正解: B

Level 2（コンプライアンス）は「形は整っているが、中身が伴っていない」段階です。セキュリティポリシーが策定され、年次研修が実施され、ISMSなどの認証も取得されていますが、社員の認識は「義務だから受けている」という受動的な状態です。A はLevel 1（無関心）、C はLevel 4（自律）、D はLevel 3（推進）の特徴です。TechFlow社はLevel 1.5で、Level 2にすら到達していませんでした。

正解: B

セキュリティ文化アセスメントでは「意識（主観）」と「行動（客観）」の両面を測定することが重要です。サーベイで「不審なメールは報告する」と回答していても、実際のフィッシングシミュレーションでクリック率が高ければ、意識と行動の間に乖離があることが分かります。TechFlow社でも、行動意図のサーベイスコアは3.1と比較的高い一方、実際の報告件数は年12件と極めて少なく、この乖離が重要な分析ポイントでした。

正解: B

業務時間の20%を公式に充当する最大の意義は、チャンピオン活動が「ボランティア」や「善意の活動」ではなく、「組織として認められた公式な業務」であることを明確にすることです。これにより、チャンピオンのバーンアウトを防ぎ、マネージャーに対しても「通常業務の一部としてチャンピオン活動を評価する」というメッセージになります。公式な時間配分がなければ、チャンピオンは本来業務との板挟みとなり、活動が持続しません。

正解: D

ゲーミフィケーションの目的は「望ましい行動を楽しく促進する」ことであり、違反者を晒して恥をかかせる（D）のはポジティブ強化の原則に完全に反します。これは罰則的アプローチであり、報告文化の萎縮、心理的安全性の低下、セキュリティへの嫌悪感を引き起こします。A（報告のポイント化）、B（CTF大会）、C（クイズのリーダーボード）はいずれもポジティブな行動を促進する適切なゲーミフィケーション設計です。

正解: B

EAST原則の「Social（社会的）」は、社会的証明（周囲の行動）を活用するアプローチです。「開発部門の95%がMFAを有効化済みです」（B）は、同僚の多くが既に実行しているという社会的証明を提示し、「自分もやらなければ」という動機を喚起します。A（3ステップに簡素化）はEasy、C（ポジティブメッセージ）はAttractive、D（ログイン直後のポップアップ）はTimelyの活用例です。TechFlow社では営業部のMFA有効化率45%を改善するために、この社会的証明ナッジが特に有効でした。

正解: B

OKRのKey Resultは「測定可能なアウトカム（成果）」である必要があります。「研修を4回実施する」（B）はアウトプット（活動量）であり、アウトカム（成果）ではありません。研修を4回実施しても、社員の行動が変わらなければ意味がありません。A（クリック率低下）は行動変容という成果を直接測定でき、C（報告件数増加）は報告文化の定着という成果を、D（心理的安全性スコア向上）は組織文化の改善という成果を測定しています。

正解: B

強化スケジュールの段階的変更は、行動心理学に基づく設計です。導入期（連続強化）では、望ましい行動のたびに報酬を与えることで「この行動=良いこと」という結びつきを素早く形成します。定着期（固定比率）では、一定回数ごとの報酬で行動を安定させます。維持期（変動間隔）では、ランダムなタイミングでの報酬により「次はいつ報酬が来るか分からない」という期待感で飽きを防ぎ、長期的に行動を持続させます。スロットマシンが変動間隔スケジュールで中毒性を持つのと同じ原理を、ポジティブな行動促進に応用しています。

正解: B

年間カレンダーの設計では、外部イベントとの連動が重要な戦略です。10月の国際サイバーセキュリティ月間（Cybersecurity Awareness Month）に合わせてCTF大会を実施することで、メディアや業界全体のセキュリティへの注目度を活用でき、社内イベントの存在感を高められます。また、「世界的な取り組みの一環」として位置づけることで、経営層のスポンサーシップや予算確保がしやすくなります。外部の啓発活動と社内施策を連動させることは、マルチチャネル戦略の効果を最大化する手法です。

正解: B

遅行指標（インシデント件数、被害額）は結果が出てから分かるため、改善のためのアクションが後手に回ります。一方、先行指標（フィッシングクリック率、研修完了率、MFA有効化率、サーベイスコア）は将来の結果を予測する指標であり、改善の兆候や悪化の兆候を早期に捉えることができます。例えば、フィッシングクリック率が上昇傾向にあれば、実際のフィッシング被害が発生する前に追加の教育施策を打つことができます。「インシデントが起きてから対応する」のではなく「インシデントを未然に防ぐ」ために、先行指標の追跡が不可欠です。

正解: C

経営層はビジネスの観点で意思決定を行います。定量的な効果（重大インシデント防止による5,000万円の損害回避、フィッシング被害削減、コンプライアンス効率化）を金額で示し、定性的な効果（セキュリティ文化の改善、従業員エンゲージメント向上、顧客信頼の回復）と合わせて報告します。さらに、楽観・基本・悲観のリスクシナリオを提示することで、経営層が投資判断に必要な情報を網羅的に提供できます。技術的詳細（A）は経営層に伝わりにくく、危機感を煽る（B）だけでは具体的な行動につながりません。ベストプラクティスの全面導入（D）はコストと実現性の面で非現実的です。