ゲーミフィケーションでサイバーセキュリティ意識を高める！メリットと導入ステップ

サイバーセキュリティの重要性は、きちんと教育しない限り従業員には伝わりません。どれほど多額の費用をかけても、従業員がその価値を理解し日々実践できなければ不十分です。実際、サイバー攻撃を受けた中小企業の約60%が6ヶ月以内に事業継続を断念するという調査結果もあります。さらにIBMの報告によれば、世界中のサイバー攻撃の95%以上は人為的なミスが原因です。だからこそ、従業員一人ひとりの行動がもたらす結果について教育することが不可欠です。しかし、従来型の研修では効果が限られるため、インタラクティブで魅力的、そしてまだ浸透していない手法――ゲーミフィケーション――を活用することをおすすめします。

ゲーミフィケーションとは？

ゲーミフィケーションとは、ゲームのメカニズムや体験デザインを活用し、魅力的で意欲を高める学習体験を作り出す手法です。ゲームからさまざまな要素を取り入れ、企業環境などのゲーム以外の場面に応用します。もともと子ども向けに考案された手法ですが、現在では他の分野においても優れた学習技法であることが証明されています。

この手法は2008年以降、軍事機関や機密性の高い組織の訓練プログラムにも採用されてきました。今日では、組織全体のサイバーセキュリティ意識を高めるための最良の手段の一つと考えられています。

多くの企業がゲーミフィケーションに対して消極的であるにもかかわらず、他のどんな方法よりも従業員がセキュリティポリシーを理解し遵守する助けになることが実証されています。PwCの「Game of Threats」は、サイバーセキュリティの啓発におけるゲーミフィケーションの好例です。ほかにもフォード・モーター、Salesforce、Microsoftなどがこの手法を採用しています。

ゲーミフィケーションのメリット

従業員教育モジュールにゲーム要素を取り入れることで、次のような多くの利点が得られます。

• サイバー攻撃への意識が向上します。特に技術職ではない従業員にとって効果的です。ソーシャルエンジニアリング攻撃者の標的となるのは、まさにこうした非技術系の従業員です。攻撃者は電話やメールで組織に関する情報を引き出し、最終的には内部システムへの侵入を試みます。
• 従業員が初歩的なサイバー攻撃に対処できるようになれば、セキュリティ専門家はより深刻なインフラへの攻撃に集中できるようになります。

また、多くの国がデータ窃盗を重大な問題と捉えており、違反者に対して厳格な規制を設けています。代表例として、EU一般データ保護規則（GDPR）が挙げられます。

学習体験をゲーミフィケーション化する4つのステップ

従業員には、少なくとも潜在的なサイバー攻撃を認識できるスキルが必要です。ゲーミフィケーションは従業員教育に最適な手法であるだけでなく、観察力の高いセキュリティ文化を育むことにも役立ちます。

• ステップ1：コンテンツを作成する
  目的意識が明確で、創造性に富んだ充実した内容を目指しましょう。退屈なスライドや分かりにくいフローチャート、過度な専門用語は避け、シンプルに要点を押さえることが大切です。
• ステップ2：インタラクティブな教材を作る
  ゲームメカニクスを活用し、参加者が能動的に学べる双方向性のある教材を作成します。
• ステップ3：スコアリングシステムを設計する
  報酬や表彰は従業員の参加意欲を大きく高めます。例えば、メール送信時のルールを継続的に遵守した従業員にバッジを付与し、獲得数の多い従業員にはインセンティブを提供します。こうした成果を社内で公開すれば、参加率はさらに向上します。
• ステップ4：効果を測定する
  最後に、サイバーセキュリティ評価や定期的な監査を通じて、施策の有効性を常に検証しましょう。

高額なゲーミフィケーション計画を用意する必要はありません。費用負担の少ないコンピューターゲームを活用できますし、情報セキュリティの基礎知識を楽しく学べるボードゲームを選ぶのも一つの方法です。何よりも重要なのは、従業員全員の最大限の参加を促すことです。