その「セキュリティ教育」、本当に効果ありますか？：「セキュリティ心理学」入門（4）（3/3 ページ）

» 2016年04月11日 05時00分公開

訓練の重要性

　前ページでは教育における「伝え方の工夫」の重要性について説明しましたが、以下では教育と同時に必要な「訓練」の大切さについて解説します。まず、下の渦巻き状の図を見てください（図2）。

図2　渦巻き状の図

　今、「それはうそだ」「あやしい」と思った方は、おそらく、以前この図を見たことがあるか、文脈から想像を働かせた方なのではないかと思います。実はこの図2は、「フレーザーの錯視」と呼ばれる“だまし絵”の1つで、渦巻き状にはなっていません。

　試しに、いくつかの線をたどってみると、図3のようになります。少し見えにくいかもしれませんが、たどった線が同心円状になっていることが分かります。先ほどのように、事前知識がない状態で「この絵は渦巻き状になっている」と言われたとき、ほとんどの人はそのまま信じてしまうのではないでしょうか？読者の皆さんの中に、「本当に渦巻き状になっているのか自分で確かめてみた」という方がどれだけいらっしゃるでしょうか。

図3　フレーザーの錯視

　この例は、「情報を鵜呑みにしない」「まずは自分で確認したり、試したりしてみる」ことの大切さを示しています。情報セキュリティにおいて教育だけでなく“訓練”が必要なのは、こうした感度や考え方を身に付ける必要があるからです。

教育・訓練の効果をどう評価するか

　教育・訓練の難しさの1つに、「その効果をいかにして測るか」ということがあります。標的型メール攻撃訓練では、「クリック割合」という数値を用いることである程度効果を把握することができますが、一般的な教育・訓練では、その効果を明確に測ることができないことがよくあります。こうした教育効果を測るための指標としては、ドナルド・カークパトリック（Donald L. Kirkpatrick）の「4段階評価」が有名です（表3）。

表3　カークパトリックの4段階評価
レベル	説明
1.Reaction （研修満足度）	受講直後のアンケート調査などによる受講者の研修に対する満足度の評価
2.Learning （学習到達度）	筆記試験やレポートなどによる受講者の学習到達度の評価
3.Behavior （行動変容度）	受講者自身へのインタビューや他者評価による行動変容の評価
4.Results （成果達成度）	研修受講による受講者や職場の業績向上度合いの評価

　カークパトリックの手法では、アンケートや筆記試験、インタビューなどの方法を用いて、教育・訓練の効果を4段階で評価します。また、この他にも「研修の効果測定はその効果を収益に換算し、研修への投資額と比較することで測れる」という考えの下に、カークパトリックの4段階評価に「投資対効果（ROI）」を加えたジャック･フィリップス（Jack Phillips）の5段階評価などの手法もあります。全ての教育・訓練でこうした評価を実施することは難しいかもしれませんが、1つの考え方として参考にしてみてください。

　なお、教育・訓練後にアンケートなどを実施する際には、その内容にも注意する必要があります。例えば、マーケティング分野で「NPS（ネットプロモータースコア）」と呼ばれる考え方があります。この考え方によれば、受講者に「自分が受講した研修を他人に推薦する可能性はあるか？」という質問を行い、最低点を0（全く可能性がない）、最高点を10（極めて推奨する可能性が高い）としたとき、8以上のスコアが出ることが望ましいそうです（フレッド・ライクヘルド、『顧客ロイヤルティを知る「究極の質問」』、2006年、ランダムハウス講談社）。

　さて、今回はセキュリティ教育・訓練について扱いました。本稿で述べたように、教育・訓練は行って終わりというものではなく、継続的に、工夫を凝らしながら実施する必要があります。また、実施後は「カークパトリックの4段階評価」や「NPS」などの考え方も取り入れながら、できるだけ適切に効果測定を行っていくことが重要です。この機会に、あなたの組織のセキュリティ教育・訓練について見直してみてはいかがでしょうか。