サイバーセキュリティ研修は、簡素化ではなく、むしろ摩擦を増やす必要があるかもしれません

企業は何年もかけて、サイバーセキュリティ研修を完了しやすくしようとしてきました。モジュールは短くなり、インターフェースは洗練され、レッスンはゲームのようになっています。その論理は単純です。従業員のエンゲージメントが高まれば、学習効果が上がり、ミスが減るはずです。

Abertay University と University of Cape Town の研究者による新しい研究は、その前提の一部に異議を唱えています。¹ ゲーミフィケーションが有効かどうかを問うのではなく、研究者はその構造を二つの異なる方法で比較しました。一方は正解に対してユーザーに報酬を与え、もう一方はユーザーがポイントで開始し、ミスをするとポイントを失う仕組みです。

結果は、最も楽しいサイバーセキュリティ研修が必ずしも最も高い学習成果をもたらすとは限らないことを示唆しています。大規模実験では、損失回避群は全体的な知識向上が 10.71% と記録されたのに対し、固定報酬群は 4.65% でした。一方、固定報酬を受けた参加者はやや高いエンゲージメントを報告しましたが、両群間の全体的なエンゲージメントの差は統計的に有意ではありませんでした。

この区別は重要です。サイバーセキュリティ研修はエンターテイメントではなく、実際のフィッシングメールや悪意ある添付ファイル、偽サイト、あるいは侵害された認証情報が目に入ったときに人々の行動を変えることが目的です。

人的層は依然として攻撃対象領域の一部である

サイバーセキュリティへの投資は従来、ファイアウォール、エンドポイント保護、アイデンティティ管理、暗号化、脅威検知、そしてますます AI を活用したセキュリティオペレーションといった技術的防御に焦点を当ててきました。これらの技術は不可欠ですが、多くの攻撃が成功するのは、誰かがクリック、承認、情報開示、あるいは信頼すべきでないものを信じるよう説得されてしまうからです。

2026 Verizon Data Breach Investigations Report は、ソーシャルエンジニアリング、フィッシング、盗まれた認証情報が現代の侵害シーンの主要要素であることを引き続き指摘しています。同時に、失敗の経済的コストはますます深刻化しています。IBM の 2026 Cost of a Data Breach Report は、世界平均の侵害コストを 4.99 百万ドルとし、AI を活用した攻撃の急増を報告しました。

これにより不快な非対称性が生まれます。防御システムはますます自動化されつつありますが、攻撃者もパーソナライズ、なりすまし、偵察、規模の面でより高度なツールを手に入れています。Securities.io が AI-driven ransomware defense に関する報道で指摘しているように、サイバーセキュリティは単一の検知層に依存するのではなく、より広範なレジリエンスへとシフトしています。

従業員の意思決定はそのレジリエンスモデルの中に位置付けられます。疑わしいリクエストに対し、実際に操作する前に気付く従業員は、コストのかかる技術的防御が介入する前に攻撃を阻止できるのです。

ポイントを失うことがサイバーセキュリティ学習を向上させる理由

本研究では、同一の研修コンテンツを持つがインセンティブ構造が異なる二つのウェブアプリケーションを使用しました。参加者はパスワード、ソーシャルエンジニアリング、ウェブサイトのセキュリティ、マルウェアについて学習しました。損失回避バージョンでは、誤答がユーザーのスコアを減少させました。一方、固定報酬バージョンでは、正答がポイントと連続正解ボーナスとして蓄積されました。

例えばソーシャルエンジニアリングのシナリオでは、損失回避の参加者は 60 ポイントで開始し、ミスごとにポイントを失い、連続ミスで減点が大きくなります。固定報酬の参加者はゼロから開始し、連続正解ごとに追加ポイントを獲得します。

差は些細に思えるかもしれませんが、学習者がミスを体感する方式を変えます。報酬が得られなかっただけでは何も得られなかったことを意味しますが、損失は既に持っていたものが消失したことを意味します。

研究者はこの差異を「生産的認知摩擦」の一形態と表現しています。ミスに即時のコストが伴うと、ユーザーはペースを落とし、情報をより慎重に検証し、迅速な直感的反応からより熟慮した推論へと移行する可能性があります。

これは、雇用主が研修を意図的に不快にすべきだという意味ではありません。過度なペナルティはフラストレーションや意思決定の麻痺を招く恐れがあります。より有用な洞察は、摩擦は設計できるということです。セキュリティ研修が従業員とコース完了の間のすべての障壁を取り除く必要があるわけではありません。

サイバーセキュリティ研修は完了率ではなく意思決定の最適化を目指すべき

多くの企業研修システムは、完了率、モジュールでの滞在時間、クイズの得点、従業員満足度といった指標で測定されています。これらの数値は取得が容易ですが、誤った最適化目標を促す可能性があります。

目的がセキュリティインシデントの削減であるなら、少なくとも三つの結果を区別するモデルの方が適切です。

• 従業員が研修を完了したかどうか、
• 彼らが基礎的なセキュリティ知識を保持しているか、そして
• 実際の脅威に直面した際にその知識を正しく適用できるか。

ゲーミフィケーションはこの3つすべてを支援できるが、同じメカニズムがそれぞれを最大化するとは限らない。本研究はそれを明確に示している。固定報酬はより強い記述的エンゲージメントプロファイルを生み出し、損失回避は全体的な知識獲得の増加をもたらした。

これは企業がセキュリティ意識向上ソフトウェアを展開する方法に影響を与える。すべての従業員に同一の年次モジュールを提供するのではなく、組織は観測された行動に合わせてトレーニングを徐々に適応させることができる。シミュレーションされたフィッシングメールを繰り返し識別できるユーザーはほとんど介入を必要としない。一方、疑わしいリンクを頻繁にクリックする人は、より頻繁な演習、強化されたフィードバック、あるいはリスクのある行動の前に追加の摩擦が必要になる可能性がある。

そのアプローチはセキュリティトレーニングをコンプライアンス的演習から行動制御システムへと変える。また、継続的サイバーセキュリティへの広範な動きにも合致する。最近のSecurities.ioによるエージェント型サイバーセキュリティプラットフォームに関する報道は、自动化されたセキュリティ運用がいかに急速に進化しているかを示している。人的リスクシステムは、行動を継続的に測定し、年次リフレッシュを待つのではなくトレーニングを調整することで、同様の軌道をたどることができる。

AIは人的サイバーリスクを減らすのではなく、むしろ重要性を高める

AIはセキュリティ意識を再考する別の理由を生み出す。攻撃者は生成システムを利用して、より説得力のあるメッセージを作成し、文体を模倣し、偵察を加速させ、説得的ななりすましを実行できる。防御側も同様の技術を用いて脅威をフィルタリングし、分析を自動化し、異常な行動を特定できる。

結果として人間がサイバーセキュリティから排除されるわけではない。人間が下すべき意思決定の種類が変わるだけである。従業員は、洗練され、パーソナライズされ、文脈的に信頼できるように見える要求を判断する必要性が高まっている。

これが、人間層を最終的に技術が排除する恥ずかしい弱点として扱うべきでない理由である。それは監視・訓練・改善できる別のセキュリティ領域でもある。Securities.ioのより広範な調査はサイバーセキュリティ企業を取り上げ、業界がすでに複数の保護形態を組み合わせた統合プラットフォームへと移行しつつあることを示している。

本研究はAI対応トレーニングシステムに対する有用な警告も提供している。パーソナライズが自動的にすべてを容易にすることを意味すべきではない。インテリジェントなトレーニングプラットフォームは、難易度を導入すべきタイミング、再確認を要求すべきタイミング、そして不適切な判断に対して結果を経験させるべきタイミングを把握できる場合、より価値があると言える。

人的リスクマネジメントへの投資

サイバーセキュリティ分野に関心のある投資家にとって、新たに浮上した人的リスク層は、すでに拡大しつつある市場に別の次元を加える。これに直接取り組んでいる企業の一つがFortinetである。

Fortinetとセキュリティ意識向上トレーニング

FortinetのFortiSAT platformは、セキュリティ意識向上トレーニングとフィッシングシミュレーション、リスクスコアリング、行動測定、ターゲット型リメディエーションを組み合わせている。研究との重要な関連は、Fortinetが論文でテストされた正確な損失回避設計を使用しているかどうかではなく、FortiSATが従業員の行動を一度きりのコンプライアンス義務ではなく、測定可能なセキュリティデータとして扱うという、より広範な潮流を反映している点にある。

このプラットフォームはリスクの高いユーザーを特定し、フィッシングシミュレーションに失敗した後に補修トレーニングを割り当て、行動結果を広範なセキュリティコントロールと結びつけることができる。これは、すべての従業員が年に一度同じビデオを見るだけという単純なモデルよりも成熟したアプローチである。

投資家にとって、Fortinetは従来のネットワークセキュリティへのエクスポージャーだけでなく、技術的コントロール、ユーザー行動、分析、継続的なセキュリティ教育の融合にも関わることを意味する。

サイバーセキュリティには適度な難易度が必要かもしれない

研究からの最も強い示唆は、罰則が報酬より優れているということではない。研究は探索的であり、サンプルは比較的小規模で、研究者はペアでない評価、質問の難易度の違いの可能性、後半モジュールでの認知的疲労などの制限を認めている。

より持続的な考え方は、効果的なサイバーセキュリティトレーニングにはある程度の「望ましい難易度」が必要になる可能性があるということだ。コースを軽くこなす従業員は、プレッシャー下でより良い判断を下すために十分に学んでいないにもかかわらず、自信を持ってしまうかもしれない。

攻撃者がますます高速かつ説得力を増す中、企業は従業員が実際に何を学び、どのように行動するかでサイバーセキュリティトレーニングを測定する必要がある。単に体験が楽しかったかどうかだけでは不十分である。次世代の人的リスクプラットフォームは、エンゲージメント以上の意味ある指標、すなわち判断力を向上させる正確な瞬間に適切な摩擦を生み出す能力で競争するだろう。

参考文献：

¹ Carle, N., Ophoff, J., & Shepherd, L. (2026). ゲーミフィケーションされたサイバーセキュリティトレーニングにおけるインセンティブ設計：損失回避と固定報酬の役割. Computers & Security. https://doi.org/10.1016/j.cose.2026.105187