Human-Centered Cybersecurity（HCC）とは？なぜ今「人間中心」のセキュリティが注目されているのか

はじめに

複雑なパスワード規則を設けた結果、利用者が覚えやすい規則的なパターンに頼る。 警告を頻繁に表示した結果、確認せず閉じる操作が習慣になる。 安全性を高めるために導入した仕組みが、現場では安全でない回避策を生むことがあります。

これを「利用者の意識が低い」で片付けると、同じ問題が繰り返されます。 利用者が誤ることだけでなく、なぜその選択が合理的に見えたのかを調べなければ、規則や画面、業務手順に残る原因を見落とすからです。

こうした問題に取り組む考え方が、Human-Centered Cybersecurity（HCC）です。 米国国立標準技術研究所（NIST）が2026年8月にコンセプトペーパーを公表し、組織がHCCを実践するためのガイドラインとリソースを今後整備する方針を示したことで、実務への展開が進む可能性があります。

HCCとは

NISTは「Human-Centered Cybersecurity Guidelines and Resources Concept Paper」で、HCCを、セキュリティの方針、プロセス、技術、サービスを設計、実装し、意思決定する際に、人とそのニーズ、能力、限界を中心に据えるアプローチとして説明しています。 対象となる「人」は一般の従業員だけではありません。 セキュリティ担当者、IT担当者、経営層、製品の設計者や開発者など、セキュリティへ影響を与える人と、セキュリティから影響を受ける人のすべてを含みます。

HCCは、技術的な対策を弱めて利便性だけを優先する考え方ではありません。 人、プロセス、技術の関係を設計し、安全な行動を取りやすくすることで、セキュリティ上の成果を改善しようとするものです。 強い認証を導入する場合でも、利用者の業務や利用環境を把握し、無理なく継続できる認証手段と復旧手順まで設計します。

HCCはNIST文書以前から続く研究と実践の領域

HCCはNISTが2026年に生み出した新しい概念ではありません。 コンセプトペーパーは、usable securityを心理学、社会学などと並ぶHCCの関連分野に位置付け、これらの分野には研究の蓄積があると述べています。 一方、NISTの研究者らが2024年に発表したHCCに関する研究論文では、調査参加者へ用語を説明する際に、human-centered securityをusable securityとも呼ばれる領域としています。 文書によって用語の扱いが異なるため、両者を厳密な同義語とみなすより、隣接し、重なる研究領域として捉えるのが適切です。

HCCは、既存の研究と実践を踏まえてNISTが推進し、整理しているアプローチと位置付けるのが正確です。 NISTのHCCプロジェクトページ自体も2016年に開設されており、今回の取り組みはそれまでの活動を基礎としています。

コンセプトペーパーは、280名を超える実務者と研究者を対象にした2件の調査、360名を超える関係者へのインタビューと調査、ワークショップ、100回を超えるNIST講演での対話などを情報源に挙げています。 NISTはこれらの意見をまとめ、組織が利用できるガイドラインへつなげようとしています。 同文書は、実務者向けの標準やガイドラインがほとんどなく、研究成果も実務で使える形になっていないという隔たりを課題に挙げています。 NISTが進めようとしているのは、HCCの「発明」ではなく、共通理解の形成と実装方法の整備です。

なぜ今、人間中心のセキュリティが注目されているのか

技術中心の対策だけでは人が関わる問題を減らしきれない

セキュリティ製品や技術的対策が進歩しても、設定ミス、ソーシャルエンジニアリング、更新の先送り、安全性の低い回避策といった問題は残ります。 人が操作する以上、システムの使いにくさ、業務上の時間制約、判断に必要な情報の不足が、対策の実効性を左右するためです。

そこでHCCは、人を排除すべき「最弱のリンク」とだけ捉えません。 人は不審な挙動を見つけて報告し、状況に応じて判断し、対策を改善する担い手でもあります。 ミスをした個人だけを責めるのではなく、判断を支える仕組みが機能したかまで調べることで、再発防止の対象が広がります。

教育だけに依存する対策には限界がある

セキュリティ教育は必要ですが、年に一度の研修だけで人に関わる問題を解決することは困難です。 教育への過度な依存は、従業員が内容を記憶し、複雑な状況でも常に正しい判断をするという前提を置いてしまいます。

たとえば標的型メール訓練でクリックした従業員への注意や再教育だけで対応しても、紛らわしいメールを見分ける情報や、迷ったときに相談できる経路が不足していれば、組織の防御力は十分に上がりません。 訓練結果は個人の評価だけに使うのではなく、教育、報告手段、技術的な防御がどこで機能しなかったかを調べる材料としても使えます。

セキュリティ上の摩擦が業務と人材へ影響する

操作を何度も中断する認証、優先度を判断できない大量のアラート、実務と合わない承認手順は、従業員の生産性を下げるだけではありません。 警告疲れや規則の形骸化を招き、本当に対応が必要な場面での見落としにつながります。

セキュリティ担当者も例外ではありません。 夜間の判断、大量のアラート、分断された管理画面が続けば、疲労と認知負荷が判断の質を下げます。 HCCは、利用者の使いやすさだけでなく、防御する側が持続可能な状態で働けるかも設計対象に含めます。

AIが普及しても人の判断は残る

AIはアラートの整理や定型作業の自動化に役立ちますが、誰にどの権限を与えるか、事業への影響を踏まえて何を優先するかといった判断まで消えるわけではありません。 AIが示した結果を人が検証する場面では、根拠の表示、誤りを訂正する手順、過信を防ぐ役割分担が必要です。

NISTのコンセプトペーパーも、AIなどの新技術が人の負担を軽減する一方、人とAIの関係がセキュリティ体験へ良い影響も悪い影響も与え得ると指摘しています。 自動化が増えるほど、残された判断を人が安全に行える設計が問われます。

HCCでは何が変わるのか

HCCは特定の製品や単一の施策ではなく、対策を設計するときのアプローチです。 違いは、問題の原因、施策の作り方、評価指標に表れます。

HCCを取り入れても、すべての操作を簡単にできるとは限りません。 高いリスクには強い制約が必要です。 その場合も、制約の理由を伝え、業務を止めない代替手段を用意し、現場で発生した負担を確認することで、安全性と業務の両方を維持しやすくなります。

HCCをセキュリティ施策へ取り入れる手順

以下の4つは、コンセプトペーパーで示された公式の導入手順ではありません。 同文書が整理したHCCの考え方に沿って、本記事が実務で着手しやすい順序にまとめたものです。

1. 業務の実態と困りごとを観察する

最初に、規程どおりの理想的な手順ではなく、現場で実際に行われている作業を把握します。 聞き取り、問い合わせ記録、インシデント、例外申請などから、作業が止まる場所、判断に迷う場所、回避策が生まれる場所を探します。

「なぜ規則を守らなかったのか」と問うだけでは、個人の責任を追及されているように受け取られます。 「どの作業を終えるために、その方法を選んだのか」と確認すれば、業務上の目的とセキュリティ上の摩擦を分けて把握できます。

2. 影響を受ける人と対策を共同で設計する

セキュリティ部門だけで完成案を作ると、現場固有の制約を見落とすことがあります。 利用者、システム管理者、開発者、法務、人事など、施策へ関わる役割を早い段階から設計に加えます。

共同設計は、多数決で安全要件を弱めるための手続きではありません。 守るべき要件を共有したうえで、複数の実現方法を試し、業務の中で継続できる方法を選ぶ作業です。 小規模な試行で操作時間、問い合わせ、例外の発生を確認してから展開すると、導入後の混乱を抑えられます。

3. 安全な行動を選びやすい仕組みにする

利用者の注意力だけに頼らず、安全な選択を初期設定にします。 多要素認証を標準で有効にする、不審なメールを一つの操作で報告できるようにする、危険な権限を必要な時間だけ付与するなど、迷いにくい仕組みへ変えます。

例外を完全になくすことが難しい場合は、非公式な回避策へ追い込まない手順を用意します。 申請先、承認条件、有効期限、代替策を明確にすれば、例外を把握して後から改善できます。

4. 行動と成果の変化を測って改善する

研修受講率や規程の配布数は、施策を実施した事実を示しますが、安全になった結果までは示しません。 不審なメールの報告までにかかった時間、警告後に適切な操作を選べた割合、例外申請の理由、セキュリティ担当者のアラート処理時間などを測ります。

指標は人を罰するためではなく、設計を直すために使います。 たとえば訓練メールのクリック率が高い部署では、再教育だけで終えず、業務で受け取るメールの特徴や報告手段の使いやすさを確認します。 施策、行動、セキュリティ上の成果を結び付けて追うことで、改善すべき場所を判断できます。

NISTのHCCガイドラインはこれから整備される

コンセプトペーパー本体の日付とCSRC公開ページの日付は2026年8月12日で、NISTは8月17日付のブログで公表を告知しました。 一方、NISTの出版データベースには7月30日付で登録されています。 これらは文書の日付、データベース上の日付、告知日という異なる記録です。

この文書は完成したHCCガイドラインではなく、今後の方向性を示すコンセプトペーパーです。 NISTは、HCCをアプローチとして測るのか、文化、信頼、使いやすさ、レジリエンスなどの成果として測るのかを含め、関係者から意見を募っています。

NISTは最初に、HCCの範囲、目標、組織にとっての利点を伝える基礎的な文書を作る計画です。 その後のガイドラインとリソースについては、次の4つの提供方法が候補として示されています。

• 既存のNISTサイバーセキュリティ文書へHCCのガイドラインを組み込む
• 既存のNIST文書との対応関係を示した独立文書を作る
• セキュリティ文化、usable security、コミュニケーションなど、特定テーマの短い文書を作る
• HCCを導入した成功例や、HCCの欠如が悪影響を与えた事例をケーススタディとしてまとめる

既存のNIST文書との対応関係は、該当する場合にNational Online Informative References（OLIR）として提供する方針です。 成果物の形式には、クイックスタートガイド、動画、ツール、チェックリスト、テンプレート、研修モジュールなども挙げられています。 NISTのHCCプロジェクトページによると、今回の目標はHCCの共通理解を作り、組織が実際に使えるガイドラインとリソースへの道筋を定めることです。

したがって、現時点で「NIST準拠のHCC認証」や確定した成熟度基準があるかのように扱うことはできません。 一方で、NISTが既存のサイバーセキュリティ文書との関係を整理し、規模や業種の異なる組織でも使える成果物を目指しているため、今後HCCという名称と実践方法が広く認知される可能性があります。

まとめ

HCCは、人のニーズ、能力、限界を中心に据えて、セキュリティの方針、プロセス、技術、サービスを設計、実装し、意思決定するアプローチです。 利用者を弱点として管理するだけでなく、報告者、判断者、問題解決者として支えます。

HCCはusable securityなどに連なる既存の研究と実践の領域であり、NISTが2026年に生み出した新しい概念ではありません。 NISTは2026年8月のコンセプトペーパーでその範囲と課題を整理し、実務向けガイドラインとリソースの整備を進めようとしています。

組織が今から始められるのは、ミスを個人の注意不足だけに帰さず、実際の業務を観察し、影響を受ける人と対策を設計し、安全な行動を取りやすい仕組みへ変えることです。 予測されやすいパスワードのパターンや警告の無視が見つかったとき、その行動を禁止して終わるのではなく、そうするほうが働きやすかった理由まで調べることが、HCCの出発点になります。

人を含めたセキュリティ体制の改善にお困りの場合

自社だけで現場の課題を把握し、実行可能な対策へ落とし込むことが難しい場合は、弊社のセキュリティチーム代行サービスをご検討ください。 セキュリティ施策の計画、運用手順の整備、従業員からの相談対応、継続的な改善まで、外部のセキュリティチームとして支援します。