実際のサイバーインシデントが発生したとき、それは教室の授業には似ていません。インストラクターが攻撃を一時停止して、研修生が定義を書き留められるようにすることはありません。ランサムウェアは、チームが学習ガイドをパラパラめくっている間、行儀よく待ってくれません。侵害が始まったその時から、一秒一秒がプレッシャーです - 混乱、ノイズ、断片的な情報、偽の手がかり、そして何かがおかしいのに誰にもその理由がわからない、その瞬間に押し寄せて止まらないアドレナリン。
しかし奇妙なことに、ほとんどのサイバーセキュリティ教育は、実際に攻撃されることはないかのように人々をトレーニングしています。
20年間、サイバー指導はほぼ同じように見えました：講義、スライドデッキ、認定、そして電話が鳴り始める午前2時30分にSIEMのライブアラートを解釈できるかどうかではなく、正しい頭字語を覚えているかどうかをテストする多肢選択式試験。
そしてそのギャップ - 知ることと行うことの間のギャップ - こそが、組織が侵害されている場所なのです。
「サイバーセキュリティについて教える」ことの問題点
サイバー世界は、攻撃について語ることはできても、実際に戦ったことのない専門家で溢れています。
最近の卒業生にランサムウェアについて説明するように頼めば、多くの人ができます。 ランサムウェアを封じ込めるように頼めば、不快な沈黙が続くことがよくあります。
サイバーセキュリティにおけるほとんどの失敗は知識不足から来るのではありません。練習された直感の欠如から来ます。誰もが「感染した資産を切断する」ことを暗記できます。しかし、実際のインシデント対応では、問題はこれです：どのデバイスを、どの順序で、ビジネスへの巻き添え被害を避けながら切り離すのか - そして今すぐ誰に知らせる必要があるのか？
こうした判断力を、クイズで養うことは不可能です。
なぜ私たちは読んだことではなく、したことを覚えているのか
人間は行うことによって学びます - これは比喩ではありません。生物学です。
パイロットに、シミュレーターで着陸させるのと比べて、飛行機の操縦について読むのに何時間費やしたか尋ねてみてください。 外科医に、筆記試験に合格した後で初めて患者を手術したかどうか尋ねてみてください。 兵士に、最初の実弾射撃の決定が戦場で起こったかどうか尋ねてみてください。
経験は、理論からは得られない種類の記憶を生み出します。私たちが行動するとき、脳は異なる形で回路をつなぎます。
サイバーセキュリティも違いはありません。防衛者は情報以上のものを必要としています - 彼らは反射を必要としています。
SOCアナリストがラテラルムーブメントを初めて見るのは、本番環境であってはなりません。
シミュレーションは方程式を変える
ハンズオンシミュレーションは、学習者を現実の混乱 - 不確実性、プレッシャー、不完全なログ、誤解を招く手がかり、突然のエスカレーション - に接触させます。
現実的なサイバーラボでは、単にSQLインジェクションについて「学ぶ」だけではありません。攻撃者がそれを悪用するのを見て、トラフィックを精査し、流出を特定し、データベースが空になる前にドアを閉めます。コマンドアンドコントロールを「勉強」するのではありません。ビーコンを発見し、その通信チャネルを遮断し、キルチェーンを文書化します。
人は練習したことを覚えています。 そして覚えていることこそが、ストレス下での行動になります。
シミュレーションは、学習者を観客からオペレーターに変えます。
研究が示すこと
研究結果は一貫した方向を示しています：STEM分野の225件の研究を対象としたメタ分析では、従来型の講義を受けた学生は、アクティブラーニングを取り入れた授業の学生に比べて、単位を落とす割合が1.5倍高いことが示されました（Freeman et al., PNAS, 2014）。
これは魔法ではありません - 人間の脳がそのように進化してきたのです。プレッシャーと結果は注意を研ぎ澄ませます。インタラクションは神経回路を強固にします。感情は記憶を定着させます。
ライブの攻撃シナリオは、どんなPowerPointにも真似できないほど忘れがたいものです。
間違えることのコスト
トレーニングの失敗がもたらす代償は年々大きくなっています。
組織はツールに何百万ドルも費やしていますが、侵害の大部分は依然として人の関与 - ミスステップ、見落とし、誤った仮定、遅延 - に起因しています。サイバーセキュリティは単なるエンジニアリングの問題ではありません。それはパフォーマンスの問題です。
従来のトレーニングは、プレイブックを説明できる専門家を生み出します。 シミュレーションは、プレイを実行した専門家を生み出します。
これらは同じ結果ではありません。
誰も認めたくない部分
何年もの間、サイバーセキュリティ文化は能力よりも認定を評価してきました。認定は採用を容易にしました。それらは標準化された共通言語をもたらしました。それらはグローバルな人材層を生み出しました。
しかし、それらは盲点も生み出しました：資格がレディネスに等しいという仮定です。
第一世代のサイバー防衛者は、代替手段がなかったため、ライブインシデントに放り込まれることで学びました。今日、代替手段は存在しており、それを使用しないことはますます過失に見えます。
サイバーレディネスの新しいベースライン
シミュレーションはもはや「あればいいもの」ではありません。
それは急速に当然の前提になりつつあります：
- 国家レディネスプログラムを構築する省庁
- アカデミーを立ち上げるトレーニングプロバイダー
- 侵害の影響を減らそうとする企業
- ルールに縛られない敵対者に備える防衛チーム
シミュレーションは、スキルを流し読みするのではなく、身につけることを求めるため、人々をより速くレベルアップさせます。
もっと重要なことに - それは自信を築きます。アラートが本物であるときに重要な種類の自信です。
未来は参加であり、プレゼンテーションではない
サイバーセキュリティは講義ではありません。それはキーボードとコンソールを通じて行われるコンタクトスポーツです。
トレーニングを理論的なものとして扱う組織は、環境が燃え上がる最初の瞬間に凍りつく防衛者を生み出し続けるでしょう。シミュレーションを通じてトレーニングする組織は、マッスルメモリー - それが重要なときに現れる種類の記憶 - を持つ専門家を育てるでしょう。
なぜなら、結局のところ、重要な唯一のトレーニングは、プレッシャーの下で機能するトレーニングだからです。
ハンズオンはサイバー教育の代替手段ではありません。 それはサイバー教育そのものです。
そしてそれは、まさに間に合うタイミングで到来しつつあります。