「クリックしなかった」で本当に合格？

NISTによる大規模調査と最新コンセプトから垣間見えるセキュリティ教育の次の一手

TL;DR

• NIST（アメリカ国立標準技術研究所）と米大手スーパーのWalmartが、従業員57,785人を対象としたフィッシング調査を行った結果、模擬フィッシングメール内のURLをクリックした調査回答者の90%が「怪しいと思っていた」にもかかわらずクリックしていたことが判明した。

  これは、不審だと見抜くことと安全な行動を取ることが必ずしも一貫しないことを示唆している。

• NISTが新たに提唱するHCC（Human-Centered Cybersecurity）は、ヒトを脆弱性としてではなく、センサーや報告者として捉えなおすことで、安全な行動をとりやすい環境設計を重視する考え方である。

• 日本で始まるSCS評価制度においても、サプライチェーンに関わる企業に対する教育や訓練の「実施」だけでなく「点検」が要件化された。

• 本当に重要なのは、怪しいメッセージを見抜ける人を増やすことだけでなく、怪しいと感じたときに安全な行動を取れる人と環境を増やすことなのかもしれない。

はじめに

フィッシングや標的型攻撃メール訓練の結果として、

• クリック率が〇〇％だった
• パスワード入力率が△△％だった
• eラーニングの受講率が100％だった

といった数字を目にすることは珍しくありませんよね。

もちろん、どれも重要な指標です。

ただ、そんなレポートを見るたびに、気になることがあります。

「クリックしなかった」だけで、本当に合格と言えるのだろうか？

怪しいメッセージを受信した人の行動は、実際にはもっと多様です。

• 怪しいと思って報告した
• 怪しいと思ったが放置した
• 判断に迷い相談した
• 好奇心に駆られてクリックしてしまった

こうした行動は、組織のセキュリティリスクにとって同じ価値を持つわけではありません。

しかしながら従来のセキュリティ訓練では、「怪しいと思いつつ放置した人」が合格となり、「誤ってクリックした直後に報告した人」が不合格と判定されがちでした。

2026年、NIST（米国立標準技術研究所）から発表された大規模調査や最新のコンセプトペーパーは、まさにこの問題意識を鋭く指摘しているように思いました。

資料のポイントを一言でまとめると、

「何を認識したか」ではなく、「認識した後にどう行動したか」

という視点です。

ということで、本記事では、NISTとWalmartによる大規模なフィッシング研究と、NISTが新しく提唱するHCC、そして日本でスタートするSCS評価制度を手掛かりに、セキュリティ教育の方向性について考えをまとめてみたいと思います。

1. 研究の概要

NISTとWalmartは57,785人の従業員を対象に模擬フィッシングメールを送信し、その後に対象者へアンケートを取りました。

（この研究のおもしろさは、単純なクリック率だけでなく、アンケート調査を含めて人の行動そのものを分析している点にあります）

研究の主な発見

① この特徴があればクリックされにくい／されやすい、という明確な差は確認されなかった

研究では、スペルミスや上司を装うなど、26種類のフィッシングメールだと疑わせる手掛かりが用意されました。

しかし、フィッシングメールの手掛かりの種類はクリック行動に有意な影響を与えませんでした。

②怪しいとわかっているにもかかわらず不審なURLをクリックしてしまう人が多かった

（個人的に最も印象的だった結果です。）

研究では、不審なURLをクリックした回答者のうち90%がそのメールを怪しかったと回答した、と報告されています。

さらに、

• You're Special（例：特別なご案内）
• Generic Greeting（例：お客様各位）
• URL Hyperlinking（例：詳細はこちらから）

といった手掛かりを含むメールに絞ると、クリックした回答者の全員がそのメールを怪しいと感じていたことも明らかになりました。

③自己認識と実際の行動は一致しない可能性

アンケートにおいて、多くの回答者はスペルミスをフィッシングの手掛かりにすると答えていました。その一方で、上司や同僚などへのなりすましを確認すると答えた割合は、比較的低い傾向にありました。

しかし実際の演習では、スペルミスを含むメールはクリック率第3位、なりすましメールはクリック率第1位となり、双方ともに高いクリック率を示しました。

つまり、人が普段フィッシング判定で重視している手掛かりと実際の行動には乖離が存在する可能性が示唆されました。

2. 「報告しましょう」、「より一層注意を払ってください」では不十分

今回の研究で特に興味深かったのは、

不審なURLをクリックしてしまう人は、それが怪しいとわかったうえでクリックしている

という傾向です。

残念ながら、セキュリティ教育や常識の範囲で理解していても、実際の場面では人はそれらに反した行動をしてしまうようです。

では、そんな人間の特性を考慮して、セキュリティ教育や運用手順は設計されているのでしょうか？

・・・少なくとも攻撃者は考慮しているようです。

ソーシャルエンジニアリングに関する研究では、攻撃者は人間の心理や行動特性を利用して、技術的な対策を回避しようとすると指摘されています。

例えば、

• 権威（例：　警察です。捜査にご協力をお願いします。）
• 時間的圧力（例：　本日中に完了しないとアカウント停止になります）
• 好奇心（例：　退職候補者一覧はこちらから閲覧願います）

といった要素です。

つまり、「その人にセキュリティ知識がないからインシデントになった」という個人の能力の問題だけではなく、「怪しいとは思ったが、安全な行動につながらなかった」という構造そのものに目を向ける必要があるのかもしれません。

3. 人間の長所に目を向けたセキュリティ運用が必要

近年、NISTはこの研究速報ほかにも Human-Centered Cybersecurity（HCC） という考え方を提唱しています。

HCCのコンセプトペーパーでは、人を「弱点（Weak link）」ではなく、

• レポーター
• センサー

として捉えます。

また、「人をテストする」のではなく、「人が安全に行動できる仕組みを設計する」ことに重点を置いています。

今回の研究結果は、まさにHCCが扱おうとしている問題意識に近いように感じました。

一言で言えば、「どうやって見抜かせるか」だけではなく、「怪しいと感じた後にどう安全な行動へつなげるか」という視点です。

• 報告先や報告方法は分かりやすいか。
• 不審なメールを見つけたとき、気軽に相談できるか。
• 誤って開いてしまった場合でも、迅速に報告できるか。
• 報告した人が評価される文化になっているか。

そんなことを考えさせられました。

4. サプライチェーン全体で「実施したか」から「機能しているか」へ

このように、教育や訓練の有効性を確認する考え方自体は日本でも新しいものではありません。

ISMS認証をはじめとする既存のマネジメントシステムでも、内部監査や継続的改善を通じて、管理策が適切に運用されているかを確認することが求められてきました。

一方で、日本で導入が進められているサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、こうした要求をサプライチェーン全体へ拡大しようとしています。

実際、SCS評価制度の要求事項には、

• 4-2-2-1　役員、従業員、派遣社員及び受入出向者を対象に、新規受入れ時、かつ、年1回以上の頻度で、セキュリティインシデント発生時の対応について、教育資料の配布・掲示に加え、eラーニング又は集合教育による教育・訓練を実施すること。
• 4-2-1-5　年１回以上の頻度でセキュリティの意識向上のための教育・研修の実施内容について点検すること。
• 4-2-2-3　年１回以上の頻度でセキュリティインシデント発生時の対応に関する教育・訓練の実施内容について点検すること。

といった要求事項があります。

ここで興味深いのは、「教育を実施すること」だけでなく、教育や訓練の点検も要求している点です。

そしてHCCが重視しているのは、「教育したか」だけではなく、「人が安全に行動できる状態になっているか」という視点でした。

これらから点検項目を見つめ直すと、例えば、

• 不審なメールを受け取った社員は実際に報告しているか
• 相談先は現場に浸透しているか
• インシデント発生時に迷わず報告できているか
• 訓練で学んだ内容が実際の行動につながっているか

といった、行動変容を可視化・数値化する必要性が考えられます。

もちろん、執筆時点でSCS評価制度がHCCの考え方を採用しているわけではありません。しかし、「教育を実施したか」から「教育や訓練が本当に機能しているか」へとパラダイムシフトすることで、組織全体のレジリエンスが高まると感じました。

そういった意味で、今後のセキュリティ教育で問われるのは受講率や実施回数だけではなく、「怪しいと感じた人が、安全な行動を取れるようになったか」という視点なのかもしれません。

おわりに

今回紹介したWalmart研究は、「不審だと気付くこと」と「安全な行動を取ること」が同じではない可能性を示していました。

特に、不審なURLをクリックしてしまう人は、それが怪しいとわかったうえでクリックしているという傾向は、従来のフィッシング教育の前提を改めて考えさせられるものです。

NISTの大規模研究とHCCの考え方を続けて読んでみると、セキュリティ教育の目的は「怪しいメールを見抜ける人を増やすこと」（知識）だけではなく、「怪しいと感じたときに安全な行動を取れる人と環境を増やすこと」（行動変容）へ少しずつ変わっていくように感じました。

日本においても、SCS評価制度の普及に伴い、サプライチェーン全体でサイバーレジリエンスが高まればいいなと願います。

参考文献

• Dawkins, S., & Haney, J. (2026). Beyond the Click: Experts Weigh In on the Phishing Training Debate. IEEE Security & Privacy, 24(4), 51–58. https://doi.org/10.1109/MSEC.2026.3687644
• Haney, J., et al. (2026). Human-Centered Cybersecurity Concept Paper. National Institute of Standards and Technology (NIST). https://csrc.nist.gov/csrc/media/Projects/human-centered-cybersecurity/documents/HCC_Concept_Paper-FINAL.pdf
• Jacobs, J., Dawkins, S., Sharp, J., Garcia, K. R., Pearson, B., Usman, W., Carey, A., Reynolds, J., & Fennell, C. (2026). Phish Out of Water: A Large-Scale Study of Phishing Email Cues. Symposium On Usable Privacy and Security (SOUPS) , Hannover, DE. https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=962225
• Siddiqi, M. A., Pak, W., & Siddiqi, M. A. (2022). A Study on the Psychology of Social Engineering-Based Cyberattacks and Existing Countermeasures. Applied Sciences, 12(12), 6042. https://doi.org/10.3390/app12126042
• International Organization for Standardization. (2022). ISO/IEC 27001:2022 Information Security, Cybersecurity and Privacy Protection – Information Security Management Systems – Requirements. ISO. https://www.iso.org/obp/ui/en/#iso:std:iso-iec:27001:ed-3:v1:en
• 経済産業省. (2026). サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）要求事項. https://www.meti.go.jp/policy/netsecurity/docs/scs/scs_3.xlsx
• 経済産業省. (2026). サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）概要資料. https://www.meti.go.jp/policy/netsecurity/docs/scs/scs_2.pdf

---

この記事を書いた人

あおい
サイバーコマンド所属。
暗号好きの数学嫌いな、新米セキュリティエンジニア。