようにする訓練は現実的ではなく、技術、業務プロセス、人を組み合わせた多層防御が必要だと説明しています
従業員からの不審メール報告は、訓練の成果を示すだけの数値ではなく、SOCやCSIRTが調査を開始するための検知情報です
報告後にメールヘッダー、URL、認証ログ、EDR、クラウド監査ログを照合しなければ、誤検知か実際の攻撃かを判断できません
クリック率や受講完了率は教育運用の指標であり、被害抑制の成果は検知時間、封じ込め時間、影響範囲、復旧時間で評価する必要があります
セキュリティ意識向上トレーニング（SAT）、ヒューマンリスク管理（HRM）、SOC・CSIRTは目的が異なり、いずれか一つで代替できる関係ではありません
個人向け外部サービスから法人メールアドレスが漏えいするリスクは教育だけでは防げず、露出した情報を脅威情報として監視・検知・遮断へ連動させる必要があります
実際の攻撃で得た知見を教育や訓練へ戻し、教育で高まった報告を監視・対応へ渡す循環を構築することが重要です

領域	主な目的	主な入力	主な成果指標	担当部門の例
セキュリティ意識向上トレーニング（SAT）	規程、脅威、基本行動を理解する	教材、テスト、社内ルール	受講完了率、理解度、テスト結果	人事、総務、情報システム
標的型攻撃メール訓練・ヒューマンリスク管理（HRM）	実際の行動を測定し、個人・部門別に介入する	訓練結果、報告、職務・リスク情報	報告率、報告速度、再発率、行動変化	セキュリティ、情報システム
技術的防御	攻撃の到達、実行、認証悪用を防ぐ	メール、通信、端末、ID	ブロック率、MFA適用率、保護範囲	情報システム、セキュリティ
監視・検知	攻撃や侵害の兆候を発見し、分析する	従業員報告、EDR、SIEM、認証・クラウドログ	検知時間、判定時間、検知精度	SOC、MDR、CSIRT
対応・復旧	侵害を封じ込め、影響を最小化する	アラート、証拠、資産・業務情報	封じ込め時間、影響範囲、復旧時間	CSIRT、情報システム、事業部門

NISTでは教育と検知・対応を別の機能としている

NIST Cybersecurity Framework 2.0は、サイバーリスク管理を「Govern」「Identify」「Protect」「Detect」「Respond」「Recover」の6機能に整理しています。

このうち、従業員への意識向上と訓練は「Protect」のAwareness and Training（PR.AT）に位置付けられています。一方、ネットワークや端末、利用者の活動を継続的に監視する機能は「Detect」、検知したインシデントのトリアージ、分析、封じ込めは「Respond」です。

つまり、教育は重要な防御策ですが、サイバーセキュリティ全体を構成する一機能です。受講管理、教材配信、標的型攻撃メール訓練、行動変容の可視化まで実施しても、攻撃の有無を判断し、侵害端末を隔離し、窃取された認証情報を失効させる機能まで自動的に整うわけではありません。

NISTは6機能を順番に一度だけ実施する工程ではなく、相互に関係しながら継続的に実行するものとしています。教育を「年1回の行事」にせず、監視で得た実際の脅威を教材や訓練へ反映し、従業員からの報告を検知・対応へ戻す必要がある理由もここにあります。

セキュリティ教育自体も、動画を見せて終了するものではありません。NIST SP 800-50 Rev.1は、教育・訓練を継続的に評価・改善する学習プログラムとして扱い、行動変容とセキュリティ文化の形成を求めています。行動を変える教育の設計については「セキュリティ教育で従業員の行動を変える5つのステップ」で詳しく解説しています。

EPARKリラク＆エステの事例―特定社員の行動により組織全体のセキュリティリスクが向上

株式会社EPARKリラク＆エステは2026年7月31日、予約・顧客管理システム「PeakManager」のデータベースの一部に第三者が不正アクセスし、最大約3,300万レコードの個人情報が漏えいした可能性があると公表しました。対象となる可能性がある情報は、氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワードです。公表時点では調査中であり、約3,300万件は影響を受けた人数ではなくレコード数です。

セキュリティ対策Labが、本件との関連が主張されて流通しているデータを確認した範囲では、複数の大手企業を含む法人ドメインのメールアドレスが登録されていました。

恐らく勤務先に近いマッサージや整体の予約に、自身の会社アドレスや連絡先を利用したと思われます。

しかし本インシデントが実際に漏洩している場合は、勤務先を推測できる法人メールアドレスが、氏名、生年月日、住所、電話番号などと結び付いているため、

攻撃者は対象者の所属企業と個人属性を組み合わせ、実在サービスからの連絡や社内手続きを装った標的型攻撃メールを作りやすくなります。

また、パスワード再設定を装うフィッシング、電話やSNSを使ったソーシャルエンジニアリング、役員や取引先を装う標的型攻撃の事前調査にも利用される恐れがあります。公式発表ではパスワードは暗号化されていたとされていますが、他サービスとの使い回しがある場合は、認証情報を狙う攻撃への警戒も必要です。

業務上の必要がない個人向けサービスへ法人メールアドレスを登録すると、外部サービスの侵害が自社を狙う攻撃の起点になり得ますので、

企業は私的利用のサービスでは法人に関する情報を登録すべきではないと、従業員へ周知する必要があります。

しかし、本事例は大手企業でも一部社員の行動により組織全体のセキュリティリスクが向上するという、分かりやすい事例となります。

そのため、漏えい後は注意喚起だけで終えず、露出した法人メールアドレスと攻撃の文脈を脅威情報として監視・検知・遮断へ渡す必要があります。

攻撃例	監視・検知	遮断・対応
自社ドメインのメールアドレスが漏えいデータに含まれる	該当アカウントを高リスク対象として登録し、認証ログ、メール、クラウド利用を重点監視する	本人へ通知し、使い回しがあればパスワード変更、既存セッションの失効、フィッシング耐性のある多要素認証を実施する
EPARKや関連サービスを装うメール、SMS、電話が届く	送信元、表示名、URL、返信先、添付ファイルを分析し、同種のメールを組織全体から検索する	悪性ドメインやURLを遮断し、同一メールを隔離・削除する
通常と異なる地域、端末、時刻から認証が試行される	ID基盤のリスク検知、失敗回数、MFA変更、転送ルール作成などを相関分析する	条件付きアクセスで遮断し、アカウント保護、セッション失効、端末調査を行う
複数の従業員から同種の不審連絡が報告される	報告内容をSIEM、SOAR、SOC・MDRへ集約し、メール、ID、EDR、クラウド監査ログと照合する	全社的な封じ込めを実施し、確認した手口を緊急周知と次回の教育・訓練へ反映する

前段の通りこの事例が示すのは、不要な法人メールアドレスの登録やパスワードの使い回しを減らし、不審な連絡を早く報告してもらうためにセキュリティ教育が必要ですが

一方、第三者サービスから情報が漏えいした後は、教育だけでなく、ダークウェブなどでの露出監視、メール防御、ID監視、SOC・MDRによる分析、迅速な遮断を組み合わせなければ二次攻撃を抑えられません。

大手企業であればあるほど、こういった不注意な社員は発生するので、企業規模が大きくなればなるほど単なるセキュリティ教育ツール/標的型攻撃メール訓練ツールではなく、セキュリティツールの連動性やSOCとの連携などが求められます。

関連：標的型攻撃メール訓練ツール・サービスの比較と選び方

なお、EPARKリラク＆エステの事案の確認済み事項と未確認点は「EPARKリラク＆エステの予約管理システムPeakManagerに不正アクセス、最大3,300万レコードの情報漏えいの恐れ」で整理しています。

※流通データ内に法人ドメインが含まれていたことを示すものであり、当該企業の社内システムが侵害されたことや、データ全体の真正性・最新性、登録者の現在の在籍関係を示すものではありません。

「全員が見抜く」ことを前提にしてはいけない

英国NCSCは、フィッシング対策で利用者の見極め能力へ過度に依存すると、時間と費用を使ってもセキュリティが改善しない恐れがあると指摘しています。フィッシング訓練を含め、すべての攻撃メールを見抜けるようにする研修は存在しないというのがNCSCの立場です。

生成AIで自然な文章を作れるようになったことだけが理由ではありません。取引先の正規アカウントが侵害された返信メール、リンクも添付ファイルもない送金依頼、QRコード、電話、SMS、チャットへの誘導など、従業員がメール本文の不自然さだけで判断できない攻撃が存在します。通常業務と同じ連絡経路や言い回しを使われれば、慎重な従業員でも誤る可能性があります。

したがって、教育の目標は「クリックする社員をゼロにすること」ではありません。疑わしいと感じた段階、またはクリックや入力をした後でも、速やかに報告できる状態をつくることです。報告の遅れを恐れて事実を隠す組織より、誤操作をすぐ共有できる組織のほうが、侵害を早く封じ込められます。

受講完了率と実際の行動が一致しない理由は「標的型攻撃メール訓練、受講完了率100%でもなぜフィッシングメールに引っかかるのか」で整理しています。クリックした従業員を責めるのではなく、見抜きにくさ、業務プロセス、権限、技術的防御を含めて原因を確認する必要があります。

NCSCの事例が示す多層防御の実際

NCSCは、約4,000人の金融関連組織に1,800通のマルウェア付きメールが届いた事例を紹介しています。この事例では、一つの対策ですべてを防いだわけではありません。

段階	件数	防御・検知の内容
攻撃メールの受信	1,800通	複数の亜種を含むマルウェア付きメールが送信されました
メール防御	1,750通	メールフィルタリングで遮断されました
利用者へ到達	50通	最初の技術的防御を通過しました
従業員からの報告	25通	クリック後の報告を含め、攻撃が通過した最初の把握経路になりました
クリック	14通	メール内の操作によりマルウェアが起動を試みました
端末防御	13台	更新済みの端末環境によりマルウェア実行が失敗しました
マルウェア実行	1台	外部への通信が検知・遮断され、端末は数時間で調査・復旧されました

この事例で重要なのは、どの層にも取りこぼしがあったことです。メールフィルターは50通を通過させ、従業員の一部はクリックし、端末防御も1台で実行を許しました。それでも、従業員の報告、更新済み端末、外部通信の監視、インシデント対応が順番に機能したことで、被害を限定できました。

セキュリティ教育だけを評価していれば、14通がクリックされたことが失敗として強調されます。しかし、組織防御として見れば、25通の報告が攻撃を早期に知らせ、残存メールや端末を調査する起点になった点が重要です。評価対象をクリック率だけに限定すると、防御に貢献した報告行動が見えなくなります。

従業員の報告を「検知情報」に変える

不審メール報告ボタンを設置しただけでは、監視・検知との接続は完成しません。報告を受け取った後の処理まで決めて、初めて従業員の気づきが組織の検知能力になります。

実務では、次の流れを一つの運用として設計します。

従業員がメールクライアントや所定の窓口から不審なメール、SMS、電話、チャットを報告する
報告時に原文、メールヘッダー、添付ファイル、URL、受信時刻、操作の有無を取得する
SOC、CSIRTまたは情報システム部門が、既知の脅威情報、送信元、URL、ファイル、認証ログと照合する
同じメールや送信元が他の利用者へ届いていないか、組織全体を検索する
実際の攻撃と判断した場合は、メール削除、URL・ドメイン遮断、セッション失効、認証情報の変更、端末隔離を行う
攻撃の手口、狙われた部門、判断が難しかった点を、次回の教育・訓練と検知ルールへ反映する

NIST SP 800-61 Rev.3は、メール、Web、ファイル共有、コラボレーションサービス、認証試行を監視し、SIEMやSOARなどで複数の情報を相関させることを推奨しています。また、インシデント報告を受けた後は、実際のインシデントかを検証し、深刻度と緊急度を判断するトリアージが必要だとしています。

従業員からの報告は、それだけで侵害確定を意味しません。誤検知も含まれるため、技術情報や資産情報と組み合わせて判定する必要があります。逆に、EDRやSIEMのアラートだけでは、従業員が受け取った依頼の業務的な不自然さや、電話で指示された内容までは把握できません。人と技術の情報を組み合わせることで、単独では弱いシグナルを検知へ変えられます。

セキュリティ意識向上トレーニング（SAT）、ヒューマンリスク管理（HRM）、SOC・CSIRTは何が違うのか

セキュリティ教育市場では、教材配信、標的型攻撃メール訓練、行動変容、ヒューマンリスク管理（HRM）が一つのカテゴリとして語られることがあります。しかし、導入目的と運用責任を分けなければ、教育ツールへ期待する範囲が際限なく広がります。

区分	答えるべき問い	主な役割	単独ではできないこと
セキュリティ意識向上トレーニング（SAT）	従業員は必要な知識とルールを理解しているか	教材、テスト、受講管理、基礎的な訓練	実際の侵害判定、端末隔離、認証情報の失効
ヒューマンリスク管理（HRM）	誰にどの人的リスクがあり、どの介入が必要か	行動データ、リスクの可視化、個別最適化、継続的な介入	組織内の全ログを使った侵害分析、24時間の封じ込め対応
SOC・MDR	現在、攻撃や侵害が発生しているか	ログ監視、アラート分析、脅威情報との照合、検知	全従業員への継続教育や行動変容の設計
CSIRT	何を止め、誰へ連絡し、どう復旧するか	トリアージ、封じ込め、調査、復旧、社内外連携	平時の教育運用を自動的に代替すること

セキュリティ意識向上トレーニング（SAT）はコンプライアンスと知識形成、ヒューマンリスク管理（HRM）は行動とリスクへの継続的な介入、SOC・CSIRTは実際の攻撃の検知と対応を担います。ヒューマンリスク管理（HRM）は従来型の年次研修より実際の行動へ近い領域ですが、行動スコアを可視化することと、発生中の侵害を分析・封じ込めることは同じではありません。

一方で、SOCがあれば教育が不要になるわけでもありません。リンクや添付ファイルを使わないBEC、電話による本人確認の突破、正規アカウントを使った依頼など、人が最初に違和感を持つ攻撃があります。教育とヒューマンリスク管理（HRM）は、その気づきを増やし、報告までの時間を短縮する役割を持ちます。

標的型攻撃メール訓練サービスを選ぶ際は、配信機能や教材数だけでなく、報告ボタン、実メールの解析、SOCへの転送、API、SIEM・SOARとの連携を確認してください。具体的な選定軸は「標的型攻撃メール訓練ツール・サービスの比較と選び方」で解説しています。

行動変容の可視化をゴールにしない

教育プラットフォームで、受講履歴、テスト結果、訓練メールのクリック、報告回数を一元化すれば、部門や個人ごとの課題を把握しやすくなります。これは教育運用とヒューマンリスク管理（HRM）にとって重要な進歩です。

ただし、「リスクを可視化したこと」と「リスクを低減したこと」は同じではありません。

例えば、経理部門のクリック率が低下しても、実在する社長を装った人物からチャットグループの作成を求められ、通常と異なる送金承認が通れば、被害は発生します。反対に、訓練メールをクリックした従業員がすぐ報告し、SOCが同じメールを全社から削除して資格情報を失効できれば、組織としては被害を抑えられます。

見るべきなのは、個人が間違えたかどうかだけではなく、組織がその間違いをどれだけ早く検知し、事故になる前に止められたかです。ニセ社長詐欺やBECでは、メールの見分け方に加えて、送金先変更の別経路確認、複数人承認、緊急依頼の例外禁止といった業務統制が欠かせません。BECの具体的な対策は「ニセ社長詐欺とは？手口・見分け方・対策を解説」も参照してください。

クリック率から「報告後の対応時間」へ指標を広げる

教育、ヒューマンリスク管理（HRM）、監視、対応をつなぐには、各部門が別々の指標を見る状態を改める必要があります。

段階	指標例	指標が示すもの
受講	受講完了率、テスト合格率	規程・教育要件を満たしたか
行動	クリック率、認証情報入力率、報告率、再発率	訓練時にどのような行動を取ったか
検知	最初の報告までの時間、報告からトリアージまでの時間、真陽性率	異常をどれだけ早く把握・判定できたか
対応	全社メール削除までの時間、端末隔離時間、セッション失効時間	被害拡大をどれだけ早く止めたか
事業影響	侵害アカウント数、影響端末数、停止時間、損失額	組織として被害をどこまで抑えたか
改善	実攻撃を反映した訓練数、ルール更新時間、再発率	検知と対応の知見を次の防御へ戻せたか

クリック率は訓練メールの難易度によっても変わります。同じ10%でも、明らかに不自然なメールと、実際の業務へ合致したメールでは意味が異なります。訓練結果を解釈する方法は「NIST Phish Scaleで標的型攻撃メール訓練の効果を測定する方法」で整理しています。

経営層へ説明する際も、「受講率100%」「クリック率5%」だけで終わらせず、「最初の報告まで5分」「SOCの判定まで15分」「全メールボックスからの削除まで30分」といった、被害抑制へつながる数字を示す必要があります。

教育費とセキュリティ運用費を分けて考える

セキュリティ教育が人事や総務の研修予算で運用されている企業では、受講者数、教材数、一人当たり単価、受講完了率が選定基準になりやすい傾向があります。規程や認証上の教育要件を満たすことが目的であれば、この評価軸は合理的です。

一方、目的がフィッシング、BEC、アカウント侵害による被害の低減であれば、教育だけでなく、報告受付、ログ監視、調査、封じ込めまで含めたセキュリティ運用として予算を設計する必要があります。

研修予算だけで検討すると、SOC連携や実メール解析、24時間対応は「教育には高すぎる付加機能」と見なされます。セキュリティ運用予算として考えると、比較対象は教材の単価ではなく、アラートの調査工数、検知時間、インシデントの影響、停止時間です。

標的型攻撃メール訓練とeラーニングを同じ予算枠だけで比較する問題については「標的型攻撃メール訓練はEラーニングと同じ予算枠で考えると失敗する理由」で解説しています。

教育とSOCが分断している組織で起きること

教育と監視・対応が別々に運用されていると、次のような断絶が生じます。

訓練結果は人事部門へ報告されるが、SOCは高リスク部門や繰り返し狙われる利用者を把握していない
SOCが実際に検知したフィッシングやマルウェアの手口が、翌年度の教材へ反映されない
従業員が不審メールを報告しても、共有メールボックスに蓄積され、調査開始まで時間がかかる
報告されたメールだけを削除し、同じ攻撃メールが届いた他の利用者を検索しない
クリック後の報告を受けても、認証ログ確認、セッション失効、端末隔離の担当者が決まっていない
訓練のクリック率は測定しているが、報告から封じ込めまでの時間を測っていない

EDRやSIEMを導入していても、アラートを誰が確認し、どの基準でエスカレーションするかが決まっていなければ、検知能力にはなりません。「EDR・SIEM導入後に起きる運用課題と解決策」で解説しているように、製品導入後の監視、チューニング、対応体制まで設計する必要があります。

90日で教育と監視・対応をつなぐ方法

大規模なシステム更改を待たなくても、報告から対応までの接続は段階的に整備できます。

期間	実施内容	完了条件
1～30日	報告窓口、担当者、受付時間、エスカレーション先を棚卸しする	従業員が迷わず報告でき、受付担当が決まっている
1～30日	フィッシング、認証情報入力、送金依頼、端末異常の初動手順を定義する	事象別の確認項目と連絡先が文書化されている
31～60日	報告メールをチケット、SIEM、SOARまたはSOC窓口へ接続する	報告時刻、判定、対応状況を追跡できる
31～60日	メール、ID、EDR、クラウドログを照合できる状態にする	報告された事象の影響範囲を確認できる
61～90日	標的型攻撃メール訓練を、報告後のSOC対応まで含めて実施する	全社検索、遮断、隔離、連絡までの所要時間を測定できる
61～90日	実攻撃と訓練の結果を教育計画へ戻す会議体を設ける	教材・検知ルール・業務手順の改善担当と期限が決まっている