セキュリティ教育で従業員の行動を変える5つのステップ-海外公的機関の知見から解説|セキュリティ対策Lab

投稿日時: 2026年08月12日更新日時: 2026年08月12日

年1回の研修動画を見せてテストに合格させる。多くの組織がセキュリティ教育と呼んでいるのは、実はこうした「コンプライアンスの消化」にすぎません。米NIST、英国NCSC・NPSA、イスラエルINCDという3カ国の公的機関は、こうした従来型の教育が、従業員の実際の行動変容にはつながらないという課題認識を共有しています。この記事では、これら公的機関の知見と行動科学の理論をもとに、従業員の行動そのものを変えるセキュリティ教育をどう設計すればよいか、具体的な手順を整理します。

この記事のサマリー

米NISTのガイドライン「SP 800-50 Rev.1」（2024年9月公開）は、啓発・訓練・教育を「サイバーセキュリティ・プライバシー学習プログラム（CPLP）」として一体的に捉え、継続的な運用・評価・改善を求めています。
NISTの研究者Julie Haney氏は2023年、セキュリティ専門家自身が陥りがちな「6つの落とし穴」を指摘する論文を発表しました。ユーザーを無知だと決めつける、専門用語で語る、懲罰で従わせるといった姿勢が、かえって行動変容を妨げるとしています。
英国NCSCは「心理的安全性」と「社会規範」を重視しており、ミスを恐れずに報告できる文化と、組織のリーダー自身が模範を示すことの重要性を強調しています。
イスラエルINCDは、NIST CSF等を基礎にしつつ、脅威インテリジェンスを組み込んだ独自の「ICDM 2.0」という国家サイバー防衛方法論を展開しています。
行動変容を実現する教育プログラムは、現状評価、経営層の関与、役割別の設計、実践的なシミュレーション、行動指標による効果測定という5つの手順で構築できます。
効果測定の指標も、受講完了率のような「コンプライアンス指標」から、報告率や行動の推移といった「行動指標」へ移行する必要があります。

整理表——米英イスラエルのアプローチ

国・機関	戦略的焦点	主要なフレームワーク	行動変容へのアプローチ
米国（NIST、CISA）	フレームワークの構造化、基礎的なサイバー衛生	NIST CSF 2.0、SP 800-50 Rev.1、Secure Our World	「Govern（統治）」機能による組織的リスク管理、4つの基本行動への絞り込み
英国（NCSC、NPSA）	心理的安全性、社会規範	You Shape Security、10 Steps to Cyber Security、Security Culture Tool	非難を排除した報告文化の醸成、組織文化の可視化
イスラエル（INCD）	脅威インテリジェンス、レジリエンス	ICDM 2.0（サイバー防衛方法論）	脅威情報に基づく防御を組み込んだ国家的な防衛言語の提供

なぜ受講完了だけでは不十分なのか

米国立標準技術研究所（NIST）が2024年9月に公開したガイドライン「SP 800-50 Rev.1：Building a Cybersecurity and Privacy Learning Program」は、啓発（Awareness）・訓練（Training）・教育（Education）を個別の段階として分けて捉えるのではなく、これらを包括する「サイバーセキュリティ・プライバシー学習プログラム（CPLP）」として一体的に運用し、ライフサイクル全体で継続的に評価・改善することを推奨しています。

受講完了率がなぜ組織の安全性の証明にならないのかという論点については、標的型攻撃メール訓練、受講完了率100%でもフィッシング被害が起きるのはなぜかで詳しく解説していますので、あわせてご覧ください。

セキュリティ専門家が陥る「6つの落とし穴」

NISTの研究者であるJulie Haney氏は2023年、「Users Are Not Stupid: Six Cyber Security Pitfalls Overturned（ユーザーは愚かではない）」と題する論文を発表しました。この論文は、組織のセキュリティ文化を阻害している原因が、実はセキュリティ専門家自身の思い込みにあると指摘しています。

落とし穴1：ユーザーを無知だと決めつけること。従業員がミスを犯すのは、複雑すぎるルールや高度な脅威に圧倒され、十分な装備を与えられていないためであり、愚かだからではありません。

落とし穴2：対象者に合わせたコミュニケーションを行わないこと。専門用語を多用したポリシーは、専門知識を持たない従業員には響きません。いわゆる「知識の呪い」に陥らないよう、相手の役職・業務に応じた言葉で伝える必要があります。

落とし穴3：ユーザビリティを軽視し、過度な負担を強いること。セキュリティ手順が業務の障害になれば、従業員は悪意なく回避行動を取るようになります。

落とし穴4：セキュリティ対策を過剰に複雑化すること。無数のツールやプロセスを導入しすぎると、かえって運用が形骸化します。状況やリスクに応じて、最も厳格な対策が常に最適とは限りません。

落とし穴5：懲罰や否定的な手法でコンプライアンスを強制すること。フィッシングシミュレーションに引っかかった従業員の名前を公表するような懲罰的措置は、長期的には不信感を植え付けます。

落とし穴6：ユーザー中心の効果測定指標を欠いていること。受講完了率のような技術・コンプライアンス中心の指標は、人間の行動変化を正確には捉えられません。

行動科学の基礎—なぜ人は安全な行動を選ばないのか

行動変容を促すには、行動科学の知見を教育プログラムに組み込むことが重要です。自己決定理論に基づく研究では、人間の内発的動機付けには「自律性」「有能感」「関係性」という3つの基本的心理欲求を満たす必要があるとされています。ルールを一方的に押し付けるのではなく、対策が必要な理由を説明し選択肢を与えることが自律性を、具体的な解決策を提示し自らの行動で組織を守れると感じさせることが有能感を、それぞれ尊重することにつながります。

また、「自分や自社は攻撃者の標的になるほど重要ではない」と思い込む楽観主義バイアスや、直近で被害に遭っていないためリスクを低く見積もる可用性ヒューリスティックといった認知バイアスも、セキュリティ行動を阻害する要因です。絶え間ないパスワード変更の要求や頻繁な警告ポップアップが引き起こす「セキュリティ疲労」も、従業員が警告を無視する一因になります。

行動変容を実現する5つの手順

米英イスラエルの知見と行動科学の理論を統合すると、組織が従業員の行動を実際に変えるためのセキュリティ教育は、次の5つの手順で構築できます。

手順1：現状評価とベースラインの策定

教育プログラムを設計する前に、抜き打ちのフィッシングシミュレーションで、教育介入前の組織全体のクリック率・報告率を定量化してください。あわせてアンケート調査等で、従業員がセキュリティ部門に抱くイメージや心理的安全性の度合いも測定します。

手順2：経営層のコミットメントとポリシーの再設計

経営トップ自らが、セキュリティがなぜ重要かという「WHY」を定期的に語りかけてください。ミスへの過度な懲罰や公開羞恥を避けつつ、意図的・反復的な違反には説明責任を維持する、非懲罰的なポリシーを明文化します。

手順3：役割ベースの学習設計

対象者の役職・業務内容に応じてコンテンツを最適化してください。経営幹部には標的型攻撃や戦略的リスク管理を、財務部門にはビジネスメール詐欺（BEC）を、開発者にはセキュアコーディングを、といった形で訓練を割り当てます。年1回の長時間研修ではなく、数分で完結するマイクロラーニングを定期的に配信することも有効です。

手順4：ナッジと実践的シミュレーションの展開

最新の脅威トレンドを模したフィッシングシミュレーションを実施してください。従業員が危険な行動を取った瞬間に、数分間のマイクロラーニングを自動的にトリガーする「イン・ザ・モーメント・ナッジ」も、学習を実際の行動に結びつける効果的な手法とされています。なお、ある金融サービス企業の事例では、こうしたリアルタイム型の行動介入を導入後、60日未満で機密データ露出に関するアラートが17％減少したと報告されていますが、これは単一の企業事例であり、一般的な効果を示す研究結果ではない点には注意してください。

手順5：行動指標による効果測定と継続的改善

研修の受講完了率ではなく、実際の行動指標で効果を測定してください。具体的には、クリック率の経年推移、報告率を失敗率で割った指標（1を超えれば、シミュレーションで失敗するより報告する割合の方が高いことを示します）、不審なメールを受信してから報告するまでの平均時間などが挙げられます。ただし、こうした個別の指標も、組織全体のサイバーレジリエンスを単独で証明するものではない点には留意が必要です。

英国NCSC・NPSAが重視する心理的安全性と社会規範

英国のNCSC（国家サイバーセキュリティセンター）とNPSA（国家保護セキュリティ局）は、組織文化の研究をセキュリティ施策に統合しています。NCSCが発表した「You Shape Security」ガイダンスは、セキュリティポリシーが人々の実際の働き方と衝突している現状を直視し、従業員を中心に据えたセキュリティデザインを提唱しています。

NCSCのサイバーセキュリティ文化の原則の中でも重要なのが、開放性と心理的安全性の奨励です。心理的安全性が欠如していると、人はミスを隠すなど自己防衛的な行動を取りやすくなります。NCSCは、ミスへの過度な懲罰や公開羞恥を避け、早期報告を促す文化を求める一方で、意図的・反復的な違反については適切な説明責任を維持するという立場も示しています。あわせて、社会規範（職場の非公式なルール）を活用して安全な行動を定着させることも重視しており、組織のリーダー自身がセキュリティトレーニングを受講する姿勢を示すことが求められるとしています。英国ではNPSAが開発した「Security Culture Tool」を用いて、組織のセキュリティ文化を可視化し、改善領域を特定する取り組みも進められています。

イスラエルINCDの実戦的な枠組み

イスラエル国家サイバー局（INCD）は、NIST CSF等を基礎にしつつ、脅威インテリジェンスとゼロトラストの考え方を組み込んだ独自の「ICDM 2.0（サイバー防衛方法論）」を展開しています。この方法論は、政府機関だけでなく重要インフラや一般企業に対しても共通のサイバー防衛言語を提供し、組織の規模に応じたリスク管理を可能にしています。

まとめ

米英イスラエルの公的機関の知見に共通するのは、セキュリティ教育を「知識を教える場」から「行動を変える継続的な仕組み」へ転換する必要があるという認識です。ユーザーを弱いリンクとして扱うのではなく、適切な支援によって安全な行動を選択できるパートナーとして位置づけることが、真の行動変容への出発点になります。

標的型攻撃メール訓練を教育予算ではなくセキュリティ対策予算の中で運用する必要性については、標的型攻撃メール訓練は「教育」ではないEラーニングと同じ予算枠で考えると失敗する理由、AI時代の教育に求められる具体的なポイントについては、AI時代のセキュリティ教育、押さえるべき5つのポイント【完全ガイド】もあわせてご覧ください。