外部脅威、組織がセキュリティ意識向上とトレーニングに投資する主な理由のひとつ
提供: フォーティネットジャパン
本記事はフォーティネットジャパンが提供する「FORTINETブログ」に掲載された「外部脅威がセキュリティ意識向上を推進する一方で、内部リスクが増大」を再編集したものです。
外部脅威は、組織がセキュリティ意識向上とトレーニングに投資する主な理由の1つであり続けています。フィッシング、ランサムウェア、認証情報の窃取、ソーシャルエンジニアリング、同業組織への攻撃は、すべて同じ点を強調しています。従業員の行動は、組織のサイバーリスクに直接影響します。
フォーティネットトレーニングインスティテュートの2025年セキュリティ意識向上とトレーニングに関するグローバル調査レポートによると、回答者の41%が、セキュリティ意識向上とトレーニングプログラムを実施する主な推進要因として外部脅威を挙げています。組織は、組織的サイバー犯罪、継続的な偵察、悪用までの時間の短縮化、盗まれたクレデンシャルとアクセス経路の使用増加によって形成される脅威動向に直面しています。これらのプレッシャーは、外部脅威が2025年においてサイバーセキュリティトレーニングの最大の動機付け要因であり続ける理由を説明するのに役立ちます。
しかし、組織は、労働力のリスクがもはや外部攻撃者から始まり、外部攻撃者で終わるものではないことをますます認識しています。
サイバーリスクは現在、日常的な従業員のワークフロー、データ処理の実践、クラウドアプリケーション、コラボレーションプラットフォーム、AIツールを通じて移動します。デジタル環境がより相互接続されるにつれて、組織は、意図せずに機密情報を漏洩したり、悪用可能なギャップを生み出したりする可能性のある運用上の行動に焦点を移しています。その結果、労働力のリスクに対するより広範な理解が生まれ、それはフィッシング意識を超えて拡大しています。
内部リスクは無視することがますます困難になっています
2025年の調査結果によると、調査回答者の27%が内部関係者のリスクから保護するためにセキュリティ意識向上とトレーニングを採用しており、2024年の4%から増加しています。2025年の調査における新しい内部関係者リスクオプションの追加が、この増加の一部を説明する可能性がありますが、この変化は、内部漏洩が現在、組織のサイバーリスクのより大きな割合を占めているという認識の高まりも反映しています。
内部関係者に関連するインシデントのほとんどは、悪意のある意図によって引き起こされるものではありません。それらは多くの場合、日常的な職場での行動から生じます:機密データの不適切な取り扱い、未承認のアプリケーションの使用、未承認のツールを介した情報の共有、クレデンシャルの再利用、またはますます巧妙化するソーシャルエンジニアリングの試みに引っかかることなどです。
この懸念は、フォーティネットの2026年サイバーセキュリティスキルギャップに関するグローバル調査レポートの調査結果と一致しており、回答者の半数以上が、サイバーセキュリティ意識の不足によって引き起こされた侵害を報告しています。この調査結果は、内部リスクがより多くの注目を集めている理由を強調しています。多くの侵害は依然として、悪意のあるリンクのクリック、データの不適切な取り扱い、クレデンシャルの再利用、未承認のツールの使用などの人間の判断から生じています。
問題は従業員の意図ではなく、現代のデジタルワークフローの複雑さの増大です。従業員は、システム、データ、外部サービス間を頻繁に切り替えます。クラウドアプリ、テレワーク、コラボレーションプラットフォーム、個人デバイス、生成AIにより、機密情報が不適切に取り扱われたり漏洩したりする可能性のあるポイントの数が増加しています。デジタルワークフローが拡大するにつれて、偶発的な漏洩のリスクが高まります。
セキュリティ意識向上プログラムは、もはや明白な詐欺や疑わしいEメールの識別のみに焦点を当てることはできません。トレーニングは、従業員が日常業務活動においてリスクをナビゲートできるように装備する必要があります。
データセキュリティは行動上の戦場となっています
内部リスクに対するこの高まった重視は、組織が最も重要と考えるトピックに反映されています。2025年には、データセキュリティが意識向上とトレーニングの最優先事項であり、回答者の51%が挙げています。データプライバシーは43%で2位、AIベースのツールと脅威は41%で3位となりました。
トレーニング活動は、これらの優先事項を大きく反映しています。過去1年間で、50%の組織がデータセキュリティに関する従業員トレーニングを実施し、43%がデータプライバシーに関するトレーニングを、42%がAIツールと脅威に関するトレーニングを実施しました。
この整合性は重要です。なぜなら、データセキュリティは、セキュリティポリシーが従業員の行動に反映される場所だからです。データセキュリティとプライバシーは、情報がどこに保存されるか、誰がアクセスできるか、どのアプリケーションが承認されているか、どの情報を外部と共有できるかについての日常的な意思決定を形成します。したがって、従業員には、機密データを保護するよう注意を促すだけでなく、リスクが発生する瞬間のための実践的なガイダンスが必要です。
実践的なガイダンスは、日常的な職場の状況において重要です。ドキュメントのアップロード、アクセスの承認、コラボレーションツールの使用、リクエストへの応答、AIプロンプトに情報を入力するかどうかの判断などです。これらは、従業員がリスクを軽減できる瞬間ですが、安全な行動がどのようなものかを理解している場合に限られます。
AIが内部露出リスクを加速
AIは、内部露出に別の複雑性の層を追加します。従業員は、ドキュメントの要約、コンテンツの生成、データの分析、コードの記述、お客様とのやり取りのサポートにAIツールを使用します。これらのツールは生産性を向上させることができますが、機密データが承認されたワークフローから流出する新たな経路も生み出します。
従業員は、便利に見えるという理由で、未承認のAIツールを使用する可能性があります。別の従業員は、露出のリスクを認識せずに、内部データをプロンプトに貼り付ける可能性があります。さらに別の従業員は、AIが生成した要約、推奨事項、またはコードが十分なレビューなしに信頼できると想定する可能性があります。AIが日常業務にますます統合されるにつれて、これらのリスクはポリシーだけで管理することがますます困難になります。
組織には、従業員がAIを安全に使用する方法と、攻撃者がフィッシング、なりすまし、ソーシャルエンジニアリング攻撃を強化するためにAIをどのように悪用する可能性があるかの両方を理解するのに役立つトレーニングが必要です。従業員は、どのツールが承認されているか、どのデータを共有できるか、いつ出力に人間によるレビューが必要か、いつ追加のガイダンスが必要かを知っておく必要があります。
AIの採用が拡大するにつれて、セキュリティ意識向上プログラムは、課題の両面に対処する必要があります。従業員が責任を持ってAIを使用できるようにすると同時に、検出がますます困難になっているAI対応の脅威を認識できるよう支援することです。
トレーニングは意識向上から運用上の意思決定へと進化する必要がある
セキュリティ意識向上トレーニングは、多くの場合、準拠規格要件として位置付けられていますが、2025年の調査結果は、より実践的な役割を示しています。トレーニングは、従業員がより安全な意思決定を行うための知識と習慣を身に付けることで、組織が労働力全体のリスクを軽減するのに役立ちます。
従業員は依然として外部の脅威を理解する必要がありますが、リスクを高める内部行動に関するガイダンスも必要です。これには、機密データの保護、疑わしい活動の報告、AIツールの責任ある使用、アクセスポリシーの遵守、日常的なリクエストが異常である可能性がある場合の認識が含まれます。
調査はまた、従業員とリーダーシップのサポートが依然として強固であることを示しています。従業員の88%がセキュリティ意識向上とトレーニングを肯定的に捉えており、企業リーダーの95%が何らかの形でそれを支持しています。このサポートは、組織が構築するための強固な基盤を提供します。次のステップは、トレーニングが従業員が直面するリスクに遅れずについていくことを確実にすることです。
組織にはスケーラブルな行動優先の準備態勢が必要
組織がセキュリティ意識向上トレーニングの価値を認識している場合でも、実装は困難な場合があります。2025年のレポートによると、人員の制限が早期導入の主な障壁であり、回答者の34%が導入遅延の理由として挙げています。予算の制約が次に多い障害で19%、次いでセキュリティの優先事項の競合が18%でした。
これらの障害は理解できます。セキュリティチームは、すでにインシデントレスポンス、準拠規格、クラウドセキュリティ、脆弱性管理、IDコントロール、デジタルトランスフォーメーションイニシアチブを管理しています。チームが人員不足であったり、緊急の運用上の要求によって時間に追われている場合、トレーニングの優先順位が下げられる可能性があります。
しかし、意識向上トレーニングを遅らせると、重要なリスク軽減の機会が活用されないままになる可能性があります。従業員は、正式なトレーニングが実施されている場合でも、フィッシングの試み、不審なリクエスト、認証情報の窃取、安全でないデータ慣行、新たなAIリスクに直面し続けています。重要な問題は、これらのリスクが発生したときに、従業員がそれらを識別して対処する準備ができているかどうかです。
組織には、時間をかけて安全な行動を強化するスケーラブルなトレーニングが必要です。つまり、より短く、より頻繁な学習体験、役割固有のガイダンス、実践的なシナリオ、そして脅威、ツール、ポリシーの進化に応じた定期的な更新が必要です。目標は、セキュリティ意識を年に一度の演習として扱うのではなく、従業員の働き方に備えを組み込むことです。
組織にとっての課題は、もはや単に従業員に脅威を認識するよう教えることではありません。それは、ますます複雑化するデジタルワークフロー全体で安全な意思決定を可能にすることです。AI、クラウドアプリケーション、コラボレーションプラットフォームが日常業務により深く組み込まれるにつれて、セキュリティ意識向上プログラムは、情報提供から従業員のリスク管理へと進化する必要があります。
セキュリティ意識向上トレーニングは、外部攻撃と内部リスクの両方に対処する必要がある
外部の脅威は、セキュリティ意識向上とトレーニングへの投資を促進し続けるでしょう。同時に、組織は、サイバーリスクがデータ、アプリケーション、コラボレーションツール、AIシステムとの日常的な従業員のやり取りから生じることが多いことを認識しています。したがって、セキュリティ意識向上の取り組みは、従業員に攻撃を認識する方法を教えるだけでは不十分です。従業員が日常業務においてより安全な意思決定を行えるようにする必要があります。
フォーティネットのセキュリティ意識向上トレーニングは、組織がこの課題に両面から対処するのを支援します。従業員は、フィッシング、なりすまし、BEC、その他の一般的な攻撃手法を識別するようトレーニングされます。また、機密情報を適切に管理し、承認されたツールを使用し、セキュリティポリシーを遵守し、セキュリティリスクに適切に対応する方法も学びます。
意識向上、シミュレーション、評価、役割固有のトレーニングを統合することで、組織は最も重要な場所、つまり日常のワークフロー内で安全な行動を強化できます。その結果、ユーザー、データ、アプリケーション、AI対応環境全体でリスクを軽減するのに役立つ、より教育され、回復力のある従業員が生まれます。
フォーティネットのセキュリティ意識向上トレーニングプログラム(FortiSAT)をご覧いただき、完全版の2025年セキュリティ意識向上トレーニンググローバル調査レポートをお読みいただき、組織が今日の進化する脅威動向全体でリスクを軽減するために従業員をどのように準備しているかをご確認ください。
本記事はアフィリエイトプログラムによる収益を得ている場合があります