NPTでは、世界167カ国の回答者2万3181人が、日常のデジタル生活やプライバシー意識、デジタル上の脅威への対応などに関する24問に回答した。

　調査によると、日本の総合スコアは41点で世界第9位だった。分野別の正答率は「デジタルリスク」が47％、「プライバシー意識」が44％、「毎日のデジタルライフ」が30％だった。

　回答結果を基にした知識レベルでは、日本の55％が「基礎レベル」、33％が「応用レベル」だった。「入門レベル」は11％で、世界全体の3.3％を上回った。

　ただし、総合順位だけを見ても、日本のユーザーがどのようなセキュリティ上の弱点を抱えているのか分かりにくい。そこで個別の設問を見ると、正答率には大きな差があることが分かった。

パスワードは92％正解、仕事でのAI利用は3％

　日本の回答者が比較的よく理解していたのが、既存のセキュリティ対策だ。強力なパスワードを正しく識別できた回答者は92％。SNSでフォロワーに公開可能なコンテンツを尋ねた設問では91％が正解した。

　一方、AI関連では理解度にばらつきがあった。AIを悪用した一般的な詐欺を正しく識別できるか尋ねる質問に回答できた割合は全体の56％で、世界平均の74％を18ポイント下回った。ディープフェイクコンテンツの兆候を識別できた割合も47％にとどまった。

　中でも低かったのが、「仕事でAIを利用する際に考慮すべきプライバシー上の問題」だ。正しく回答できた日本の回答者はわずか3％だった。

　一方、「AIツールに共有すべきではない情報」に関する設問では、日本の正答率は66％で、世界平均の57％を9ポイント上回った。

　この差からは、「AIに機密情報を入力してはいけない」といった基本的なルールを知ることと、実際の業務でプライバシーリスクを判断することは別の能力である可能性が見えてくる。

AI利用ルールを決めて周知するだけでは足りない？

　企業が生成AIを導入する際、情シスは利用可能なAIサービスを指定したり、入力してはいけない情報を定めたりする。こうしたルールは必要だが、実務では単純に白黒を付けられない場面がある。

　例えば、顧客情報から氏名を削除すれば生成AIに入力してよいのか。社外秘の資料を要約させたい場合、どのAIサービスなら利用できるのか。従業員が個人契約した生成AIサービスに業務データを入力した場合はどうするのかといった内容だ。

　「機密情報を入力しない」とだけ定めても、従業員ごとに「機密情報」の解釈が異なれば、安全な運用にはつながらない。

　情シスには、「何をしてはいけないか」だけではなく、「どのような条件なら利用できるのか」「判断できない場合は誰に確認するのか」まで具体化することが求められる。

AI詐欺だけではない、フィッシングの正答率は8％

　今回の調査から見える課題は、AIだけではなかった。フィッシングサイトを識別するポイントを正しく回答できた日本の回答者は8％で、世界平均の20％を12ポイント下回った。

　銀行から身に覚えのない出金について連絡を受け、緊急の対応を求められた場合に実行すべき適切な行動について尋ねた設問では、正しく選べた日本の回答者は全体の62％だった。この数値は、世界平均の82％を20ポイント下回るものだ。

　ブラウザにクレジットカード情報を保存するリスクについて尋ねた設問では、日本の正答率は69％で、世界平均の87％を下回った。

　一方、アプリケーションを速やかにアップデートするメリットについては日本の64％が正しく回答し、世界平均の58％を上回った。

　この結果からは、従業員のセキュリティ知識を「高い」「低い」と一括りにするのではなく、どの場面で判断につまずいているのかを把握する必要があることが示されている。

「知識を教える」から「判断を練習する」へ

　NordVPNの最高技術責任者（CTO）、マリウス・ブリエディス氏は、プライバシー上の脅威を認識することと、自分の情報を守る具体的な方法を理解することは同じではないとの考えを示している。

　AIによる詐欺が巧妙化し、データ収集の仕組みも見えにくくなる中では、単にルールを覚えるだけでなく、コンテンツを信頼できるか、サービスに渡そうとしている情報が本当に必要なのかを判断する力が重要になるという。

　これは企業のセキュリティ教育にも当てはまる。例えば、「生成AIに顧客データを入力してよいか」「経営幹部を名乗る音声で緊急送金を求められたらどうするか」「銀行から不審な取引を知らせるメールが届いたらどう確認するか」といった具体的なシナリオを基に、判断方法を教育する方法が考えられる。

　生成AIの利用範囲が広がるほど、情シスが整備すべきなのはAI利用ルールそのものだけではない。従業員が迷ったときの確認手順や相談先、例外を認める条件まで含め、実際の業務で判断できる仕組みに落とし込む必要がある。

　なお、NPTは誰でも参加できるオンラインテストで、日本人全体を代表する無作為抽出調査ではない。そのため、今回の数値は「日本人全体の知識水準」ではなく、テストに参加した日本の回答者の傾向として捉える必要がある。

本稿は、NordVPNが2026年9月24日に公開したNordVPN調査、日本のサイバーセキュリティ知識は世界9位 AI詐欺の識別は世界平均を18ポイント下回るを基に作成しました。