Human-Centered Cybersecurity（HCC）とは？なぜ今「人間中心」のセキュリティが注目されているのか

はじめに

複雑なパスワード規則を設けた結果、利用者が覚えやすい規則的なパターンに頼る。 警告を頻繁に表示した結果、確認せず閉じる操作が習慣になる。 安全性を高めるために導入した仕組みが、現場では安全でない回避策を生むことがあります。

これを「利用者の意識が低い」で片付けると、同じ問題が繰り返されます。 利用者が誤ることだけでなく、なぜその選択が合理的に見えたのかを調べなければ、規則や画面、業務手順に残る原因を見落とすからです。

こうした問題に取り組む考え方が、Human-Centered Cybersecurity（HCC）です。 米国国立標準技術研究所（NIST）が2026年8月にコンセプトペーパーを公表し、組織がHCCを実践するためのガイドラインとリソースを今後整備する方針を示したことで、実務への展開が進む可能性があります。

HCCとは

NISTは「Human-Centered Cybersecurity Guidelines and Resources Concept Paper」で、HCCを、セキュリティの方針、プロセス、技術、サービスを設計、実装し、意思決定する際に、人とそのニーズ、能力、限界を中心に据えるアプローチとして説明しています。 対象となる「人」は一般の従業員だけではありません。 セキュリティ担当者、IT担当者、経営層、製品の設計者や開発者など、セキュリティへ影響を与える人と、セキュリティから影響を受ける人のすべてを含みます。

HCCは、技術的な対策を弱めて利便性だけを優先する考え方ではありません。 人、プロセス、技術の関係を設計し、安全な行動を取りやすくすることで、セキュリティ上の成果を改善しようとするものです。 強い認証を導入する場合でも、利用者の業務や利用環境を把握し、無理なく継続できる認証手段と復旧手順まで設計します。

HCCはNIST文書以前から続く研究と実践の領域

HCCはNISTが2026年に生み出した新しい概念ではありません。 コンセプトペーパーは、usable securityを心理学、社会学などと並ぶHCCの関連分野に位置付け、これらの分野には研究の蓄積があると述べています。 一方、NISTの研究者らが2024年に発表したHCCに関する研究論文では、調査参加者へ用語を説明する際に、human-centered securityをusable securityとも呼ばれる領域としています。 文書によって用語の扱いが異なるため、両者を厳密な同義語とみなすより、隣接し、重なる研究領域として捉えるのが適切です。

HCCは、既存の研究と実践を踏まえてNISTが推進し、整理しているアプローチと位置付けるのが正確です。 NISTのHCCプロジェクトページ自体も2016年に開設されており、今回の取り組みはそれまでの活動を基礎としています。

コンセプトペーパーは、280名を超える実務者と研究者を対象にした2件の調査、360名を超える関係者へのインタビューと調査、ワークショップ、100回を超えるNIST講演での対話などを情報源に挙げています。 NISTはこれらの意見をまとめ、組織が利用できるガイドラインへつなげようとしています。 同文書は、実務者向けの標準やガイドラインがほとんどなく、研究成果も実務で使える形になっていないという隔たりを課題に挙げています。 NISTが進めようとしているのは、HCCの「発明」ではなく、共通理解の形成と実装方法の整備です。

なぜ今、人間中心のセキュリティが注目されているのか

技術中心の対策だけでは人が関わる問題を減らしきれない

セキュリティ製品や技術的対策が進歩しても、設定ミス、ソーシャルエンジニアリング、更新の先送り、安全性の低い回避策といった問題は残ります。 人が操作する以上、システムの使いにくさ、業務上の時間制約、判断に必要な情報の不足が、対策の実効性を左右するためです。

そこでHCCは、人を排除すべき「最弱のリンク」とだけ捉えません。 人は不審な挙動を見つけて報告し、状況に応じて判断し、対策を改善する担い手でもあります。 ミスをした個人だけを責めるのではなく、判断を支える仕組みが機能したかまで調べることで、再発防止の対象が広がります。

教育だけに依存する対策には限界がある

セキュリティ教育は必要ですが、年に一度の研修だけで人に関わる問題を解決することは困難です。 教育への過度な依存は、従業員が内容を記憶し、複雑な状況でも常に正しい判断をするという前提を置いてしまいます。

たとえば標的型メール訓練でクリックした従業員への注意や再教育だけで対応しても、紛らわしいメールを見分ける情報や、迷ったときに相談できる経路が不足していれば、組織の防御力は十分に上がりません。 訓練結果は個人の評価だけに使うのではなく、教育、報告手段、技術的な防御がどこで機能しなかったかを調べる材料としても使えます。

セキュリティ上の摩擦が業務と人材へ影響する

操作を何度も中断する認証、優先度を判断できない大量のアラート、実務と合わない承認手順は、従業員の生産性を下げるだけではありません。 警告疲れや規則の形骸化を招き、本当に対応が必要な場面での見落としにつながります。

セキュリティ担当者も例外ではありません。 夜間の判断、大量のアラート、分断された管理画面が続けば、疲労と認知負荷が判断の質を下げます。 HCCは、利用者の使いやすさだけでなく、防御する側が持続可能な状態で働けるかも設計対象に含めます。

AIが普及しても人の判断は残る

AIはアラートの整理や定型作業の自動化に役立ちますが、誰にどの権限を与えるか、事業への影響を踏まえて何を優先するかといった判断まで消えるわけではありません。 AIが示した結果を人が検証する場面では、根拠の表示、誤りを訂正する手順、過信を防ぐ役割分担が必要です。

NISTのコンセプトペーパーも、AIなどの新技術が人の負担を軽減する一方、人とAIの関係がセキュリティ体験へ良い影響も悪い影響も与え得ると指摘しています。 自動化が増えるほど、残された判断を人が安全に行える設計が問われます。

HCCの考え方から対策を捉え直す例

HCCは特定の製品や単一の施策ではなく、対策を設計するときのアプローチです。 次の表は、人のニーズ、能力、限界を考慮すると、既存の対策をどのように捉え直せるかを示した例です。 NISTが定めた要求事項や実装例ではありません。

人のニーズ、能力、限界を考慮しても、すべての操作を簡単にできるとは限りません。 高いリスクには強い制約が必要です。 その場合も、制約の理由を伝え、業務を止めない代替手段を用意し、現場で発生した負担を確認することで、安全性と業務の両方を維持しやすくなります。

NISTのHCCガイドラインはこれから整備される

2026年9月時点でNISTが公開しているのは、今後作成するガイドラインとリソースの方向性を示したコンセプトペーパーです。 組織向けの公式な導入手順、チェックリスト、成熟度基準はまだ公開されていません。 現時点では、コンセプトペーパーを確定した規格や実装ガイドとして用いず、HCCの対象範囲と今後の議論を知るための資料として読むのが適切です。

コンセプトペーパー本体の日付とCSRC公開ページの日付は2026年8月12日で、NISTは8月17日付のブログで公表を告知しました。 一方、NISTの出版データベースには7月30日付で登録されています。 これらは文書の日付、データベース上の日付、告知日という異なる記録です。

NISTは、HCCをアプローチとして測るのか、文化、信頼、使いやすさ、レジリエンスなどの成果として測るのかを含め、関係者から意見を募っています。 どの組織が何を実施すればHCCを実践したことになるのかは、今後の検討とガイドライン整備を待つ必要があります。

NISTは最初に、HCCの範囲、目標、組織にとっての利点を伝える基礎的な文書を作る計画です。 その後のガイドラインとリソースについては、次の4つの提供方法が候補として示されています。

• 既存のNISTサイバーセキュリティ文書へHCCのガイドラインを組み込む
• 既存のNIST文書との対応関係を示した独立文書を作る
• セキュリティ文化、usable security、コミュニケーションなど、特定テーマの短い文書を作る
• HCCを導入した成功例や、HCCの欠如が悪影響を与えた事例をケーススタディとしてまとめる

既存のNIST文書との対応関係は、該当する場合にNational Online Informative References（OLIR）として提供する方針です。 成果物の形式には、クイックスタートガイド、動画、ツール、チェックリスト、テンプレート、研修モジュールなども挙げられています。 NISTのHCCプロジェクトページによると、今回の目標はHCCの共通理解を作り、組織が実際に使えるガイドラインとリソースへの道筋を定めることです。

したがって、現時点で「NIST準拠のHCC認証」や確定した成熟度基準があるかのように扱うことはできません。 一方で、NISTが既存のサイバーセキュリティ文書との関係を整理し、規模や業種の異なる組織でも使える成果物を目指しているため、HCCという名称と今後示される実践方法が広く認知される可能性があります。

まとめ

HCCは、人のニーズ、能力、限界を中心に据えて、セキュリティの方針、プロセス、技術、サービスを設計、実装し、意思決定するアプローチです。 利用者を弱点として管理するだけでなく、報告者、判断者、問題解決者として支えます。

HCCはusable securityなどに連なる既存の研究と実践の領域であり、NISTが2026年に生み出した新しい概念ではありません。 NISTは2026年8月のコンセプトペーパーでその範囲と課題を整理し、実務向けガイドラインとリソースの整備を進めようとしています。

2026年9月時点で、組織が導入できる「NISTのHCC規格」や公式手順はありません。 コンセプトペーパーは将来のガイドラインの方向性を検討する資料であり、NISTは9月30日まで意見を募集しています。 現段階ではHCCへの準拠を掲げるのではなく、公開資料で議論の範囲を確認し、必要に応じて実務上の課題や要望をNISTへ伝えることができます。

人を含めたセキュリティ体制の改善にお困りの場合

自社だけで現場の課題を把握し、実行可能な対策へ落とし込むことが難しい場合は、弊社のセキュリティチーム代行サービスをご検討ください。 セキュリティ施策の計画、運用手順の整備、従業員からの相談対応、継続的な改善まで、外部のセキュリティチームとして支援します。