साइबर सुरक्षा प्रशिक्षण में अधिक घर्षण की आवश्यकता हो सकती है, कम नहीं

कंपनियों ने वर्षों से साइबर सुरक्षा प्रशिक्षण को पूरा करने में आसान बनाने की कोशिश की है। मॉड्यूल छोटे हो गए हैं, इंटरफ़ेस साफ़ हुए हैं, और पाठ अधिक गेम‑जैसे हो गए हैं। तर्क सरल है: यदि कर्मचारी अधिक जुड़ाव महसूस करते हैं, तो उन्हें अधिक सीखना चाहिए और कम गलतियाँ करनी चाहिए।

एबर्टे विश्वविद्यालय और केप टाउन विश्वविद्यालय के शोधकर्ताओं द्वारा किया गया एक नया अध्ययन उस अनुमान के एक हिस्से को चुनौती देता है।¹ गेमिफिकेशन काम करता है या नहीं, यह पूछने के बजाय, शोधकर्ताओं ने इसे संरचित करने के दो अलग-अलग तरीकों की तुलना की। एक ने सही उत्तरों के लिए उपयोगकर्ताओं को इनाम दिया। दूसरे ने उपयोगकर्ताओं को प्रारंभिक अंक दिए और गलती करने पर उन्हें घटा दिया।

परिणाम संकेत देते हैं कि सबसे आनंददायक साइबर सुरक्षा प्रशिक्षण हमेशा सबसे मजबूत सीखने के परिणाम नहीं दे सकता। बड़े प्रयोग में, हानि‑अवर्जन समूह ने कुल ज्ञान वृद्धि में 10.71% दर्ज किया, जबकि स्थिर‑इनाम समूह ने 4.65% प्राप्त किया। इस बीच, स्थिर इनाम प्राप्त करने वाले प्रतिभागियों ने थोड़ा बेहतर जुड़ाव की रिपोर्ट की, हालांकि दोनों समूहों के बीच कुल जुड़ाव में अंतर सांख्यिकीय रूप से महत्वपूर्ण नहीं था।

यह अंतर महत्वपूर्ण है क्योंकि साइबर सुरक्षा प्रशिक्षण मनोरंजन नहीं है। इसका उद्देश्य यह बदलना है कि लोग वास्तविक फ़िशिंग ईमेल, दुर्भावनापूर्ण अटैचमेंट, नकली वेबसाइट, या समझौता किए गए क्रेडेंशियल के सामने आने पर कैसे व्यवहार करते हैं।

मानव परत अभी भी हमले की सतह का हिस्सा बनी रहती है

साइबर सुरक्षा खर्च traditionally तकनीकी रक्षा पर केंद्रित रहा है: फ़ायरवॉल, एंडपॉइंट सुरक्षा, पहचान प्रबंधन, एन्क्रिप्शन, खतरा पहचान, और बढ़ती हुई AI‑संचालित सुरक्षा संचालन। ये तकनीकें आवश्यक हैं, लेकिन कई हमले अभी भी सफल होते हैं क्योंकि किसी को क्लिक करने, स्वीकृति देने, जानकारी प्रकट करने, या ऐसी चीज़ पर भरोसा करने के लिए मनाया जा सकता है जो उन्हें नहीं करनी चाहिए।

2026 Verizon Data Breach Investigations Report लगातार सामाजिक इंजीनियरिंग, फ़िशिंग, और चोरी किए गए क्रेडेंशियल को आधुनिक उल्लंघन परिदृश्य के प्रमुख घटकों के रूप में पहचानता है। साथ ही, विफलता की अर्थव्यवस्थाएँ अधिक गंभीर होती जा रही हैं। IBM की 2026 Cost of a Data Breach Report ने एक उल्लंघन की वैश्विक औसत लागत को $4.99 मिलियन बताया और AI‑सक्षम हमलों में तीव्र वृद्धि की रिपोर्ट की।

यह एक असहज असमानता पैदा करता है। रक्षा प्रणालियाँ अधिक स्वचालित हो रही हैं, लेकिन हमलावर भी व्यक्तिगतकरण, प्रतिरूपण, जासूसी, और पैमाने के लिए बेहतर उपकरण प्राप्त कर रहे हैं। जैसा कि Securities.io ने अपनी AI-driven ransomware defense कवरेज में जांच किया है, साइबर सुरक्षा अधिक व्यापक लचीलापन की ओर बढ़ रही है, न कि किसी एकल पहचान पर निर्भर रहने की।

कर्मचारी निर्णय‑लेना उस लचीलापन मॉडल के भीतर आता है। एक कार्यकर्ता जो किसी संदिग्ध अनुरोध को इंटरैक्ट करने से पहले नोटिस करता है, वह एक हमले को रोक सकता है इससे पहले कि महंगे तकनीकी नियंत्रणों को प्रतिक्रिया देना पड़े।

अंक खोने से साइबर सुरक्षा सीखने में सुधार क्यों हो सकता है

अध्ययन ने दो वेब एप्लिकेशन उपयोग किए जिनमें समान प्रशिक्षण सामग्री थी लेकिन प्रोत्साहन संरचनाएँ अलग थीं। प्रतिभागियों ने पासवर्ड, सामाजिक इंजीनियरिंग, वेबसाइट सुरक्षा, और दुर्भावनापूर्ण सॉफ़्टवेयर के बारे में सीखा। हानि‑अवर्जन संस्करण में, गलत उत्तर उपयोगकर्ता के स्कोर को घटाते थे। स्थिर‑इनाम संस्करण में, सही उत्तर अंक और क्रमबद्ध बोनस जमा करते थे।

उदाहरण के लिए, सामाजिक इंजीनियरिंग परिदृश्य में, हानि‑अवर्जन प्रतिभागी 60 अंकों से शुरू करते थे और गलतियों के लिए अंक खो देते थे, जहाँ क्रमिक त्रुटियों से बड़े कटौतियां होती थीं। स्थिर‑इनाम प्रतिभागी शून्य से शुरू करते थे और क्रमिक सही उत्तरों के लिए अतिरिक्त अंक अर्जित करते थे।

भेद छोटा लगता है, लेकिन यह सीखने वाले के गलती के अनुभव को बदल देता है। एक चूका हुआ इनाम मतलब कुछ भी प्राप्त नहीं हुआ। एक हानि का अर्थ है कि पहले से मौजूद कुछ गायब हो गया।

शोधकर्ता इस अंतर को संभावित “उत्पादक संज्ञानात्मक घर्षण” के रूप में वर्णित करते हैं। जब गलतियों पर तुरंत लागत लगती है, तो उपयोगकर्ता धीमे हो सकते हैं, जानकारी को अधिक सावधानी से जांच सकते हैं, और तेज़ सहज प्रतिक्रियाओं से अधिक सोच‑समझ कर तर्क की ओर बढ़ सकते हैं।

इसका अर्थ यह नहीं है कि नियोक्ताओं को प्रशिक्षण को जानबूझकर अप्रिय बनाना चाहिए। अत्यधिक दंड निराशा या निर्णय‑अस्थिरता पैदा कर सकते हैं। अधिक उपयोगी अंतर्दृष्टि यह है कि घर्षण को डिज़ाइन किया जा सकता है। सुरक्षा प्रशिक्षण को अनिवार्य रूप से कर्मचारी और पाठ्यक्रम पूर्णता के बीच हर बाधा को हटाने की आवश्यकता नहीं है।

साइबर सुरक्षा प्रशिक्षण को पूर्णता के बजाय निर्णयों के अनुकूल होना चाहिए

कई कॉरपोरेट प्रशिक्षण प्रणालियों को अभी भी पूर्णता दर, मॉड्यूल में बिताया गया समय, क्विज़ स्कोर, या कर्मचारी संतुष्टि जैसे मीट्रिक के माध्यम से मापा जाता है। ये आँकड़े एकत्र करना आसान होते हैं, लेकिन वे गलत अनुकूलन लक्ष्य को प्रोत्साहित कर सकते हैं।

यदि लक्ष्य सुरक्षा घटनाओं को कम करना है, तो एक बेहतर मॉडल कम से कम तीन परिणामों में अंतर करेगा:

• क्या कर्मचारी प्रशिक्षण पूरा करते हैं,
• क्या वे मौलिक सुरक्षा ज्ञान को बनाए रखते हैं, और
• क्या वे वास्तविक खतरे का सामना करने पर उस ज्ञान को सही ढंग से लागू करते हैं।

गेमिफिकेशन इन तीनों को समर्थन दे सकता है, लेकिन समान तंत्र प्रत्येक को अधिकतम नहीं कर सकते। अध्ययन इसे स्पष्ट रूप से दर्शाता है। निश्चित पुरस्कारों ने अधिक मजबूत वर्णनात्मक सहभागिता प्रोफ़ाइल उत्पन्न की। हानि‑अवरोधन ने कुल मिलाकर अधिक ज्ञान वृद्धि प्रदान की।

इसका कंपनियों के सुरक्षा जागरूकता सॉफ़्टवेयर के तैनाती पर प्रभाव पड़ता है। हर कर्मचारी को समान वार्षिक मॉड्यूल देने के बजाय, संगठन व्यवहार के आधार पर प्रशिक्षण को अधिक अनुकूलित कर सकते हैं। वह उपयोगकर्ता जो बार‑बार सिम्युलेटेड फ़िशिंग ईमेल की पहचान करता है, उसे कम हस्तक्षेप की आवश्यकता हो सकती है। जो व्यक्ति नियमित रूप से संदिग्ध लिंक पर क्लिक करता है, उसे अधिक बार अभ्यास, मजबूत प्रतिक्रिया, या जोखिमपूर्ण कार्यों से पहले अतिरिक्त घर्षण की आवश्यकता हो सकती है।

यह दृष्टिकोण सुरक्षा प्रशिक्षण को अनुपालन अभ्यास से व्यवहार नियंत्रण प्रणाली में बदल देता है। यह निरंतर साइबरसुरक्षा की व्यापक प्रवृत्ति के साथ भी मेल खाता है। Recent Securities.io की कवरेज ने एजेंटिक साइबरसुरक्षा प्लेटफ़ॉर्म को दिखाया है कि स्वचालित सुरक्षा संचालन कितनी तेज़ी से विकसित हो रहे हैं। मानव‑जोखिम प्रणालियाँ समान मार्ग पर विकसित हो सकती हैं, लगातार व्यवहार को मापकर और प्रशिक्षण को समायोजित करके, वार्षिक रिफ्रेशर की प्रतीक्षा करने के बजाय।

एआई मानव साइबर जोखिम को कम नहीं, बल्कि अधिक महत्वपूर्ण बनाता है

एआई सुरक्षा जागरूकता पर पुनर्विचार करने का एक और कारण प्रस्तुत करता है। हमलावर जनरेटिव सिस्टम का उपयोग अधिक विश्वसनीय संदेश बनाने, लेखन शैली की नकल करने, जासूसी को तेज़ करने, और प्रभावशाली प्रतिरूपण प्रयासों के लिए कर सकते हैं। रक्षक समान तकनीक का उपयोग खतरों को फ़िल्टर करने, विश्लेषण को स्वचालित करने, और असामान्य व्यवहार की पहचान करने के लिए कर सकते हैं।

परिणाम यह नहीं है कि साइबरसुरक्षा से मानव को हटाया जाए। यह उन निर्णयों के प्रकार में परिवर्तन है जो मानव को लेने पड़ते हैं। कर्मचारियों को increasingly उन अनुरोधों का मूल्यांकन करना पड़ता है जो परिष्कृत, व्यक्तिगत और संदर्भात्मक रूप से विश्वसनीय लग सकते हैं।

यही कारण है कि मानव परत को ऐसी शर्मनाक कमजोरी के रूप में नहीं देखा जाना चाहिए जिसे तकनीक अंततः समाप्त कर देगी। यह एक और सुरक्षा सतह है जिसे मॉनिटर, प्रशिक्षित और सुधारा जा सकता है। Securities.io का व्यापक दृष्टिकोण साइबरसुरक्षा कंपनियाँ इस बात को दर्शाता है कि यह क्षेत्र पहले से ही एकीकृत प्लेटफ़ॉर्म की ओर बढ़ रहा है जो कई प्रकार की सुरक्षा को मिलाकर प्रत्येक खतरे को अलग‑अलग नहीं बल्कि समग्र रूप से संभालता है।

अध्ययन AI-सक्षम प्रशिक्षण प्रणालियों के लिए एक उपयोगी चेतावनी भी प्रदान करता है। निजीकरण का अर्थ यह नहीं होना चाहिए कि सब कुछ आसान हो जाए। एक बुद्धिमान प्रशिक्षण प्लेटफ़ॉर्म अधिक मूल्यवान हो सकता है यदि वह जानता हो कि कब कठिनाई प्रस्तुत करनी है, कब दोबारा विचार करना आवश्यक है, और कब उपयोगकर्ता को खराब निर्णय के लिए परिणाम का सामना करना चाहिए।

मानव जोखिम प्रबंधन में निवेश

साइबरसुरक्षा क्षेत्र में निवेशकों के लिए, उभरता मानव‑जोखिम परत एक विस्तारित बाजार में एक और आयाम जोड़ता है। इस क्षेत्र को सीधे संबोधित करने वाली एक कंपनी Fortinet है।

Fortinet और सुरक्षा जागरूकता प्रशिक्षण

Fortinet का FortiSAT platform सुरक्षा जागरूकता प्रशिक्षण को फ़िशिंग सिमुलेशन, जोखिम स्कोरिंग, व्यवहार मापन, और लक्षित सुधार के साथ जोड़ता है। शोध से महत्वपूर्ण कनेक्शन यह नहीं है कि Fortinet ने पेपर में परीक्षण किए गए सटीक हानि‑अवरोधन डिज़ाइन का उपयोग किया है। बल्कि, FortiSAT व्यापक प्रवृत्ति को दर्शाता है जहाँ कर्मचारी व्यवहार को एक बार के अनुपालन दायित्व के बजाय मापनीय सुरक्षा डेटा माना जाता है।

यह प्लेटफ़ॉर्म उच्च‑जोखिम वाले उपयोगकर्ताओं की पहचान कर सकता है, विफल फ़िशिंग सिमुलेशन के बाद सुधारात्मक प्रशिक्षण सौंप सकता है, और व्यवहारिक परिणामों को व्यापक सुरक्षा नियंत्रणों से जोड़ सकता है। यह एक अधिक परिपक्व मॉडल है, न कि केवल हर कर्मचारी को साल में एक बार समान वीडियो देखने के लिए बाध्य करना।

निवेशकों के लिए, Fortinet न केवल पारंपरिक नेटवर्क सुरक्षा, बल्कि तकनीकी नियंत्रण, उपयोगकर्ता व्यवहार, विश्लेषण, और निरंतर सुरक्षा शिक्षा के संगम में भी एक्सपोज़र प्रदान करता है।

साइबरसुरक्षा को वांछित कठिनाई की आवश्यकता हो सकती है

शोध का सबसे मजबूत निष्कर्ष यह नहीं है कि दंड पुरस्कार से बेहतर है। अध्ययन अन्वेषणात्मक है, नमूने अपेक्षाकृत छोटे हैं, और शोधकर्ता सीमाओं को स्वीकार करते हैं, जिसमें असंगत मूल्यांकन, प्रश्न कठिनाई में संभावित अंतर, और बाद के मॉड्यूल में संज्ञानात्मक थकान शामिल है।

अधिक स्थायी विचार यह है कि प्रभावी साइबरसुरक्षा प्रशिक्षण को कुछ हद तक वांछित कठिनाई की आवश्यकता हो सकती है। वह कर्मचारी जो कोर्स को जल्दी से पूरा कर लेता है, वह पर्याप्त सीख नहीं पाएगा जिससे दबाव में बेहतर निर्णय ले सके।

जैसे-जैसे हमलावर तेज़ और अधिक प्रभावशाली होते जा रहे हैं, उद्यमों को साइबरसुरक्षा प्रशिक्षण को इस आधार पर मापना होगा कि कर्मचारी वास्तव में क्या सीखते हैं और कैसे व्यवहार करते हैं, न कि केवल यह कि उन्होंने अनुभव का आनंद लिया या नहीं। अगली पीढ़ी के मानव‑जोखिम प्लेटफ़ॉर्म इसलिए सहभागिता से अधिक अर्थपूर्ण चीज़ पर प्रतिस्पर्धा करेंगे: सही क्षण पर सही मात्रा में घर्षण पैदा करने की उनकी क्षमता, जो निर्णय को सुधारती है।

संदर्भ:

¹ Carle, N., Ophoff, J., & Shepherd, L. (2026). गेमिफाइड साइबर सुरक्षा प्रशिक्षण में प्रोत्साहन डिज़ाइन: हानि‑अवरोधन और निश्चित पुरस्कारों की भूमिकाएँ। Computers & Security. https://doi.org/10.1016/j.cose.2026.105187