これらは、従業員が義務付けられたセキュリティ意識向上研修の動画について、通常は聞かれるような感想ではありません。
「楽しくてワクワクします！！！」
「素晴らしいストーリーテリングですね。」
「強烈ですね。」
人的リスク管理コンテンツの主要な制作会社であるリビング・セキュリティが制作した映画シリーズには、こうした好意的なコメントが相次ぎました。 『ボーン』 シリーズを彷彿とさせる本作は、退屈な企業向けチュートリアルとは一線を画しています。「『Born Secure: Training Grounds』」は、平凡な会社員からエリートサイバー工作員へと転身したジェイコブ・ウェッブ氏の冒険を描いた作品です。彼は、 『マトリックス』のような手法で、秘密結社に属する倫理的なスーパーハッカーたちによってスカウトされます。 シリーズの予告編では、不気味な音楽が響き渡る中、ジェイコブが防犯カメラを怪訝そうな表情で見つめている様子が映し出されます。 誰かが走ってきて、椅子がひっくり返り、頭上ではドローンの羽音が響き渡り、ジェイコブはセキュリティドアから飛び出して、まばゆいばかりの太陽の下へと飛び出しました。
これは、職場での行動に実際の変化をもたらすどころか、むしろ白目を向かれることになりがちな、ありふれた退屈なパワーポイントのプレゼンとは、雲泥の差があります。
によると、97％の組織（ ）において、セキュリティ意識向上 トレーニングは、内容そのものを目的として行われがちですが、その手法は効果がないと、Living Securityの創業者であり、CSO（最高セキュリティ責任者）兼戦略開発責任者であるドリュー・ローズ氏は述べています。 「ただ、チェックリストの項目を一つ済ませただけでした」とローズさんは言います。 その社員は課題をこなしましたが、それ以上の関与はありませんでした。 こうした形だけのセッションは、退屈であるだけでなく――アナリストによれば、それゆえに効果も乏しい――、参加者が実際に何かを学んだかどうかを判断するための評価指標も欠けているのです。
「学習と能力開発は、継続的かつ参加型の、現実の危機を想定したシミュレーションを通じて行われる場合に最も効果的です」と、英国に拠点を置き、ボストンにもオフィスを構えるトレーニングセンター「イマーシブ・ラボズ」の人材科学部門ディレクター、ベック・マッケオン氏は説明しています。同センターは、サイバー能力や従業員のレジリエンスを検証・測定しています。
こうした教育コンテンツを面白く、双方向性のあるものにすることで、従業員が休憩時間などに研修について話し合うようになり、サイバーセキュリティをより真剣に受け止めるようになることが期待されています。
人間こそが最も弱い環なのです
組織のサイバー防衛において、人間が最も脆弱な部分であるということは、かねてより広く認識されてきましたが、適切な研修を行うことで、この問題を改善することができます。具体的には、潜在的なリスクに対する認識を高め、警戒心を強めるほか、士気を向上させ、 従業員が組織全体のサイバーセキュリティ体制において自らが果たす役割について、より理解を深められるようにする ことが挙げられます。
「継続的かつ魅力的な実生活に基づく危機シミュレーションを通じて提供される学習・開発は、最も効果的です。」イマーシブ・ラボズの人間科学部門ディレクター、ベック・マッケオン氏
「企業は、レジリエンスを確保するためには、ツールや技術だけではもはや不十分であり、個人やチームの能力も同様に重要であることを、ますます認識しつつあります」と、公認心理士であり、イマーシブ・ラボのサイバー人材心理学部門ディレクターを務めるジョン・ブライス博士は述べています。 「多くの従業員は、味気ないプレゼンテーションにうんざりしている一方で、他の従業員は、クリックして進むだけの陳腐なeラーニング講座に疲れ果て、何時間も受講しても何も学べないという状況にあります。」
そして、この問題は、皆さんが思っているよりも早い段階から始まっているようです。
従業員は、退屈なプレゼンテーションやeラーニングの講座を実際に目にする前から、すでにセキュリティ意識向上研修に対してやる気を失っていることがよくあります。 その発端は、社内の技術系社員と非技術系社員の間の隔たりにあります。
ローズ氏は、テクノロジー業界の一部の人々の間には、技術分野以外の同僚を、知識や理解が浅いと見なす傾向があることを認めています。 技術部門以外の従業員が尊重されていると感じていなければ、問題が発生した際にIT部門やセキュリティチームに相談する可能性は低くなります。
[関連記事：忠実な従業員でさえ、サイバーセキュリティポリシーに違反することがある――その理由とは]
専門家によると、エンドユーザーは企業のリスクに非常に大きな影響を与えるため、技術部門と非技術部門の間で、より一層の関係構築に努める必要があるとのことです。 こうした点を踏まえ、経営幹部たちは、双方の距離を縮め、コミュニケーションを改善し、長期的にはリスクをより効果的に軽減する方法として、ゲーミフィケーションや、豪華な景品が用意されたコンテストといった手法を取り入れています。
また、こうしたリーダーたちは研修内容についてもより厳しい目で検討しており、パワーポイントを使ったプレゼンテーションを廃止し、いわばNetflixで流れていても違和感のないようなコンテンツを取り入れています。
映画を見に行きましょう！
KnowBe4’s 社のチーフ・エバンジェリスト兼戦略責任者であるペリー・カーペンター氏は、優れたセキュリティ意識向上トレーニング動画の目的は2つあると述べています。 セキュリティ部門の責任者には、自チームと従業員との関係を深めることができる製品が必要です。そのためには、従業員に対して 彼らの利益を大切にしていることを示すことが重要です。 また、人間的な、感情的なレベルで彼らと関わりを持つことも大切です。そうすることで、情報をより深く定着させる可能性が高まるからです。
「転職したにもかかわらず、エピソードを見逃さないために、わざわざ当サービスに登録してくれる従業員の話も耳にします。」ペリー・カーペンター氏、 KnowBe4社 チーフ・エバンジェリスト兼戦略責任者
より優れたセキュリティ啓発資料を作成するため、 KnowBe4 やLiving Securityといったセキュリティ企業は、従業員が余暇をどのように過ごしているか、またどのようなコンテンツに関心を寄せているかに注目しました。 ネタバレ：人々は映画を観たり、テレビドラマを一気見したりするのが好きです。 セキュリティ意識向上のための研修用映像でも、同じようなエンターテインメントを再現できない理由などありませんでした。
Showtimeの『 』や『Homeland』 、Foxの『24』などに倣い、 KnowBe4 は『The Inside Man』というマルチシーズンシリーズを制作しました。この作品は、典型的なエピソード形式を採用し、レギュラーキャストが登場するほか、さまざまなセキュリティリスクを巡るストーリーが展開されます。 シーズン 4 では、国際的なエネルギー企業 に対するランサムウェア攻撃や、ディープフェイクに騙された世界的なインフルエンサーの苦難が描かれました。 『 』シーズン 5 の予告編（ ）が1月に公開されました。
カリフォルニア州ウェストレイク・ビレッジに拠点を置くセキュリティ研修会社「Ninjio」は、アニメーションを採用しました。 この制作会社は、3～4分間のアニメ調の動画「 」（ ）を制作しており、ビジネスメール詐欺（ ）から、パスワード保護（）に至るまで、あらゆるテーマを取り上げています。脚本は、 『CSI: NY』（ ）や、『ハワイ・ファイブ・オー』（ ）などの作品を手がけたハリウッドの脚本家たちが担当しています。
一方、リビング・セキュリティの動画は、ほぼすべての方に楽しめる内容となっています。 リアリティ番組はお好きですか？ それなら、「The Cyber Race,」も気に入っていただけるかもしれません。これは、エミー賞を受賞した大ヒット番組『 Amazing Race』へのオマージュ作品で、世界中を旅するペアが手がかりを探し、デジタルアイデンティティやフィッシング、その他のセキュリティ問題に関連する課題をクリアしていく内容となっています。 料理番組の愛好家の方々は、「サイバーキッチン」を通じて、新しいレシピを作りながらサイバーセキュリティについて学ぶことができます。 また、深夜のトーク番組や人気映画、シットコムのパロディに加え、不気味なほどリアルな実録犯罪風ドキュメンタリー『 』（ ）もあり、視聴者にの内部脅威の兆候について解説しています。
セキュリティ意識向上研修は、魅力的なストーリーから始まります
組織行動学の専門家たちは、ステークホルダーの関与を促す効果的な手段として、ストーリーテリングの力をかねてより高く評価してきました。 心理学者の研究によると、巧みに語られた物語に込められた教訓は、事実や数字から導き出されたものよりも、より長く、より正確に記憶されることが分かっています。 また、ジョンズ・ホプキンス大学の研究者たちは最近、がん、糖尿病、高血圧の患者に行動変容を促す手段として、ストーリーテリングの有効性を指摘しました。
「セキュリティ啓発研修は、『セキュリティとは何か』というモデルから『なぜセキュリティが重要なのか』というモデルへと移行しつつあります。」ドリュー・ローズ氏、リビング・セキュリティの創業者、最高戦略責任者（CSO）、および戦略開発責任者
この映像形式の研修映像が効果的である理由は、支持者たちによれば、受講者がそれを時間の無駄だと感じないからだとされています。 仕事の一環として、楽しみながら何かを見られる良い機会です。 視聴者は、その作品にすっかりのめり込んでしまうかもしれません。
「セキュリティチームから、『スタッフたちが次のエピソードやシーズンを待ち望んでいる』という内容のメールが届くんです」と、 KnowBe4’s カーペンター氏は述べています。 「転職したにもかかわらず、エピソードを見逃さないために、わざわざ当社に会員登録する従業員の話も耳にします。」
[関連記事：なぜ今、すべての従業員がサイバーセキュリティチームの一員でなければならないのか、そしてそれを実現する方法]
リビング・セキュリティ社のローズ氏は、映画形式の映像への移行を、セキュリティ意識向上トレーニングにおける論理的な次のステップだと捉えています。
「セキュリティ意識向上の研修は、『セキュリティとは何か』というモデルから、『なぜセキュリティが重要なのか』というモデルへと移行しつつあります」とローズ氏は述べています。 のフィッシング や、 のランサムウェア については、皆さんご存知のことと思います。 同氏によると、これらの映像は、サイバーインシデントが組織にどのような影響を与えるかをより詳細に示しているとのことです。 また、これらは業界が「セキュリティ意識向上研修」という概念から「人的リスク管理」へと進化してきたことを示しています。 従業員はセキュリティについて認識しています。 さて、そろそろ彼らのリスクを管理する時期が来ました。
カーペンター氏によれば、そうすることで、経営陣やセキュリティ担当者は、従業員の行動だけでなく、職場文化全体にも影響を与えることができるとのことです。
ですから、これらの作品は今週のアカデミー賞授賞式や、今年後半に放送されるエミー賞の授賞式で受賞候補として名前が挙がることはないでしょうが、組織の安全を守る上で大いに役立つことでしょう。 それこそが、どんなトロフィーよりも価値があるのです。
