従業員の準備状況の測定: セキュリティ意識向上の成功とは何か

セキュリティ意識向上トレーニングは、サイバーセキュリティに必要な要素です。従業員は必須コースを受講し、一般的な脅威を識別する方法を学び、ポリシーとベストプラクティスに関するリマインダーを受け取ります。この基本的なアプローチは依然として不可欠ですが、セキュリティ意識向上プログラムを取り巻く期待は進化しています。

従業員がトレーニングを完了したかどうかを知るだけでは、もはや十分ではありません。組織は、トレーニングが行動を変え、インシデントを減らし、サイバーレジリエンスを強化し、脅威が進化する中で従業員がより良い意思決定を行うのに役立つかどうかを問うています。

この変化が重要なのは、従業員の行動が組織のセキュリティにおいて重要な要素であり続けているためです。従業員は、リンクをクリックするか、メッセージを報告するか、リクエストを検証するか、データを共有するか、承認されたツールを使用するか、または安全なプロセスに従うかを決定します。クラウド、コラボレーション、テレワーク、AI駆動型の環境では、これらの意思決定は絶えず発生し、多くの場合時間的プレッシャーの下で行われます。

2025年セキュリティ意識向上とトレーニングに関するグローバル調査レポートによると、意思決定者の95%が、より多くのセキュリティ意識向上がサイバー攻撃の削減に役立つと考えています。この調査結果は、組織がサイバーセキュリティの人的レイヤーをどのように見ているかについての、より広範な変化を反映しています。セキュリティ意識向上は、もはや単なる教育イニシアチブではありません。それは、従業員のリスクを軽減するための戦略的投資です。

セキュリティ意識向上は戦略的投資になりつつある

組織は、サイバーセキュリティがテクノロジーとポリシーだけに依存しているわけではないことをますます認識しています。技術的管理は不可欠ですが、従業員が脅威を検出し、リスクを認識し、適切に対応できない場合、それだけでは十分ではありません。

したがって、セキュリティ意識向上は運用準備態勢に結び付けられる必要があります。従業員は、メッセージが正当に見えるが違和感がある場合、リクエストが機密情報を含む場合、AIツールがレビューを必要とするコンテンツを生成する場合、またはワークフローが何を共有しても安全かについて不確実性を生み出す場合に、どのように対応すべきかを知る必要があります。

ここで、セキュリティ意識向上は戦略的価値を獲得します。効果的なプログラムは、従業員に脅威について知らせるだけにとどまりません。それらは、リクエストの検証、疑わしい活動の報告、機密データの保護、承認されたツールの使用、セキュリティプロトコルの遵守など、日常的なリスクを軽減する習慣を構築するのに役立ちます。

経営幹部のサポートも強力です。レポートによると、企業リーダーの95%が、セキュリティ意識向上とトレーニングをある程度または大いにサポートしています。これにより、組織は従業員の準備状況を、単なる年次コンプライアンス義務ではなく、サイバーレジリエンスの測定可能な構成要素として扱う機会が生まれます。

組織は重要なことを測定している

セキュリティ意識向上プログラムが成熟するにつれて、組織は成功を測定する方法を広げています。完了率は依然として重要ですが、それは話の一部に過ぎません。コースを完了したからといって、従業員が説得力のあるフィッシングメッセージを認識したり、疑わしい活動を報告したり、未承認のチャネルを通じて機密データを共有することを避けたりするとは限りません。

2025年のレポートは、組織がより直接的に成果を測定していることを示しています。67%が、セキュリティ意識向上トレーニングを開始して以来、侵入、インシデント、または侵害がモデレートまたは大幅に減少したと報告しています。最も一般的な有効性の測定基準は、セキュリティインシデントの減少であり、回答者の53%が挙げています。その他の主要な測定基準には、従業員のフィードバック(52%)とセキュリティ監査(50%)が含まれます。

これらの測定基準は、従業員の準備状況に対するさまざまな視点を提供します。インシデントの傾向は、組織のリスクが変化しているかどうかを示すことができます。フィッシングシミュレーションは、従業員が現実的な脅威にどのように対応するかを明らかにすることができます。知識評価は理解のギャップを特定でき、従業員のフィードバックはトレーニングが関連性があり有用かどうかを判断するのに役立ちます。

完了率は、もう1つの重要なシグナルを提供します。トレーニングの完了率が100%であると報告している組織はわずか6%であり、70%を超える完了率を報告している組織は56%です。このレポートは、これらのギャップが、リーダーの69%が依然として従業員にサイバーセキュリティ意識が欠けていると感じている理由を説明するのに役立つ可能性があることを示唆しています。

これらの調査結果を総合すると、測定に対するより完全なアプローチが示されます。組織は、トレーニングが提供されたかどうかだけでなく、従業員が学んだことを適用しているかどうか、また追加のサポートがどこで必要かを理解する必要があります。

従業員の準備態勢には継続的な改善が必要

脅威動向が変化するにつれて、測定の必要性はさらに重要になります。

AIは、攻撃の高度化と従業員の日常的な意思決定の複雑さの両方を加速させています。組織は、AIを活用したフィッシング、なりすまし、ソーシャルエンジニアリングを認識できるように従業員を準備すると同時に、AIツールを責任を持って使用できるように支援する必要があります。

課題は、準備態勢が静的ではないということです。今日の脅威に対処するトレーニングでは、明日の脅威に対して従業員を完全に準備できない可能性があります。組織は、従業員が現在のリスクを理解しているか、トレーニングが変化するワークフローやテクノロジーを反映しているか、追加の強化がどこで必要かを継続的に評価する必要があります。

このレポートは、組織がすでにこの方向に進んでいることを示しています。回答者の94%が、四半期ごとにトレーニングを実施している46%、毎月トレーニングを実施している32%を含め、セキュリティ意識向上トレーニングセッションを定期的に開催していると回答しています。

継続的なトレーニングにより、安全な行動を強化し、新しい脅威やポリシーについて従業員に最新情報を提供し、ギャップが発生したときに対処する機会が増えます。短い学習体験、リマインダー、シミュレーション、対象を絞った強化により、トレーニングを年に1回のイベントとして扱うことなく、セキュリティの関連性を維持することができます。

目標は、単により多くのトレーニングを提供することではありません。測定とフィードバックを使用して、従業員が受けるトレーニングを継続的に改善することです。

意識から従業員のレジリエンスへ

2025年の調査結果は、重要な緊張関係を明らかにしています。組織はセキュリティ意識向上トレーニングから成果を上げていますが、多くのリーダーは依然として従業員に十分な意識が欠けていると考えています。

このギャップは、進捗状況を、組織がトレーニングプログラムを持っているかどうかだけでなく、そのプログラムが従業員の行動を変えてより安全な意思決定を行うのに役立っているかどうかによって測定すべきであることを示唆しています。

このレポートでは、リーダーの70%が、従業員がセキュリティ意識を共有責任と見なしていると考えていることがわかりました。しかし、26%は、セキュリティが重要だと考えている従業員が必ずしもそれに応じて行動するわけではないと述べています。

知識と行動のこの区別は、従業員の準備態勢の中核にあります。

レジリエントな従業員は、脅威を認識し、機密情報を保護し、AIを責任を持って使用し、疑わしい活動を報告し、テクノロジーやビジネスプロセスの変化に適応することができます。組織は、行動を測定し、ギャップを特定し、肯定的な行動を強化し、リスクの高い領域に合わせてトレーニングを調整することで、これらの能力を強化できます。

したがって、セキュリティ意識は、トレーニング要件以上のものになります。それは、組織がリスクを管理する方法の一部になります。

従業員が日常業務でリスクを処理する方法を理解すると、組織は予防可能なインシデントを削減し、責任あるテクノロジーの採用をサポートし、お客様、パートナー、従業員との信頼を維持するためのより良い立場に立つことができます。

セキュリティ意識は、従業員が毎年1回完了するものではなく、測定可能なビジネス能力になりつつあります。

フォーティネットトレーニングで測定可能な従業員のレジリエンスを構築

サイバー脅威が進化し、AIが従業員の働き方を再構築する中、組織には、進捗状況を測定し、従業員のリスクを特定し、従業員の準備態勢を継続的に改善できるセキュリティ意識向上プログラムが必要です。

フォーティネットセキュリティ意識向上トレーニング （FortiSAT）は、役割ベースの学習、フィッシングシミュレーション、ユーザーリスクインサイト、行動測定、対象を絞った強化を通じて、組織がこのアプローチを運用できるよう支援します。目標は、トレーニングを従業員の行動における測定可能な変化と結び付け、セキュリティチームに追加のサポートが必要な場所についてより大きな可視性を提供することです。

フィッシングシミュレーションにより、従業員は安全な環境で、フィッシング、なりすまし、ビジネスEメール詐欺、その他のソーシャルエンジニアリング戦術を含む現実的な脅威を認識する練習ができます。ユーザーリスクインサイトは、セキュリティチームが追加の強化が必要な箇所を特定するのに役立ちます。ターゲットを絞ったトレーニングは、より高い露出度やより高リスクな行動を示す個人、チーム、または部門をサポートできます。

役割ベースの学習は、セキュリティ意識を職場の現実にさらに結び付けます。財務承認を管理する従業員、お客様データを扱う従業員、システムを管理する従業員、コードを書く従業員、お客様をサポートする従業員、またはAIツールを使用する従業員は、それぞれ異なるリスクに直面しています。これらの責任を反映したトレーニングは、従業員が自分の業務の文脈において安全な行動がどのようなものかを理解するのに役立ちます。

トレーニング、シミュレーション、測定、強化を組み合わせることで、フォーティネットは組織が意識から測定可能な労働力の準備態勢へと移行するのを支援します。その結果、脅威を認識し、機密情報を保護し、AIを責任を持って使用し、リスクが進化し続ける中で安全な意思決定を行うためのより良い準備が整った労働力が実現します。

フォーティネットのセキュリティ意識向上とトレーニングプログラムを探索し、完全版の2025年セキュリティ意識向上とトレーニンググローバルリサーチレポートをお読みいただき、組織が行動ベースのセキュリティプログラムを通じて労働力の準備態勢を測定し、サイバーレジリエンスを構築する方法をご確認ください。