なぜ今、セキュリティ教育を見直す企業が増えているのか-AI時代の3つの変化|セキュリティ対策Lab

投稿日時: 2026年08月05日更新日時: 2026年08月05日

毎年ほぼ同じ内容のセキュリティ教育を、これまでどおり続けている企業は少なくありません。しかし、米国・英国・イスラエルの公的機関が、ほぼ同時期に同じ方向性の警鐘を鳴らしていることをご存じでしょうか。この記事では、米国CISA、英国NCSC、イスラエルINCDという3カ国の公的機関の指摘をもとに、なぜ今、多くの企業がセキュリティ教育の見直しを迫られているのか、その背景にある3つの変化を整理します。

なぜ今、教育の前提が崩れつつあるのか

米国CISAは、生成AIの普及によって文法・綴りの誤りという従来の見分け方が機能しなくなりつつあると注意喚起しています。
米FBIの2024年インターネット犯罪報告書では、フィッシングが報告件数トップの犯罪類型となり、19万3407件の苦情が寄せられています。
英国NCSCは公式ガイダンスで、フィッシング訓練を含むどの訓練パッケージも、すべてのフィッシングメールを見抜けるようにはならないと明言しています。
イスラエルINCDは2025年に31,657件のフィッシング攻撃に対応しており、前年比で7倍に増加したと公表しています。
INCD局長は、新世代のAIモデルの登場によりサイバー攻撃が人間の速度から機械の速度へ転換していると警鐘を鳴らしています。
米Verizonの2025年版データ漏えい調査報告書では、直近に訓練を受けた従業員の不審メール報告率が、受けていない従業員のおよそ4倍に達したというデータが示されています。

整理表——これまでの教育の前提と、崩れつつある現実

項目	これまでの前提	公的機関が示す現実
見分け方	不自然な文法・誤字脱字で気づける	CISA：生成AIにより文法的に完璧な文面が量産される
訓練の役割	訓練を実施すれば見抜けるようになる	NCSC：訓練だけではすべてのフィッシングメールを見抜けるようにはならない
更新頻度	年1回の見直しで足りる	INCD：攻撃は人間の速度から機械の速度へ転換している
効果指標	開封率・受講率で測る	Verizon：報告率は直近の訓練実施から強い影響を受ける

変化①：メールの「不自然さ」が見抜く手がかりでなくなった

米国CISAの公式フィッシング対策ガイダンス「Recognize and Report Phishing」は、これまで不自然な文法や綴りの誤りがフィッシングメールを見抜く手がかりとされてきたものの、生成AIの普及によってこの前提が崩れつつあると明記しています。攻撃者は今や文法的に完璧な文面を生成できるため、受信者は別の兆候に注意を向ける必要があるとされています。

あわせて、CISA・NSA・FBI・MS-ISACが共同で公開している「Phishing Guidance: Stopping the Attack Cycle at Phase One」では、フィッシングの攻撃サイクルが段階ごとに整理され、ネットワーク防御側が講じるべき技術的対策が示されています。CISAはさらに、FBIの2024年インターネット犯罪報告書を引用し、フィッシングが報告件数の多いサイバー犯罪の最上位にあり、19万3407件の苦情が寄せられたことを明らかにしています。誤字脱字を探すという従来の教育内容そのものが、実態と乖離しつつあることがうかがえます。

変化②：訓練だけでは防げないと公的機関が明言している

英国のNational Cyber Security Centre（NCSC）が公開している組織向けガイダンス「Phishing attacks: defending your organisation」は、標準的な注意喚起にもとづく訓練教材が、一般的なフィッシングメールの一部を見抜く助けにはなっても、すべてのフィッシングメールを見抜けるようにはならないと明言しています。とりわけ特定の個人や部署を狙うスピアフィッシングは、より見抜くことが難しいとされています。

NCSCのガイダンスは、攻撃者からユーザーへの到達を防ぐ層、ユーザーが不審なメールを識別・報告できるようにする層、検知されなかったフィッシングメールの影響を抑える層という複数の防御層を組み合わせることを推奨しています。訓練を単体の対策として完結させず、技術的な防御層と組み合わせて初めて機能するという考え方です。これは、教育を実施したこと自体を目的化してしまう運用への警鐘とも読み取れます。

変化③：攻撃の更新速度が人間の速度を超えた

イスラエルの国家サイバー局（INCD）は、2025年に31,657件のフィッシング攻撃に対応したと公表しており、これは前年比で7倍の増加にあたります。INCD局長のヨッシー・カラディ氏は、経営層向けの発信の中で、新世代のAIモデルの登場によりサイバー攻撃が従来の人間の速度から機械の速度へと転換していると警鐘を鳴らしています。従来型の防御だけではもはや十分ではないとし、機械による攻撃には機械による防御で対抗する必要があると述べています。

この指摘を教育の文脈に置き換えると、年1回更新される静的な教育コンテンツでは、日次・週次で更新される攻撃の変化速度に追いつけないという課題が浮かび上がります。米Verizonの2025年版データ漏えい調査報告書でも、直近に訓練を受けた従業員の不審メール報告率が、受けていない従業員のおよそ4倍に達したというデータが示されており、教育の頻度そのものが効果に直結することを裏づけています。

3つの変化が意味すること

米国・英国・イスラエルの指摘を並べると、共通して浮かび上がる論点があります。それは、セキュリティ教育の効果は、内容がどれだけ現在の攻撃の実態に近く、どれだけ高い頻度で更新されているかによって大きく左右されるという点です。

昨年と同じ教材を使い続けている教育は、CISAが指摘する誤字脱字前提の古い判断基準を従業員に教え続けていることになりかねません。NCSCが指摘するように教育だけですべてのフィッシングメールを見抜けるようにはならない以上、教育を単体の年次イベントではなく、継続的な仕組みとして位置づけ直す必要があります。そしてINCDが指摘する機械速度の攻撃に対しては、年次更新のコンテンツでは追随そのものが構造的に困難です。