10月になりました。つまり、数多くの企業が「 サイバーセキュリティ啓発月間」（ ）を、例年と変わらない流れで実施しているということです。従業員はポータルサイトにログインし、アニメーション動画やスライド資料を閲覧し、のフィッシングメール（）に関するクイズに答えるという流れです。 これらの手順は、ネットワークやデータのセキュリティを強化することを目的としています。
実際のところ？ うまくいきません。
調査によると、この一般的なアプローチでは不十分であることが示されており、専門家たちは、 のフィッシング詐欺（ 、AIを活用した事例が増加しています）、のビジネスメール詐欺（）、およびその他の不審な活動に対する認識と報告を改善するため、スキル向上と継続的な関与を盛り込んだ、研修プロセスの抜本的な見直しを推奨しています。
UCサンディエゴ・ヘルス（UC San Diego Health）の『 』誌に掲載された最近の研究（ ）は、従来の取り組みを痛烈に批判しました。 8か月間にわたり、約 20,000 名の従業員が8回にわたるフィッシングメールの模擬攻撃を受けました。 罠にかかり、埋め込まれたフィッシングリンクをクリックした人の中には、フィッシング対策の研修資料に誘導され、模擬フィッシングメールに騙されたことを通知された人もいれば、対照群として、行き止まりの「 404 （Not Foundエラー）」ページに誘導された人もいました。 従業員が再びフィッシングの罠に引っかかるかどうかを確認するために再テストを行ったところ、「研修を受けた」従業員の失敗率は、研修を受けていない従業員に比べてわずか 1.7％改善したに過ぎませんでした。
説明をお願いします。 ほとんどの人は、トレーニングページを受け取ってから数秒以内にそのページを閉じてしまいました。 3分の1以上は、見ようともしませんでした。
「実は、多くの人がトレーニングに時間を割いていないことがわかりました」と、共著者であり、現在Censysのシニアセキュリティリサーチャーを務めるアリアナ・ミリアン氏は述べました。 「要するに、ページが開かれたものの、すぐに閉じられてしまったのです。つまり、実際にはトレーニングを行っていなかったということになります。」
従業員向けセキュリティ研修：問題の根本原因（とその経緯）
このアプローチは、電子メールの量や詐欺の手口が巧妙化すること、そして基盤となる技術がすべて劇的に進歩したにもかかわらず、この20年間ほとんど変わっていません。
「まるで、すべての組織に、フィッシングの問題を解決できると説明された薬の箱が配られているかのようです。」 「彼らは何度も検査を行っているのですが……実際には問題の原因を特定できていないようです。」セキュリティコンサルタントであり、フィッシング対策ガイドブック『The Weakest Link』の著者であるアルン・ヴィシュワナート氏
2007年、フィッシング詐欺に関する講習を受けたウェストポイントの士官候補生たちは、数日後になっても依然として詐欺に引っかかる可能性が同じくらい高かったのです。 2009年、カーネギーメロン大学の研究者たちは、メールで送信されたフィッシング対策のヒントは無視されていた一方で、教材に組み込まれた指導は、それよりわずかに効果的だったに過ぎないことを明らかにしました。 また、 2022号の『 』誌によると、米国国立標準技術研究所（NIST） は、ほとんどの啓発プログラムが「セキュリティ行動において有意義かつ長期的な改善をもたらすには至っていない」と結論づけています。
特に注目すべきは、NISTが、自らが批判したまさにその慣行を定着させる一助となってしまったことです。 このガイダンスでは、組織に対し、啓発プログラムの実施を強く推奨するとともに、フィッシングシミュレーションの実施とそれに続く研修を推奨しています。 多くの最高情報セキュリティ責任者（CISO）は、NISTが最も適切な判断を下していると想定し、その指針を無条件に採用しています。これは、フィッシング攻撃が で202％増加し 、2024 年の下半期には、そうした手法に欠陥があることを示唆する証拠があるにもかかわらずです。
「CISOたちは、他に多くのことを行う時間がないため、NISTやその他の標準的な指針に従わざるを得ないのです」と、セキュリティコンサルタントであり、『 』（）および『The Weakest Link: How to Diagnose, Detect, and Defend Users from Phishing』（）の著者であるアルン・ヴィシュワナート氏は述べています。 「まるで、どの組織にも、フィッシングの問題を解決できると説明された薬の箱が渡されているようなものです。」 彼らはそれらを繰り返し行っていますが、そうしているだけでは、実際には問題の原因を特定できていないのです。 ですから、彼らには到底解決できないでしょう。 「診断がなければ、問題を単に一般化しているに過ぎません。」
[関連記事：CISOの成功事例――退屈なサイバーセキュリティ研修を克服する最善策]
ヴィシュワナート氏は、学者、ベンダー、そして各組織は、 なぜ人々がそもそもクリックするのかという点について、もっと時間をかけて検討する必要があると考えています。。 彼の研究によると、その根本的な原因として、習慣（ ）、近道（）、および 、そして誤った信頼（ ）が挙げられています。 人々はメールを無意識のうちに処理し、ロゴや見慣れた名前といった一瞥でわかる手がかりを頼りにし、気が散っているときは疑念を押し殺してしまうことがよくあります。
「そうした根本的な行動に対処しなければ、研修を行っても結果は決して変わらない」と彼は述べました。
Employee security training 2.0 goes beyond compliance theater
こうした行動に対処するためには、トレーニングそのものを刷新することが重要であり、これはMITREの「 」に関する最近の調査（ ）が取り組んだ課題でもあります。
研究者であるディアナ・カプト、ルーラ・ダンリー、ナサニエル・ラトクリフの各氏によるこの 2024 論文は、日常的な会話を用いて機密情報を引き出す、高度なソーシャルエンジニアリングの手法である「悪意のある情報引き出し」について考察したものです。 従業員は2つのグループに分けられました。一方のグループは従来の意識啓発型の研修を受け、もう一方のグループは新しいスキル重視型の研修に参加しました。 スライドの代わりに、スキルグループは現実的な状況下で不審な会話を聞き分ける練習を行い、フィードバックを受けました。 その結果、スキル研修によって認識と報告が改善され、その効果は少なくとも1年間持続することがわかりました。
研修の実施方法が重要です。 近年、セキュリティ研修会社は、映画のような、Netflixにも引けを取らないストーリーテリング や特殊効果を取り入れた、より魅力的な 研修動画を作成することで、サービスの質向上を図っています。 SANSインスティテュートの従業員向けサイバーセキュリティ研修担当ディレクター、ランス・スピッツナー氏は、「どのくらいの頻度で」という質問も重要だと述べました。
「最もよくある失敗は、組織が年に一度研修を実施しただけで、それで済んだと思い込んでしまうことです」と彼は述べました。 「それはうまくいきません。」
[関連記事：このネット詐欺に危うく引っかかりそうになりました――なぜ技術の専門家でさえ騙されてしまうのか]
「効果的なのは、継続的な関わりだ」と彼は言いました。 短く、シンプルに、時間をかけて。 ポッドキャスト、インフォグラフィック、ショート動画、フィッシング詐欺のシミュレーション。 「それは文化の一部でなければならない」とスピッツナー氏は述べました。
「一度受ければ終わり」とは限りません――従業員のセキュリティ研修に関する新しいルール
また、研修は日々の業務の現実を反映したものでなければなりません。従業員は、適切なセキュリティ対策を順守することよりも、もっと差し迫った問題を抱えていることがよくあるからです、とスピッツナー氏は警告しました。
「私のクライアントの中には、毎週 400 通から500 通のメールを受け取っている方がいらっしゃいます」とヴィシュワナート氏は述べました。 「これらすべてのメールを精査し、フィッシングの事例をすべて見つけ出せるよう彼を訓練するのは、人間に求めるにはあまりにも過酷なことです。」
うっかりクリックしてしまうことはどうしても起こり得ますが、決して罰せられるべきではありません。 組織によっては、そうしているところもあります。 スピッツナー氏は、効果的なプログラムとは、率直さを奨励し、失敗を学びの機会と捉え、 従業員を防御のパートナーとして位置づけるものであると反論しています。。
「誰も叱られるべきではありません」と彼は言いました。 「セキュリティ意識の重要な要素の一つは、万が一ミスが発生した場合でも、安心して報告できる風土を築くことです。 「罰を与えるようなことはしたくないでしょう。」
また、トレーニングだけに頼るのもよくありません。 教育を受けた従業員であっても、見落としがあるものです。 何百通ものメールに埋もれてしまっているあの男性を例に挙げましょう。
「どんなに訓練を重ねても、その負担を軽減することはできません」とヴィシュワナート氏は述べました。 「摩擦や認知的負荷を軽減するためには、彼には間違いなく何らかの技術的なサポートが必要です。」
テクノロジーは重要です――従業員のセキュリティ研修が単なる研修以上の意味を持つ理由
テクノロジーは、 の多要素認証（MFA）、強力なスパムフィルター、および の異常検知 といったツールを用いて、従業員を支援しなければなりません。
研修は、多層防御戦略の一つの層であるべきであり、その基盤であってはならない、と彼は述べました。 システムは、人間の過ちを念頭に置いて設計されるべきです。 従業員が常に脅威に気づくとは限らないという前提に立つべきであり、一部の従業員は見逃してしまうこともあるが、システムがその被害を食い止めるという前提に立つべきです。
の生成AI の台頭に伴い、その設計上の必要性はますます高まっています。 フィッシングメールは、今や洗練されており、説得力があり、大量に作成してもコストがかかりません。 また、攻撃の手口も新たな手段へと移行しています。テキストメッセージ、電話（音声フィッシング、別名「ヴィッシング」）、さらには 従業員の同僚 や上司になりすましたディープフェイク音声まで、その手口は多岐にわたります。
「サイバーセキュリティ啓発月間」の問題点
では、こうした状況の中で、「サイバーセキュリティ啓発月間」はどのような位置づけになるのでしょうか？ この年次行事を単体で行うだけでは、形式的な対応に終始してしまう恐れがあります。 研修モジュールが再び活用され、コンプライアンス記録が更新され、組織は自らがより安全になったと安心するのです。 そして11月になれば、また普段通りの業務に戻り、セキュリティ研修については1年間、厳しくチェックされることはありません。
「最もよくある失敗は、組織が年に一度研修を実施しただけで、それで済んだと思い込んでしまうことです。 それはうまくいきません。”SANS Instituteのサイバーセキュリティ人材育成部門ディレクター、ランス・スピッツナー氏
そのやり方は、もはや通用しません。 研究者たちの間では、研修に代わって、あるいは研修を補完する形で、年間を通じて随時実施されるスキル重視のアプローチを導入すべきだという声がますます高まっています。 数週間または数ヶ月ごとにこうした復習を行うことで、従業員は実践を重ね、フィードバックを受け、学んだことを定着させることができます。 彼らは、それが継続的であり、小分けに提供され、日々の業務フローに組み込まれるべきだと主張しています。 従業員には、ミスを報告するよう奨励すべきであり、罰すべきではありません。 また、組織は、人材育成と、より強固な制度的な保護措置とのバランスを図るべきです。
[関連記事：CISOの成功事例その2――ロサンゼルス郡がフィッシング対策のために従業員をどのように教育（および再教育）しているか]
ヴィシュワナート氏は、その変化は枠組みが進化して初めて訪れるだろうと述べました。
「NISTが人々にフィッシング対策の啓発研修を受けるよう呼びかける限り、CISOたちはそれを購入し続けるでしょう」と彼は述べました。 「チェックリストに沿って進めるほうが簡単です。」
NISTに対して公平を期すならば、チェックリストそのものに問題があるわけではありません。 専門家たちは、真の課題は、 のチェックリスト的な考え方 から脱却し、セキュリティを「生き生きとした実践」として捉えることにあると指摘しています。
「良いトレーニングとは、継続的なものです。 「それは文化的なものなんです」とスピッツナー氏は述べました。 「完璧かどうかが問題なのではありません。 「重要なのは、改善することです。」