SecurityWeekは、セキュリティ意識向上トレーニングには依然として有用性があるものの、従業員の状況や意思決定の瞬間と結び付かない一般的な年次コンプライアンス講座になると機能しないと結論付けている。AIを利用したフィッシングやソーシャルエンジニアリングが進化する中、反復的な行動トレーニングを、技術的統制、アイデンティティ、報告・検証手順と統合すべきだ。
セキュリティ意識向上トレーニングの価値が失われることはないが、従来の提供方法は、急速に変化しAIを活用するソーシャルエンジニアリング攻撃を前に、もはや十分ではない。これは、SecurityWeekがセキュリティ専門家や認知心理学者の意見を聞いた上で公表した分析の主な結論である。
トレーニングは通常、従業員のミスを減らし、それによって従業員が内部脅威となる可能性を抑えること、またフィッシングメールや操作手法への抵抗力を高めることに重点を置く。しかし、トレーニングプログラムが広く導入されているにもかかわらず攻撃が成功し続けていることは、こうしたプログラムが実際に行動を変えているのか、それとも必須講座を修了したことの証明にとどまっているのかという疑問を生じさせる。
トレーニングから、単なる要件充足へ
MalwarebytesのStefan Dasicは、多くのプログラムが運用方法のために失敗していると考えている。つまり、内容が反復的かつ一般的すぎるため、役に立たないように見えてしまうのである。他の専門家も、コンプライアンスや保険の要件によって、組織が従業員の過去の知識や直面するリスクの性質にかかわらず、同じ内容を毎年すべての従業員に再提供するよう促されていると指摘する。
この慣行は、行動に同程度の変化をもたらすことなく、高い修了率だけを生み出す可能性がある。また、コンプライアンスを重視すると、最低限必要な水準が、改善可能な基準点ではなく最終目標になり得る。分析で示された見解によれば、一般的な講座は、現代のソーシャルエンジニアリング手法やAIを利用した攻撃を必ずしも反映していない。
実際には何が変わるのか
トレーニングは、特定の状況に備えさせるときに機能するが、攻撃者は手法を絶えず変化させている。そのため専門家は、トレーニングをより頻繁に実施し、従業員の役割に近づけ、メールや通常とは異なる依頼を疑ったときに何をすべきか、例えばフィッシングの兆候を認識するだけでなく、報告や検証を行うことなど、明確な指針を含めるべきだと提案している。
参加者は、トレーニングを唯一の防御線にすることはできないと強調している。トレーニングは、アイデンティティ保護、多要素認証、技術的統制、明確な検証手順を含む現代的なセキュリティ基盤によって支えられなければならない。優れたシステム設計では、従業員にすべての攻撃を阻止する責任を負わせるのではなく、人為的ミスが起こる可能性を前提とする。
音声のクローン化や、テキストメッセージ、WhatsApp、メッセージングアプリなどのモバイルチャネルの利用に加え、より説得力があり標的に合わせて個別化されたメッセージを生成する攻撃によって、課題はさらに難しくなっている。分析では、HoxhuntのMike Aaltoの推定として、2025年から2026年への移行時にAIが生成するフィッシングが14倍増加し、まったく新しい戦術が登場するというより、従来の手法が改善されていると伝えている。
記憶よりも行動と状況が重要
記事は、フィッシングのシミュレーション訓練によって、罠にかかる割合を一時的に低下させられるものの、その効果は数か月で薄れる可能性があると指摘している。そのため一部の専門家は、脅威の報告や多要素認証の使用など、測定可能な少数の行動に焦点を当て、適切な状況で介入やリマインダーを提供する、継続的な行動トレーニングを推奨している。
ある見解は、セキュリティ意識向上をデジタル広告と比較している。全員に同じメッセージを同時に送るのではなく、従業員が特定の意思決定やリスクに直面したときに意識向上の情報が届くよう設計できるという考え方だ。ここでの目標は、従業員を最も弱い環とみなすことではなく、監視・対応体制の能動的な一部にすることである。
記憶と予測の限界
Humanixの認知心理学者であり、University of New South Walesの助教授であるJordan Richard Schoenherrは、忘却が記憶のデフォルト状態であり、急速に起こることが、トレーニングを難しくしていると説明する。情報を覚えていたとしても、それをいつ、どのように使うべきかを知っているとは限らない。そのため学習には、意思決定の瞬間に知識を再活性化する、反復的な更新と行動上のきっかけが必要になる。
しかし、従業員に既知のパターンを認識するよう教えることには、別のリスクもある。スペルミスがないことや従来の兆候が見られないことを、実際にはそうでないにもかかわらず、メッセージが正当である証拠だと解釈する可能性があるからだ。また、新たな変数が現れると、その日のトレーニングは古くなる可能性がある。そのため、将来について一つの予測に依存するよりも、複数のシナリオを構築し、深い不確実性の下で意思決定を行う方が有益となる。
certi.newsの編集部による見解：本当の変化はトレーニングを廃止することではなく、年次のコンプライアンスプログラムから、行動を測定し技術によって支える継続的な運用能力へと移行させることにある。ただし、単一のモデルが問題を解決したことを記事が証明しているわけではない。専門家も、リスクの非対称性、攻撃の速度、人間の記憶の複雑さを前に、トレーニングには限界が残ると認めている。そのため、未解決の問題は、行動変化をどのように測定するか、それがどの程度持続するか、そして組織が攻撃者の適応よりも速くトレーニングを更新できるかに関係し続ける。