標的型攻撃メール訓練、受講完了率100%でもなぜフィッシングメールに引っかかるのか-知識と行動のギャップを埋める訓練の条件|セキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

年1回のセキュリティ教育を全社員が受講済み、修了率100%。それでも数カ月後にフィッシングメールで情報が漏えいする。多くの情報システム部門が一度は経験する、このねじれた現実には理由があります。米国立標準技術研究所（NIST）、英国NCSC、イスラエルINCDの公的機関の分析と、査読を経た学術研究の双方が、受講完了率という指標そのものに構造的な限界があることを示しています。この記事では、なぜ知識と行動の間にギャップが生まれるのか、そのギャップを埋めるために何が必要とされているのかを整理します。

この記事のサマリー

米NISTが米国政府機関の担当者を対象に行った調査では、多くの組織が受講完了率をセキュリティ教育の効果指標として最も重視している一方、完了率を重視した教育が実際の従業員の行動改善につながるとは限らないことが、研究によって指摘されています。
米国の金融テック企業12,511人を対象にした大規模な学術研究では、教育の実施がクリック率・報告率のいずれにも統計的に有意な効果を持たなかったことが報告されています。
14,000人超を15カ月間追跡した別の学術研究では、その場で表示される埋め込み型の教育コンテンツが、必ずしも従業員の耐性を高めず、一部の条件下ではむしろ逆効果になり得ることが示されています。
英国NCSCは、フィッシング訓練を含むどの訓練パッケージも、すべてのフィッシングメールを見抜けるようにはならないと明言しています。
イスラエルINCDは2025年に31,657件のフィッシング攻撃に対応しており、前年比で7倍に増加したと公表しています。攻撃の増加速度に対し、教育内容の更新が追いついていない構造も、ギャップの一因です。
学術研究では、教育そのものの内容よりも、定期的に接触することによる注意喚起（ナッジ）効果が、わずかながら実際に確認できる効果の主な要因だとされています。

整理表

指標	何を測っているか	実際の安全性との関係
受講完了率	教育コンテンツを最後まで視聴・閲覧したか	弱い、または統計的に有意な関連が確認されない
訓練メール開封率・クリック率	模擬フィッシングメールに引っかかったか	シナリオの難易度に強く左右され、単独では組織の実力を示さない
NIST Phish Scaleによる難易度評価	シナリオがどれだけ見抜きにくいかを客観的に評価	クリック率を解釈するための前提条件として機能する
報告率	従業員が不審なメールを自発的に報告したか	学術研究で最も安定して確認される、行動改善の指標
直近の教育実施からの経過期間	最後に教育・訓練に接触してからの日数	報告率と関連が確認されており、頻度・タイミングが効果を左右する

なぜ「受講完了率100%」が安全の証にならないのか

米NISTが米国政府機関のセキュリティ教育担当者を対象に行った調査では、受講完了率が効果指標として最も広く使われており、担当者の半数近くが、コンプライアンス（受講の実施自体）を成功の最も重要な指標だと考えていることが明らかになっています。しかしNISTは同じ報告書の中で、コンプライアンスを重視した教育が、必ずしも従業員の実際のセキュリティ行動の改善につながるとは限らないと指摘しています。皮肉なことに、同じ調査で担当者自身に「何のデータがあれば教育の効果を示せるか」と尋ねると、多くがクリック率や実際のセキュリティインシデントといった行動データを挙げており、現場の担当者自身も、完了率だけでは不十分だと感じていることがうかがえます。

受講完了率が測っているのは、あくまで教育コンテンツに最後まで目を通したかどうかです。クイズに合格し、動画を見終えたとしても、受信箱に届いた巧妙なフィッシングメールを開かない保証にはなりません。この単純だが見落とされがちな事実が、多くの組織で「教育は完了しているのに被害が起きる」という矛盾を生んでいます。

「知識」と「行動」はなぜ結びつかないのか——学術研究が示す実証結果

この問題は、査読を経た学術研究によっても裏づけられています。米国の金融テック企業で12,511人の従業員を対象に行われた大規模な実証研究では、教育の実施がクリック率にも報告率にも統計的に有意な効果を持たなかったと報告されています。この研究では、NISTが開発したPhish Scale（フィッシングメールの見抜きにくさを客観的に評価する手法）を用いてシナリオの難易度を統制したところ、クリック率を左右していたのは訓練を受けたかどうかではなく、シナリオそのものの難易度だったことが示されています。

別の学術研究では、14,000人超の従業員を15カ月間追跡した結果、フィッシングメールをクリックした瞬間に表示される、いわゆる埋め込み型の教育コンテンツが、従業員の耐性を必ずしも高めず、条件によってはむしろ逆効果になり得ることが報告されています。また、訓練直後は不審なメールを見分ける能力が向上するものの、その効果は数カ月で失われていくことを示した研究もあり、人の習慣は一時的な教育的働きかけよりも根強いと指摘されています。

こうした研究群に共通するのは、教育コンテンツの内容そのものよりも、定期的に接触することで注意を喚起する、いわゆるナッジ効果が、わずかながら実際に確認できる効果の主な要因だという指摘です。つまり、何を教えるかよりも、どれだけの頻度で、どのタイミングで接触するかのほうが、行動には影響しやすいということになります。

英国NCSCが示す、訓練だけに頼らない設計思想

英国のNational Cyber Security Centre（NCSC）は、公式ガイダンス「Phishing attacks: defending your organisation」の中で、標準的な注意喚起にもとづく訓練教材が、フィッシングメールの一部を見抜く助けにはなっても、すべてのフィッシングメールを見抜けるようにはならないと明言しています。とりわけ、特定の個人や部署を狙う標的型攻撃メールは、訓練だけで見抜くことがより難しいとされています。

NCSCのガイダンスは、攻撃者からユーザーへの到達を防ぐ層、ユーザーが不審なメールを識別・報告できるようにする層、検知されなかった場合の影響を抑える層という複数の防御層を組み合わせることを推奨しています。訓練を、知識を教える単発のイベントとしてではなく、多層防御の一部として位置づけ直す考え方は、知識と行動のギャップを前提とした設計思想だといえます。

イスラエルINCDが示す、攻撃速度と訓練頻度のギャップ

イスラエルの国家サイバー局（INCD）は、2025年に31,657件のフィッシング攻撃に対応したと公表しており、これは前年比で7倍の増加にあたります。攻撃の量そのものが急速に増加している以上、年1回の教育コンテンツでは、攻撃の実態との乖離が広がり続けることになります。

知識と行動のギャップは、教育の設計だけの問題ではなく、教育の内容がどれだけ現在の攻撃の実態を反映しているかという鮮度の問題でもあります。古い手口を前提にした知識をいくら定着させても、目の前に届く攻撃がすでに別の手口に変わっていれば、行動には結びつきません。

知識と行動のギャップを埋める3つの条件

ここまでの公的機関の指摘と学術研究を踏まえると、知識と行動のギャップを埋めるためには、少なくとも3つの条件が必要だと考えられます。

第一に、シナリオの難易度を客観的に把握することです。NIST Phish Scaleのような枠組みを使い、同じクリック率でも簡単なシナリオへの反応なのか、高度なシナリオへの反応なのかを区別しなければ、教育の効果を正しく評価できません。

第二に、効果指標を開封率・クリック率だけに頼らず、報告率を重視することです。学術研究で最も安定して確認されている改善は、クリックしないことそのものではなく、不審なメールを自発的に報告する行動の増加です。

第三に、教育・訓練への接触を、年1回の単発イベントから、頻度の高い継続的な接触へと切り替えることです。ナッジ効果が主な便益だとする研究結果を踏まえれば、内容の精緻さよりも、どれだけの頻度で接触し続けられるかが、実際の行動により強く影響します。

情報システム部門が確認すべきポイント

自社の教育・訓練の効果測定が、受講完了率やクイズの合格率だけにとどまっていないか確認してください。可能であれば、報告率や、報告が実際のクリックより先に行われた割合といった行動指標も、あわせて記録することをおすすめします。
訓練シナリオの難易度を把握せずにクリック率だけを見ていないか確認してください。同じクリック率でも、シナリオの難易度によって意味合いはまったく異なります。
教育・訓練の実施頻度が、年1回や四半期に1回にとどまっていないか確認してください。頻度そのものが効果を左右するという研究結果を踏まえると、実施間隔の見直しは、内容の作り込み以上に優先度が高い場合があります。
フィッシングをクリックした従業員個人への注意喚起だけでなく、報告した従業員を評価・称賛する仕組みがあるかを確認してください。研究では、報告行動を促す設計が、クリックを減らす設計よりも安定した効果を持つことが示されています。

標的型攻撃メール訓練ツールそのものの比較・選定基準については、標的型攻撃メール訓練ツール/サービスの比較と選び方で詳しく解説しています。標的型攻撃メールの手口や実際の被害事例については標的型攻撃とは？仕組みや手口、事例を解説を、セキュリティ教育全体の位置づけや実施手順についてはセキュリティ教育とは？重要性・必要性や実施手順を解説をあわせてご覧ください。

まとめ

受講完了率100%は、教育を実施したことの証明にはなっても、組織が実際に安全であることの証明にはなりません。NIST、NCSC、INCDという米英イスラエルの公的機関の指摘と、複数の学術研究が示す実証結果は、いずれも同じ結論を指し示しています。教育の効果は、何を教えたかではなく、どれだけの頻度で、どれだけ現実に近いシナリオで、行動そのものを測定しながら接触し続けられるかによって決まるということです。