最大の脆弱性「人」をどう改革する？
働き方の変化で問い直されるセキュリティ

セキュリティ製品で固めても、人からほころびが生まれてしまう

新 型コロナウイルス 対 策 で 、企 業のテレワークは 爆 発 的に 加 速した 。これは 、何層ものセキュリティ技術で守られた上でルールに従って利用してきた社内ネットワークではなく、自宅 のような防 御 が 薄く自分 勝 手に 運 用できるネットワーク環 境 から会 社にアクセスすることを意味している。こうした中、これまで以上に重要になるのは社員のセキュリティに対する「意識」と、それをどう「教育」していくかだ。
INTERVIEWEE
株式会社電通国際情報サービス
金融ソリューション事業部
営業企画部

KnowBe4 Japan 合同会社
日本代表

アルテア・セキュリティ・コンサルティング
代表

赤澤 卓真

根岸正人

二木真明

「セキュリティは大切」というかけ声だけでは守れない
しばしば「人は最大の脆弱性」と言われる。たとえ次世代ファイアウォールやUTM、サンドボックスといったさまざまなセキュリティソリューションを導入していても、取引先や顧客を装い、実際のやりとりをそのままなぞった電子メールの添付ファイルをうっかり開いたり、本文中のURLをクリックしたりすると、悪意あるソフトウェアに感染することは避けられない。こうした人の脆（もろ）さを突かれ、情報漏えいやランサムウェ
アによって業務停止に追い込まれるケースは枚挙にいとまがない。
セキュリティは技術だけでは確保できない。さまざまなサイバー攻撃から自社の業務や機密情報、顧客の個人情報を守るには、人や組織がセキュリティの大切さを意識することが重要だ。こうした問題意識に基づいて、昨今、多くの企業が従業員のセキュリティ教育を定期的に実施している。この結果、たとえば従業員に「セキュリティは大切ですか？」と尋ねたら、10人が10人とも「はい」と答えることだろう。
だがそれは果たして、具体的な行動に結びつくレベルに達しているだろうか。頭ではセキュリティの重要性を理解したつもりでも、クラウドサービスを始めとする新たな環境で未知の攻撃に遭遇したときに、身を守る最も適切な方法を選べるだろうか。

五世代目に至った経緯

1

第一世代

テクノロジー（セキュリティ対策製品）に依存

2

第二世代

集合研修 パワーポイント資料（独自コンテンツ制作または外部委託）3

第三世代

勉強会方式、セキュリティ教育ビデオ、Eラーニング受講

4

第四世代

標的型攻撃訓練メール配信システム（年に1回）ランサムウェア対策

5

第五世代

ヒューマンファイアウォールアプローチ(NEW SCHOOL: 定期的、継続的な自動化運用）
1︓オンラインで全社員を教育（学習と体験を重視、セキュリティを第一のマインド形成にする）
2︓フィッシング詐欺攻撃、本番さながらの疑似演習体験とテンプレートのカスタマイズ
3︓訓練メールとセキュリティ教育を連携、自動化（IT管理者の負担を大幅に軽減）
4︓結果をスコアで数値化（受講者、部署、全社レベル）
5︓テスト結果に基づく、グループ化と教育プログラムのカスタマイズ化
6︓フィッシング詐欺ヒット率の可視化と同業他社との比較（ベンチマーク）
7︓リスク削減効果の測定

テレワークが「新常態」となりつつある今、既存のセキュリティ教育の限界を打破した、新たなアプローチが求められている。

人の心理的弱点を突いたサイバー攻撃が激化しているのです」と二木氏は述べ、実際に新型コロナウイルスそのもののほか、企業のIT部門やクラウドサービスのサポート

新たな環境で頼りになるのは1人ひとりのセキュリティ意識
この数年、働き方改革の一環として、またデジタルトランスフォーメーション（DX）の一手段として、クラウドをはじめとする新たなテクノロジーの導入が進んだ。こうした変革には多くのメリットがあるが、一方で過去は明確だった企業の内と外とを分ける境界があやふやになる事態も招いている。
しかも、こうした取り組みにはスピード感が求められる。新型コロナウイルス感染対策の一環として一気に広がったテレワーク導入の場合が顕著だが、環境整備を急ぐあまりにセキュリティ面の検討には目をつむってしまうケースは少なくない。その結果、セキュリティのルール整備の穴や人の心理の隙を突いたサイバー攻撃がどんどん広がっている。
この問題は、テレワークを前提とする新しい働き方の中でさらに重要になるだろうと、
アルテア・セキュリティ・コンサルティング代 表で、電 通国際 情報サービス（ISID）金融ソリューション事業部のセキュリティビジネス技術戦略アドバイザーを務める二木 真明氏は言う。
「自宅で仕事をしていると、会社にいるときと違って、何かあったときにサポート部門へ尋ねたり、周りに相談したりすることは難しいのではないでしょうか。そのような中で、部門を装ったフィッシング攻撃が増えていると指摘した。
各種の多層防御で守られていた企業システムとは異なり、守りが手薄なテレワーク環境で頼りになるのは、個々人のセキュリティ意識だ。

「これまで会社のオフィスやファイアウォールなどの壁に守られ『このルールを守ってやりなさい』と言われてきた人たちが、いきなりルールがないところで仕事をしなければならない状況です。そんなとき、何が最良の方法なのか自分の頭で考えられないと、適切に守ることは困難です」（二木氏）

楽しく学べるコンテンツと実戦さながらの訓練、分析によって意識変革を実現
壁に守られた内側で「このルールさえ守っていればいい」という一種の思考停止に陥っていたセキュリティの世界。それを根本的に変え、新しいICT技術や環境変化にも対応できる「セキュリティ意識改革」を実現しようとしているのが、KnowBe4だ。
KnowBe4 Japan合同会社の日本代表マネージングディレクター 根岸 正人氏は、長年サイバーセキュリティ業界に携わってきた経験も踏まえて「情報セキュリティ教育

ではなく、社員1人ひとりのセキュリティ意識改革、セキュリティアウェアネスが求められています。
マインドセットに変革を起こし、日々求められるさまざまなセキュリティ上の判断において、社員が的確な意思決定を下せるようにしていく。それが『HumanKnowBe4を活用することで、たとえば当初は30％前後だった添付ファイルの開封Firewall』の形成につながります」と述べ、ひいては企業の中にセキュリティカル率が、1年後には2％にまで低下できるといった効果も現れているが、そこは本質ではHuman Firewallという目的を実現するためにKnowBe4が提供しているのが、に付け、何かおかしいなと思ったら「PhishAlert」ボタンを通じて即座に報告する習慣チャーを根付かせていくことが重要だとする。

セキュリティ意識向上に向けたさまざまな教育と、フィッシングをはじめとする多様なサイバー攻撃のシミュレーションによる訓練と、その分析・レポートを統合し、継続的に繰り返し実施できるSaaSプラットフォーム「KnowBe4」だ。
おそらく多くの人が思い浮かべる「情報セキュリティ教育」は、無味乾燥な集合研修やeラーニングに参加し、分かりきった事柄や、逆になんだか難しすぎてよく分からない。最終的な目的は社員のセキュリティ意識を改革し、不審なメールに気付く力を身を身に付け、セキュリティを意識した運用を実現することだ。

二木氏も「こうした訓練を通じて、何百人、何千人といる社員の中から1人でも怪しいメールを報告してくれれば、それを元にSOCが調査し、本当にまずい攻撃であれば全社員に注意喚起を出すことができます。100人のうち1人が気付いて報告すれば、残り99人が守られることになるのです」と述べた。

こうした特徴を備えたKnowBe4プラットフォームを、同社は「第五世代」の学び方とない内容を受け身で学ぶというイメージだろう。
これに対しKnowBe4では「早く続きを見たい」と思わせる1100種類以上のドラマ定義している。これにより楽しく簡単に、現状を分析して弱いところを把握し、新たに仕立ての動画を通じて、セキュリティを自分ごととして捉え「自分たちの周囲にどんな動画中心のコンテンツで教育を実施することで継続的にセキュリティ意識を醸成して危険性があるのか」「 不用意な行動がどんな被害を招く恐れがあるのか」など、さまいくというわけだ。

ざまな学びが得られるようになっている。
また、本物のサイバー攻撃さながらのメールを用いた訓練・演習も大事な構成要素だ。KnowBe4では5100種類以上のテンプレートの中から、フィッシングメールや標的型攻撃メール、あるいはビジネスメール詐欺（BEC）など、さまざまな種類の訓練

統合プラットフォームだからこそ実現できる
効率的で計画的な学習メールを従業員に送付し、不審なメールに気付く力を身に付ける手助けをしていく。

ただ、いくら従業員のセキュリティ意識の変革が容易にできるとしても、IT管理者、特徴の1つは、添付ファイルの開封率だけでなく、開かれたOﬃceドキュメントでマクセキュリティ担当者に過度の負担をかけてしまうようでは健全とは言いがたい。その点ロが有効にされたかどうかや、URLをクリックしてランディングページに誘導され、KnowBe4は、教育と訓練、分析を1つのプラットフォームに統合し、少ない手間で運用さらにユーザーIDとパスワード情報を入力してしまったかどうかなど、細かなアクティしていける。部署、あるいは訓練結果に基づく「グループ」ごとに、どういう教育プログビティまで把握できることだ。こうした情報を基に、セキュリティ担当者が「我が社はどラムを実施するかを簡単に設定して実施し、その結果を一元管理できる。の手口に弱いか」「どの部署にどんな傾向があるか」というリスクを把握し、どのように対処するかを考えるのに役立てる。

KnowBe4のパートナーとして販売を行うISIDの赤澤 卓真氏は「SCORMに準拠した自社所有の教育コンテンツや動画ファイルも取り込めるため、セキュリティだけでなすでに少なくない企業が、サイバー攻撃の巧妙化を受け、標的型攻撃メール訓練く社員教育全般のプラットフォームとしても活用できる。また、従業員をグループ化しを年に1、2回の頻度で実施しているだろう。だがその多くは監督官庁や関係会社に『訓練後、開封してしまった人をグループ化し、それを補う教育を受けさせる』といった言われたからとりあえずやるという感じで、成果に結びついていない恐れがあるとジョブをWebインターフェース上で簡単に作成できることも特長だ」と説明し、バラ

根岸氏は指摘する。

バラの製品やサービスを組み合わせるのではない統合プラットフォームならではの「訓練メールを用意する手間やコストも課題ですが、何より、前回の訓練と比較して会社のリスクがどのくらい変化し、どのくらい改善したかという観点がないため、訓練の効果が測定できていません」（根岸氏）

これに対しKnowBe4では、教育・トレーニングを経た後に訓練を実施し、社員がメリットを強調した。

さらに 二 木 氏 は「 た と え ば 、あ らか じ め 定 め た 年 間 計 画 やスケ ジュー ル をKnowBe4のプラットフォームに登録すれば、後はそれを自動で実施していける。
省力化した分、セキュリティ担当者は、その時々の流行の手口や注意喚起が必要な内容にフォーカスした個別のトレーニングに力を振り向けることができる」と述べた。
ISIDでは、多言語対応、グローバルプラットフォームという点も踏まえ、同社が強み本当にその内容を理解しているかを確認し、その結果に基づいて適切なコンテンツを持つ製造業や金融サービス業などを中心にKnowBe4を提供し、従業員のセキュリを用いて再トレーニングをし、さらにその効果を計測していく……というサイクルを、ティ意識改革を支援していく。中には、従業員のセキュリティ意識を数値化できる点を年間サブスクリプション契約の中で繰り返していくことができる。

評価して日本の本社よりも先に海外拠点側がKnowBe4を採用し、後にグローバル展開として全世界の従業員を対象に展開されるケースもあるという。
日本の製造業が世界で評価された原動力の1つは、ただマニュアル通りに作業を進めるのではなく、従業員1人ひとりが問題 意識を持って自分たちの頭でよりよい方法を考え、仕事の仕方を変えながらもの作りに取り組んだからだ。

フィッシング詐欺ヒット率を数値化

サイバーセキュリティも同じように、1人ひとりがセキュリティ意識を持つことで、想定外の事 態に直 面しても「こういうときにはこういう理由でこうしてきたから、

Phishing Security Tests - Last 6 Months
429 Clicks 22 Replies 83 Attachment Open 7 Macro Enabled 154 Data Entered 21 Reported

この場 合はこうすべきだ」とスムーズに判 断を下し、リスクを回避していくことが200できるだろう。KnowBe4はそれを手助けする大きな力になってくれるはずだ。

マクロを有効30%

150

訓練メールに返信

クリックした人
添付ファイルの開封

20%

不審メール
報告

データ入力

フィッシング詐欺
ヒット率10%

0%

100

50

Total User Actions

フィッシング詐欺ヒット率（％）

40%を行い、その結果を基に個人や部署毎のセキュリティレベルをスコア化。社員のレベルに合わせた教 育メニューを 、約1,10 0 種 類 以 上の 教 育コンテンツから0クリックした人

訓練メールに返信

添付ファイルの開封マクロを有効データ入力

不審メール報告フィッシング詐偽ヒット率

業界平均

実際の攻撃を基にした4,800種類以上のテンプレートから社員向けに模擬攻撃選択し、受講させることができます。社員のセキュリティ意識を向上させる事でビジネスメール詐 欺 等の「人」を狙うセキュリティ脅威 から個人、組 織、企 業を防 御することを支 援します。

株式会社電通国際情報サービス（略称 ISID）
金融ソリューション事業部

営業企画部〒108-0075 東京都港区港南 2-17-1
E-mail : g-security@group.isid.co.jp
Tel : 03-6713-7030
ソリューション紹介 URL ：https://www.isid-security.com/knowbe4/※本カタログは2020年7月時点での情報です。内容は予告なく変更する場合がございます。
※本文書に記載されている会社名、製品名、サービス名およびロゴは、ISIDもしくは各社の商標または登録商標です。

本ソリューションの詳細情報はこちら