セキュリティ教育の効果測定、何をもって「行動変容」とするか　KPI・ベースライン・継続評価の考え方

セキュリティ教育で「行動が変わった」と判断するには、受講率や一度のクリック率だけでは不十分です。

企業が最初に整理すべきなのは、「何を測るか」です。教育の効果は一つのKPIではなく、「実施」「理解」「行動」「定着」「リスク成果」という複数の段階に分けて見る必要があります。

そのうえで、教育前のベースラインと比べて改善しているか、訓練難易度や対象者などの条件をそろえて比較できているか、その改善が一定期間続いているか、報告など望ましい行動が増えているか、最終的に組織のリスク低減へつながっているかを確認します。

つまり、行動変容は「KPIが一度改善したこと」ではなく、「条件をそろえた継続測定の中で、安全な行動が定着したこと」を複数の指標で確認して判断する必要があります。

本稿では、NIST、英国NCSC、英国政府、イスラエル国家サイバー総局（INCD）の公的資料と海外研究をもとに、上記のKPIをどのように読み、どの条件で「行動が変わった」と評価すべきかを整理します。

セキュリティ教育の効果測定のサマリー

• 受講率や修了率は、教育を対象者へ実施したことを確認するKPIとして必要ですが、実際の安全行動が定着したことまでは示しません。
• フィッシング訓練のクリック率や報告率は、実際の判断を観察する行動KPIとして有用です。ただし、シナリオ難易度などの影響を受けるため単純比較には注意が必要です。
• NISTIR 8420Aでは、米連邦政府のセキュリティ啓発プログラムの84％が研修完了率を効果測定に使用し、72％がフィッシングシミュレーションのクリック率を利用していました。
• 同調査では、77％が自組織のプログラムを「中程度または非常に成功」と評価する一方、44％は何をどのように測定するかに課題を感じていました。
• 48％は、教育で対象とした行動と実際のセキュリティインシデントデータを関連付けることが難しいと回答しています。
• UC San Diego Healthの1万9,789人・8カ月の研究では、模擬フィッシングの平均失敗率がシナリオによって1.82％から30.80％まで変動しました。
• 同研究では、教育を受けたグループの平均失敗率は対照群より絶対値で1.7ポイント低く、統計モデル上の相対的な失敗可能性は9.5％低下しました。
• 年次セキュリティ研修を最後に受けてからの期間と、その後の模擬フィッシング失敗率には有意な関連が確認されませんでした。
• 英国NCSCは、研修の成功を「何人に届いたか」だけで測り、セキュリティ行動への好影響を評価しない状態をCyber Assessment Frameworkで「Not achieved」の指標に含めています。
• 英国政府の2025/2026年調査では、過去12カ月にセキュリティ研修・啓発を実施した企業は全体で19％、中規模企業54％、大企業84％でした。この数字は教育の普及率であり、教育効果そのものを示すものではありません。
• イスラエルのCyber Defense Methodology 2.0では、フィッシング訓練でリンクをクリックしたユーザー数が防御メトリクスの例として示されています。
• 行動変容を評価するには、教育前のベースライン、比較条件、時間経過、望ましい行動、最終的なリスク成果を組み合わせて見る必要があります。

行動変容を測るためのKPI

測定レベル	主なKPI	何が分かるか	行動変容との関係
実施	受講率、修了率	教育を対象者へ届けたか	行動変容を直接は示さない
理解	テスト正答率、理解度	知識を習得したか	行動変容の前提になる
行動	クリック率、認証情報入力率、報告率	模擬環境で実際にどう判断したか	行動変容を見る主要KPI
定着	再発率、報告速度、30日・90日・180日後の行動	改善した行動が継続しているか	行動変容を判断する重要指標
リスク成果	人起因インシデント、検知時間、認証情報悪用、被害抑制	組織リスクが下がったか	最終成果。ただし他対策との切り分けが必要

この5段階を分ける理由は、それぞれが示しているものが異なるためです。

受講率が高くても、業務中の判断が変わったとは限りません。テストで正解できても、実際のフィッシングメールを受け取ったときに安全な行動を取れるとは限りません。

一方、クリック率や報告率は実際の判断を観察できる有用な行動KPIですが、それも単純な前回比だけで「教育によって行動が変わった」と結論付けることはできません。

例えば、前回よりクリック率が下がったとしても、今回は訓練メールが見抜きやすかった可能性があります。報告件数が増えても、訓練対象者が増えた、報告ボタンを導入したなど別の要因が影響している可能性があります。

そのため、KPIは「数字を取ること」よりも、「同じ意味で比較できる状態を作ること」が重要です。

なぜ一つのKPIだけでは行動変容を判断できないのか

米国NISTの調査では、連邦政府機関のセキュリティ啓発プログラムで最も多く使われていた効果指標は研修完了率で、84％の組織が利用していました。その一方で、44％は何をどのように測ればよいかに課題を感じ、48％は教育で対象とした行動と実際のセキュリティインシデントを関連付けることが難しいと回答しています。

さらに、UC San Diego Healthの従業員1万9,789人を8カ月追跡した実環境研究では、模擬フィッシングの失敗率がシナリオによって1.82％から30.80％まで変動しました。一方、埋め込み型教育（標的型メール訓練に失敗した直後に表示される教育）を受けたグループと対照群との平均的な絶対差は1.7ポイントでした。

この差は、クリック率が下がったという事実だけでは、教育による行動変容なのか、単に訓練メールが見抜きやすかったのかを判断できないことを示しています。

受講率は必要なKPIだが、行動変容を直接示すものではない

セキュリティ教育ツールでは、受講完了率を測ること自体に問題があるわけではありません。

対象者全員が教育を受けたか、未受講者が残っていないかを確認するためには必要な管理指標です。監査やコンプライアンスの観点でも、教育を実施した記録には意味があります。

問題は、セキュリティ教育のツールやオフラインでの講習などの受講完了率をそのまま「教育が効いた」という成果指標へ置き換えてしまうことです。

NISTIR 8420Aでは、米国連邦政府機関のセキュリティ啓発担当者96人を対象に、各組織が教育効果を何で測っているかを調査しています。

最も多かったのは「研修を何人が完了したか」という完了率で、84％の組織が利用していました。

模擬フィッシングメールをクリックした割合も72％の組織が利用していました。

つまり、多くの組織が「教育を実施できたか」と「訓練時にどう行動したか」の両方を測っていたことになります。ただしNISTの調査では、44％が何をどのように測ればよいかに課題を感じており、研修完了率だけではなく実際のセキュリティ行動まで評価する必要性も指摘されています。

ここから分かるのは、教育を実施することと、教育の成果を証明することの間には別の測定設計が必要だ　という点です。

セキュリティ対策Labの「セキュリティ教育とは？NISTとNCSCが示す『知識が行動に変わる』教育の作り方」では、受講状況、理解度テスト、フィッシング訓練のクリック率、報告件数などを継続的に評価する考え方を整理しています。

今回の記事では、その次の段階として、それらの数値をどの条件で比較すれば「行動が変わった」と判断できるのかを扱います。

クリック率は有効な行動KPI、ただし単純比較では足りない

標的型攻撃 メール訓練やフィッシング訓練のクリック率は、受講完了率とは異なり、従業員が模擬攻撃を受けたときに実際にどのような行動を取ったかを観察できます。

そのため、クリック率の推移をKPIとして利用すること自体は合理的です。

ただし、クリック率が20％から8％へ下がったからといって、その12ポイントの差をそのまま教育効果とみなすことはできません。

前回の訓練が非常に見抜きにくく、今回は明らかな不審点がある簡単なメールだった場合、従業員の能力が同じでもクリック率は下がります。

UC San Diego、University of Chicago、UC San Diego Healthの研究者による「Understanding the Efficacy of Phishing Training in Practice」は、この問題を実環境の数字で示しています。

研究対象はUC San Diego Healthの現役フルタイム従業員1万9,789人で、8カ月間に複数の模擬フィッシングを実施しました。

平均失敗率は、

例えば、Outlookのパスワード変更を促す内容を装ったメールでは失敗率が1.82％、

アカウントへのログインを求める内容では1.85％でした。

一方、社内のドレスコードに関する案内を装ったメールでは27.65％、

休暇ポリシーに関する社内通知を装ったメールでは30.80％まで上昇しました。

つまり、同じ組織・同じ従業員を対象にした訓練でも、メールの内容によって失敗率には約29ポイントの差が生じています。

したがって、クリック率を行動KPIとして使う場合には、「数字を見るな」ではなく、「難易度や条件をそろえて数字を読む」が正しい考え方になります。

訓練メールの難易度を評価する方法については、「標的型攻撃メール訓練の効果 測定方法-NIST Phish Scaleで難易度を客観的に評価」で詳しく解説しています。

教育による平均差は1.7ポイント、シナリオ差の方が大きかった

UC San Diego Healthの研究では、

模擬フィッシングメールのリンクをクリックした従業員に、その直後にフィッシング対策の教材を表示する「埋め込み型フィッシング教育」の効果も検証しています。

研究では、教育を表示しない対照群と、複数の形式の教育を表示するグループを比較しました。

教育を受けたグループは、教育を受けなかったグループより、フィッシング訓練の失敗率が平均で1.7ポイント低くなりました。UC San Diegoの公式発表では、この差を「約2％低下」と要約しています。

例えば、教育を受けなかったグループの失敗率が18％、教育を受けたグループが16.3％だった場合、差は1.7ポイントです。

一方、論文では統計モデルを使った分析も行っており、教育を受けたグループは対照群より失敗する可能性が相対的に9.5％低かったとしています。つまり、「1.7ポイント」は実際の平均値の差、「9.5％」は統計モデルで見た相対的な差です。

ここで重要なのは、教育による平均差が1.7ポイントだったのに対し、模擬フィッシングメールの内容によって失敗率は1.82％から30.80％まで変わったことです。

つまり、クリック率が前回より下がっても、それだけで「教育の効果が出た」とは言えません、なぜなら今回のメールが前回より見抜きやすかっただけかもしれないためです。

行動変容を評価するには、訓練メールの難易度など条件をそろえて比較する必要があり、

メールの難易度、部署構成、対象者、技術的なメールフィルタリングの変更などを考慮せずにクリック率だけを並べると、本当は教育による変化ではないものまで「行動変容」と解釈してしまう可能性があります。

NISTの2026年討議も「ベンチマーク」と「ベースライン」を分けている

NIST研究者が2026年に公開した「Beyond the Click: Experts Weigh in on the Phishing Training Debate」では、NISTの研究者と大学・産業界の専門家がフィッシング訓練の測定方法について議論しています。

そこで示されている重要な論点の一つが、外部ベンチマークと自社ベースラインを混同しないことです。

他社平均や業界平均は、自社のおおよその位置を把握する参考にはなります。

しかし、企業によってメール環境、職種、利用サービス、報告文化、技術対策、攻撃への露出は異なります。外部ベンチマークだけでは、自社の従業員が教育によって変化したのかを判断できません。

同討議では、「最初の月に難しいフィッシングメールを送り、次の月に簡単なメールを送れば、クリック率を下げられる」という例も紹介されています。

これは極端な例ですが、測定条件をそろえなければ数字はいくらでも動くことを示しています。

行動変容を判断するためには、自社の教育開始前の状態をベースラインとして記録し、できるだけ同じ条件で継続的に比較する必要があります。

年次研修を最近受けた人ほど強い、とは確認されなかった

UC San Diego Healthの研究では、最後に年次セキュリティ研修を完了してからの日数と、模擬フィッシングへの失敗率との関係も分析されています。

研究者は、フィッシングメールの種類、季節性、過去に失敗した回数などを考慮したうえで分析しましたが、研修を最近受けた従業員ほどフィッシングメール訓練に失敗（クリック）しにくいという統計的に有意な関係は確認されませんでした。

この結果から、すべての年次セキュリティ研修に効果がないと一般化することはできません。

対象は一つの医療機関であり、教育内容や職種、組織文化によって結果は変わります。

一方、「先月研修を受けたから、今は安全に行動できるはず」という前提を置くこともできません。

研修を受けた時期ではなく、その後の実際の行動を測る必要があります。

教育コンテンツへの接触と、学習したことも分けて見る

同研究では、フィッシング訓練に引っかかった従業員へ表示される追加教育コンテンツに、実際にどの程度取り組んだかも測定しています。

教育セッションの37～51％では、利用者がページを即座に閉じるなど実質的な接触時間が0秒でした。

また、教育ページに滞在したセッションでも、75％超が1分未満で終了していました。研究期間全体で、教育コンテンツを正式に完了した割合は24％でした。

ここでも、「教材を表示した」「コンテンツを配信した」「教育ページへ遷移した」というシステム上のイベントと、利用者が内容を理解したことは別です。

教育ツールでは取得しやすい数字ほど、最終的な行動変容から離れている場合があります。

企業側は、配信、受講、理解、訓練行動、継続行動という各段階を分けて評価する必要があります。

英国NCSCは「何人に教育したかだけ」の評価を不十分としている

英国NCSCのCyber Assessment Framework（CAF）では、セキュリティ教育の評価についてさらに明確な基準を示しています。

CAF 4.0の「B6.b Cyber Security Training」では、研修の成功を「何人に届いたか」だけで測り、セキュリティ行動へプラスの影響を与えたかを評価していない状態を「Not achieved」の指標に含めています。

同時に、研修自体をあらゆるユーザー行動問題の「万能薬」として扱うことも不十分な状態として挙げています。

これは、教育の実施人数や受講率が不要だという意味ではありません。

「どれだけ教育を届けたか」と「その結果どう行動が変わったか」を別々に管理する必要がある、という考え方です。

英国政府のCyber Security Breaches Survey 2025/2026では、過去12カ月にセキュリティ研修または啓発活動を実施した企業は全体で19％でした。

企業規模別では、中規模企業が54％、大企業が84％です。

この数字から、大企業ほどセキュリティ教育を実施していることは分かります。しかし、84％という数字は「大企業の84％で従業員の行動が改善した」という意味ではありません。

普及率と効果を区別することも、教育の数字を正しく読むために必要です。

英国の研究では教育方法によって約3倍の差

教育の「内容」そのものによって行動が変わる可能性を示した研究もあります。

University College Londonの研究者による「Phishing to improve detection」では、2つの実験、合計183人を対象に、従来型のフィッシング教育と、攻撃者の視点を取り入れた教育を比較しました。

攻撃者視点の教育では、架空のサイバー犯罪者が標的型フィッシングをどのように作るかを説明し、参加者自身にも標的型フィッシングメールを作成させました。

その結果、従来型教育を完了した参加者は、攻撃者視点の教育を完了した参加者と比べ、模擬フィッシングに引っかかる可能性が約3倍でした。

ただし、研究者自身も、大規模かつ長期間の環境で効果を確認する必要性を指摘しています。

この研究から「攻撃者視点の教育なら必ず3倍改善する」と一般化するのは適切ではありません。

一方、研修の実施回数や受講率だけでなく、「どの教育方法が、その後の行動にどう影響したか」を比較する必要性を示す研究として参考になります。

イスラエルも実際の行動をメトリクスにしている

イスラエル国家サイバー総局（INCD）が公開するCyber Defense Methodology 2.0では、組織が利用できるサイバー防御メトリクスの例として、「フィッシング訓練でリンクをクリックしたユーザー数」が示されています。

ここでも、研修の配信回数ではなく、訓練に対して利用者が実際にどう行動したかが測定対象になっています。

一方、今回確認したINCDの公開資料からは、教育前後でクリック率が何％改善したかといった、大規模な教育介入の効果を示す比較データは確認できませんでした。

イスラエルの公的資料は、実行動をサイバー防御メトリクスとして扱う考え方の根拠として利用し、具体的な教育効果の数値は米国や英国の研究と分けて扱うのが適切です。

行動変容と判断するために必要な5つの条件

企業が「従業員の行動が変わった」と判断するには、一つのKPIではなく複数の条件を組み合わせる必要があります。

教育前のベースラインの取得

第一は、教育前のベースラインです。

教育を開始する前、または現在の施策を変更する前に、クリック率、報告率、報告速度、再発率などの通常状態を把握します。比較する起点がなければ、改善幅を評価できません。

比較条件を揃える

第二は、比較条件です。

フィッシング訓練であればメール難易度、対象人数、対象部署、報告ボタンの配置、メールセキュリティ製品の設定など、結果へ影響する条件を記録します。

完全に同一条件で繰り返すことは難しくても、「今回は何が変わったか」を把握しておけば、KPIの変化を誤読しにくくなります。

定期的に実施

第三は、時間です。

教育直後だけクリック率が下がっても、90日後に元へ戻るなら、行動が定着したとは評価しにくくなります。

例えば教育前、30日後、90日後、180日後と継続的に測ることで、一時的な記憶と習慣化を分けて考えられます。

報告速度や報告率など能動的な行動を評価指標にする

第四は、望ましい行動です。

「リンクをクリックしなかった」ことだけでは、危険だと判断したのか、単にメールを読まなかったのか分かりません。

不審メールを正しく報告した、初動が速くなった、同様の失敗を繰り返さなくなった、といった能動的な行動も評価対象にします。

最終的な脅威に対応できたか

第五は、組織リスクへの影響です。

報告が早くなったことでSOCが攻撃を早期検知できたか、認証情報入力が減ったか、人起因のインシデントが減ったかなど、最終的なセキュリティ成果へつなげて見ます。

ただし、ここでは教育以外の影響も考慮する必要があります。

MFA、EDR、セキュアメールゲートウェイ、アクセス制御などを同時期に強化していれば、インシデント件数の低下を教育だけの成果と断定することはできません。

報告率も「件数が増えた」だけでは判断しない

クリック率の次に重要なKPIとして、報告率があります。

不審メールをクリックしなかっただけでなく、SOCや情報システム部門へ自発的に報告できれば、同じ攻撃を受けた別の利用者を早く保護できる可能性があります。

NISTの2026年の討議でも、クリック回避だけではなく、不審な活動を正確に報告する行動を促進する重要性が議論されています。

一方、報告件数が増えたからといって、それだけで教育成功とは判断できません。

訓練対象者が増えれば報告件数も増えますし、報告ボタンを新たに導入すれば操作が容易になった影響もあります。

また、正常なメールまで大量に報告されれば、SOCの確認負荷が増える可能性があります。

そのため、実務では「報告件数」だけでなく、

• 対象メールに対する報告率
• 最初の報告までの時間
• 正しい不審メールを報告できた割合
• 正常メールの誤報告率
• 報告によって初動がどれだけ短縮されたか

といった複数の指標を見る方が、行動変容を組織防御へ結び付けやすくなります。

全社平均だけを見ると高リスク層を見落とす

全社平均のクリック率が5％だったとしても、その数字だけで組織全体の人的リスクを判断することはできません。

例えば、一般社員は3％でも、重要システムの管理者が15％、経理部門が12％であれば、組織にとってのリスクは平均値から受ける印象より高い可能性があります。

また、1,000人のうち50人が1回ずつ失敗したケースと、10人が繰り返し5回失敗したケースでも取るべき対策は異なります。

行動変容を評価する際には、全社平均に加えて、

• 部署
• 職種
• 権限レベル
• 重要情報へのアクセス範囲
• 過去の訓練結果
• 同じ行動の再発
• 教育からの経過期間

といった軸で分解する必要があります。

役割、権限、実際の行動を組み合わせて人的リスクを継続的に管理する考え方については、「ヒューマンリスク管理とは何か-セキュリティ教育が『研修』から『運用』に変わった理由」で整理しています。

「行動を変える方法」と「変わったことを測る方法」は分けて考える

セキュリティ教育では、教育設計と効果測定を混同しないことも重要です。

役割別教育、経営層の関与、実践的なシミュレーション、継続的なフィードバックなどは、「どうすれば行動が変わるか」を考える施策です。

これらの設計については、「セキュリティ教育で従業員の行動を変える5つのステップ-海外公的機関の知見から解説」で詳しく解説しています。

今回のテーマは、その後に「本当に変わったのか」をどう確認するかです。

教育前の状態を測り、介入を行い、一定条件で再測定し、その効果が時間を置いても残るかを確認する。このサイクルまで設計して初めて、教育と行動変容をつなげて評価できます。

情報システム・セキュリティ部門への示唆

企業がセキュリティ教育の評価方法を見直す際に、最初から複雑な人的リスクスコアを構築する必要はありません。

まずは現在取得している数字を、「実施」「理解」「行動」「定着」「リスク成果」のどこに位置付けるか整理することから始められます。

受講率と理解度テストしか測っていない場合は、フィッシング訓練のクリック率や報告率など、実際の行動を観察するKPIを追加します。

すでにクリック率を追っている場合は、それを廃止するのではなく、メール難易度や対象条件を記録し、単純な前月比較から一歩進めます。

また、教育直後だけではなく、30日後、90日後、180日後と一定期間を置いて再測定し、同じ利用者が再び危険な行動を取っていないか、望ましい報告行動が継続しているかを確認します。

さらに成熟した段階では、教育や訓練のデータを、メールセキュリティ、ID管理、SOC、インシデント管理などの情報と関連付けます。

NISTIR 8420Aで48％の回答者が難しいとしたのも、この「教育で狙った行動」と「実際のセキュリティインシデント」を結び付ける部分です。

重要なのは、クリック率、報告率、インシデント件数のどれか一つを万能な指標にしないことです。

クリック率は有用です。報告率も有用です。受講率も必要です。

ただし、それぞれが測っているものは異なります。

セキュリティ教育の「行動変容」は、単一の数字が下がった、あるいは上がったという一回の結果ではなく、条件をそろえた継続測定の中で、安全な行動が定着し、最終的に組織のリスク低減へ結び付いているかを確認して判断する必要があります。

関連記事

セキュリティ教育とは？NISTとNCSCが示す「知識が行動に変わる」教育の作り方

セキュリティ教育の目的、教育手法、受講記録、クリック率や報告件数を使ったPDCAなど、教育プログラム全体の設計を整理しています。本稿は、その中でも効果測定を専門的に掘り下げた位置付けです。

セキュリティ教育で従業員の行動を変える5つのステップ-海外公的機関の知見から解説

役割別教育、シミュレーション、経営層の関与など、実際の行動変容を生み出す教育プログラムの設計方法を解説しています。

標的型攻撃メール訓練、受講完了率100%でもなぜフィッシングメールに引っかかるのか

教育を受講したことと、実際のフィッシングメールを受信したときに安全な判断を取れることが一致しない理由を整理しています。

標的型攻撃メール訓練の効果 測定方法-NIST Phish Scaleで難易度を客観的に評価

フィッシング訓練のクリック率を比較する際に必要となる、メールシナリオの難易度評価について解説しています。

ヒューマンリスク管理とは何か-セキュリティ教育が「研修」から「運用」に変わった理由

教育履歴だけでなく、役割、権限、実際の行動を組み合わせて人的リスクを継続管理する考え方を整理しています。

出典

• Approaches and Challenges of Federal Cybersecurity Awareness Programs, NISTIR 8420A – NIST
• Beyond the Click: Experts Weigh in on the Phishing Training Debate – NIST
• Understanding the Efficacy of Phishing Training in Practice – UC San Diego / University of Chicago / UC San Diego Health
• Principle B6 Staff awareness and training – UK National Cyber Security Centre
• Cyber security breaches survey 2025/2026 – UK Government
• Phishing to improve detection – University College London
• Cyber Defense Doctrine 2.0 – Israel National Cyber Directorate