セキュリティ教育の進め方｜フィッシング訓練・効果測定とAI活用

セキュリティ意識向上トレーニング（Security Awareness Training：SAT）は、従業員が業務で直面する脅威を理解し、確認・相談・報告などの行動を取れるようにする教育の取り組みです。受講や模擬メールの結果だけで終えず、報告を受ける体制や技術的な対策につなげます。本記事では2026年10月に確認した公的資料・公式情報を基に、計画、フィッシング訓練、効果の測定、AIの活用方法を整理します。

セキュリティ教育は、業務で取る行動から設計する

教育の目的は、知識を覚えることに加えて、業務の中で必要な行動を取れる状態にすることです。不審な依頼に気付く、別の経路で確認する、情報の共有先を確かめる、操作してしまった場合に速やかに報告するなど、具体的な行動を定めます。すべての事故を従業員の注意力で防ぐ前提にはせず、メールの防御、認証、権限、検知や復旧の仕組みと組み合わせます。組織のどこで何を確認するかが曖昧なままでは、教材を増やしても実行しにくくなります。

NIST SP 800-50 Rev.1の公式公開概要は、学習プログラムを継続して開発・管理する考え方を示し、行動の変化、組織の文化、測定と評価による更新を扱っています。これは米国の連邦機関等を対象とする指針であり、そのまま日本の全企業への法的義務を定めるものではありません。自社では、扱う情報、業務、役割と既存ルールに合わせて、教育の対象と到達点を具体化しましょう。

例えば経理なら支払先変更の確認、営業なら顧客情報の共有、開発なら秘密情報や権限の扱いなど、必要な判断が異なります。全員に共通する基本と、業務別の演習を組み合わせます。新入社員だけでなく、異動、システムの変更、新しい脅威やインシデントなどを見直しの契機にします。頻度はリスク、理解度、実行できる負担に合わせ、月次や四半期という回数だけを全企業共通の正解にしないことが大切です。

教材では、自社で使う相談先や操作方法まで示します。パスワードの使い回し防止や保管はパスワード管理の基本、認証方法の整理はMFA・多要素認証の仕組みと導入も参照できます。手順を知っていることと、必要な設定・権限を持って実行できることを分けて確認します。利用できない手順を従業員に要求せず、システムの担当者と改善する流れを用意しましょう。

教育を増やす際も、対象と負担を見直します。IPAのフォローアップ教育に関する公開事例では、結果から苦手分野を特定し、管理部門での試行と改善を経て展開する取り組みが紹介されています。この一事例を全社共通の効果保証にせず、自社でも小さく試し、理解しにくい内容や実行を妨げるルールを修正します。教育の実施数に加えて、現場で行動できる条件を整えることが重要です。

全従業員への教育と、部門・専門担当の育成を合わせて計画する場合は、セキュリティ人材育成のスキル整理・資格選びと実務評価も参照できます。必要な仕事、現状の根拠と未評価の範囲を整理し、学習後に確認する成果物、判断・代理担当と学習時間を決めます。受講者数や資格の取得数に加え、報告を受けて対応できる体制まで確認します。

フィッシング訓練は、報告と対応の流れまで試す

模擬メールを使う訓練では、何を確かめるかを先に決めます。不審な内容に気付けるか、リンクや添付を操作した場合にも報告できるか、窓口が受け付けて必要な判断につなげられるかなどです。対象者、実施時間、扱う内容、利用する環境、取得するデータと閲覧者を整理し、責任者が承認した範囲で実施します。実際の認証情報や機密情報を集めることを目的にせず、対象外の取引先や組織へ影響が広がらないようにします。

従業員には、不審なメールを見つけたときや操作してしまったときに、どこへ何を報告するかを知らせておきます。報告ボタンや専用窓口を用意する場合は、普段使う端末から利用できるか、不在時の連絡先はあるか、報告後に何を案内するかまで確認します。窓口の確認が済むまでの行動は自社の手順に定め、訓練メールの指示だけを信じて操作を進める状態を作らないようにします。

IPAの初動対応・報告に関する公開事例は、開封等の指標に加えて報告率や報告の速さを確認し、報告しにくさの原因を調べる取り組みを紹介しています。訓練結果の使い方として、個人を責めるだけでなく、連絡しやすい経路とフォローを整えることが重要です。操作した人だけを問題として扱うと、未報告の原因や窓口の分かりにくさを見落とすおそれがあります。

訓練サービスの選定では、教材の量やAI機能だけでなく、対象者の管理、言語・アクセシビリティ、報告経路、データの保存、権限と結果の出力を確認します。例えばMicrosoft Defender for Office 365の公式訓練案内では、Plan 2等のライセンスや役割に応じた権限、対象と実施計画、行動に応じた訓練を説明しています。Microsoft 365を利用しているというだけで同じ機能を使えるとは限らず、契約と実環境の対応を確認します。

演習後は、気付くための手掛かり、取るべき行動、連絡方法を振り返ります。報告した人へ受け付けたことを伝え、窓口側も受付、確認、必要な対処、終了の連絡まで試します。実施中に本物の不審メールが見つかった場合の切り分けも決めます。結果の公開範囲は教育目的に合うものとし、個人の失敗を並べるより、改善する手順・担当・期限を残す運用が実務的だと私たちは考えます。

効果測定では、難易度・対象・分母と報告の状況をそろえる

クリック率が下がっただけで、実際の被害が同じ割合で減ったとは判断できません。NISTによるPhish Scaleの研究概要は、模擬メールの見抜きにくさと受信者の業務上の文脈によって、クリック率が変わる点を示しています。内容が簡単になった、前回とよく似ていた、対象者が変わったといった違いを確認します。研究や提供会社の集計結果を、そのまま自社の事故防止率へ置き換えないようにしましょう。

測る対象	定義・確認したい点
受講・理解	対象者と受講者、確認問題の対象範囲と正誤、理解できなかった内容を分けます。
クリック・添付操作	何を操作として記録するか、配信対象・到達した人数のどちらを分母にするかを決めます。
報告	誰がどの窓口へ報告したら数えるか、重複や操作後の報告をどう扱うかを決めます。
報告までの時間	いつから測るかをそろえ、報告した対象の時間と未報告の割合を併せて確認します。
窓口の対応	受付から判断・必要な対処までの時間、連絡漏れや手順が不明だった箇所を記録します。
実際の事象	実インシデントの件数や影響は、訓練の指標と別に、発見・報告の状況も踏まえて追います。

報告はクリックと両立します。操作した後に速やかに報告したケースを、どちらか一方に押し込めないようにします。また、報告までの平均時間が短くても、一部の人しか報告していなければ全体の改善とは言い切れません。どの行動を記録できたか、未報告や記録外の範囲はどこかも示します。部署を比べる場合は、業務、勤務条件、言語、メールの内容と対象人数の違いを確認します。

結果からは、教育内容、報告手順、技術的な設定のどこを変えるかを選びます。報告先を知らなかったのか、窓口に連絡しにくかったのか、確認のための時間や手段がなかったのかを調べます。知識の不足だけを原因にせず、同じ問題が続く場合は運用やシステムを見直します。追加教育の対象や内容は、この原因と対応するものにします。

受講者が学びと実践を記録する方法は、研修報告書のテンプレート・所感例と振り返りも参照できます。学んだ内容、次に試す行動、実際に確認した結果を分け、分からなかった手順や必要な支援を残します。報告書を提出したことだけで教育の効果まで判断せず、現場の行動と窓口の対応につなげます。

頻度や費用の判断も、自社の測定から行います。教材・ライセンスに加え、準備、受講、問い合わせ、分析、フォロー、窓口の対応工数を含めます。市場規模や保険の割引例を、導入の効果や自社の契約条件の根拠として使いません。私たちは、受講・訓練・報告の記録から改善する内容を決め、次の評価で実行できたかを確かめる流れが大切と考えます。

AIによる教育支援を、認証・権限と対応手順の改善へつなげる

AIは、業務別の説明や確認問題の下書き、表現・言語の調整、匿名化した結果の分類などを支援する用途から検討できます。どの自社ルールを根拠にし、誰が正確性と適切さを確認するかを決めます。生成した内容が社内の連絡先や承認手順と一致しているか、個人や取引先の情報を不要に含んでいないかを確認します。教育の文章を生成できることと、従業員の行動や実被害が改善したことは、別々に評価します。

個人別の受講・行動データを使う場合は、利用目的、必要な項目、閲覧権限、保存期間と外部AIへの送信範囲を整理します。AIの分類やリスクスコアだけで個人の理解や能力を断定せず、記録の誤りや業務の条件も確認します。教材や模擬メールの自動生成・自動配信を導入する場合も、承認、対象範囲、停止方法と事後の確認を設けます。新しい仕組みの評価には、PoCの設計と評価基準も参考になります。

教育と併せて、乗っ取られにくい認証、必要な範囲に絞った権限、異常を把握する仕組みも見直します。認証方式の検討はパスキーとフィッシング耐性認証の企業導入で整理しています。方式を変える場合も、端末・アカウントの復旧や管理者の操作を含めて確認します。従業員が注意したかだけで判断せず、問題が起きても被害を広げにくい構成と対応を整えましょう。

訓練で明らかになった連絡経路、停止・継続の判断、復旧手順や認証・権限の課題を改善したい場合は、renueのAIセキュリティ診断・対策支援へ相談できます。公開案内では、業務・データ・外部との接点の棚卸し、判断者と対応手順の整理、合意した範囲での机上訓練や復旧テスト、コード診断や対策の実装を扱っています。教育用の模擬メール配信機能の導入とは、必要な作業と範囲を個別に整理します。

相談の際は、現在の教材と報告経路、使っているメール・認証環境、訓練で分かった課題、止められない業務を整理すると対象を具体化できます。実装やテストは許可された環境と範囲を合意して進め、未確認の条件と残るリスクも記録します。教育、日常の技術対策、報告後の判断と復旧をつなげ、従業員が迷ったときにも動ける状態を作ることが、継続するセキュリティ教育の目的です。