成果の上がるセキュリティ教育のやり方
『セキュリティ教育なんて無駄だ。まったく成果が上がらない』そう思っていませんか？
先日も、社内でeラーニングによるセキュリティ教育を実施したが、全く成果がないので、システムによって誤送信を防止するにはどうしたらいいか？といった趣旨の相談に来られていた方がいました。
研修やeラーニングによるセキュリティ教育を実施している企業は少なくないと思いますが、どこの会社でも実施しているか？というと、そうではないのが実態でしょう。
セキュリティ対策システムに関するベンダー主催のセミナー等は盛んで、参加者も多かったりしますが、セキュリティ教育に関するセミナーなどはほとんど見かけません。理由はいくつかありますが、セキュリティ教育について懐疑的な方が多いというのも要因の一つでしょう。
学ぶだけでは成果は出ない
あなたは、バッティングのDVDを見て、次の日からホームランが打てる、もしくは、いくらでもヒットが打てるようになる。と思うでしょうか？バッティングに限らず、サッカーのDVDでもいいかもしれません。
このような質問に対し、そう思う。と答える人は限りなく少ないと思います。実際、DVDを見たからといって、その通りにできることなど、よほどの天才でもなければ無理でしょう。
セキュリティ教育もこれと同じです。eラーニングを実施したからといって、すぐに成果が出るはずはないのです。
セキュリティ教育のDVDを見たり、eラーニングの教材をこなしたからといって、次の日からセキュリティ対策がバッチリできるか？というと、言うは易し行うは難しで、時間が経つと共に記憶が薄れ、半年も経たないうちに以前と同じ状態になってしまう。そういうものです。
学んだことを実践するにはきっかけが必要
セキュリティ教育に限らず、成果が上がらない研修に共通していることは、日常の中で、それを実践するきっかけがない。ということです。
学習は個人任せ、実践も個人任せ。では、個人が相当に努力しない限りは、学んだことを実践し続けることは難しいです。ましてや、学んだことを実践する機会すら見つけられなかったら、実践のしようもありません。
研修の成果を出したいのであれば、研修の機会を提供するだけでなく、学んだことを実践するきっかけを提供することが肝要です。これをやらない組織が実に多い。学んだことを実践するのは個人任せにしておきながら、研修の成果が出ない。と嘆くのは、研修実施担当者のエゴに過ぎません。
逆に、学んだことを実践せざるをえないようなきっかけを与えるようにすれば、当人の意思に関係なく実践され、それは習慣として身についていくことになります。
研修の成果を出すためには、習慣化することを視野に入れる
各個人が学んだことが、組織の習慣として実践されるようになれば、それは組織の文化になっていきます。
組織の文化となったものは、組織に新しく入ってくる人にも自然と継承され、当たり前のこととして実践されるようになります。
組織の中で当たり前のこととして実践されるようになれば、個人の意識に関係なく、「学ぶ」⇒「実践」⇒「学ぶ」⇒「実践」といったサイクルが繰り返されるようになります。このような環境が構築できれば、研修で学んだことが実践されず、時間の経過と共に忘れ去れていく。といったことはありません。
日本で英会話学校に通っても、英会話はなかなかできるようにならないが、アメリカで3か月も暮せば、そこそこ会話ができるようになる。というのは、まさにこういう事です。
研修実施担当者は、研修の成果が出ないと嘆く前に、研修で学んだことを実践するきっかけを提供し、習慣として実践されるようにすることを考えるべきです。
セキュリティ教育においても、セキュリティの重要性などを説くだけでなく、普段の業務において、学んだことを習慣として実践するきっかけを提供することを考えるべきですが、あなたの組織においては、その点を意識した取り組みをしているでしょうか？
もし、何もしていない。というのでしたら、これを機に、何かできることはないか？考えてみていただくと良いと思います。
→次の記事へ（ セキュリティ対策の対象は、もはや社内だけではなくなった ）
標的型メール訓練をPDCFAサイクルとして実施するためのイロハをまとめています。訓練実施が初めてという方は是非ご一読下さい。
