“心の隙”を突くサイバー攻撃が急増、被害を抑え従業員の「行動を変える」方法は何かミスを犯す「人」をターゲットにしたサイバー攻撃に対し、どう対応するのが正解なのかワクチンや 給 付 金をかたったフィッシングメールなど、人の 不安 や 恐 怖につけ込 んだサイバー攻 撃が急 増している。
「 通信相手を信 頼せずに攻 撃されることを前提とする」コンセプトを持つ“ ゼロトラスト”のセキュリティ対 策をはじめ、新たな 製 品やサービスも登 場しているが、人 間の心 の 隙 を突く攻 撃 には 、十 分な 対 策 が で きているとはいい 難 い 。こうした状 況 で 、企 業 はどのようにリスクコントロールすればよいのだろうか。人に焦点を当てたセキュリティ対 策と被害が発生した時の 備えについて整 理する。



MS&ADインターリスク総研 株式会社
新領域開発部長兼
MS&ADインシュアランスグループ
ホールディングス
総合企画部イノベーション室 部長

KnowBe4 Japan 合同会社
日本代表マネージングディレクター

株式会社 電通国際情報サービス
金融ソリューション事業部
戦略アライアンス部
ソリューションディレクター

土井 剛 氏根岸 正人 氏赤澤 卓真 氏

テレワーク拡大で、人の不安・恐怖につけ込むサイバー攻撃が急増の平均について、1億数千万円という記載がある。軽微なインシデントが多いことを考慮すると、現実の金額は、これを大きく上回るだろう。

IPA（独立行政法人情報処理推進機構）は毎年、「 情報セキュリ「ソーシャルエンジニアリングと呼ばれる、人間の心理的な隙ティ10大脅威」を発表している。このランキングには個人編と組や、行動のミスに付け込むサイバー攻撃を100％防ぐことはでき織編の2つがあるが、2021年度の組織編でいきなり3位にランクないため、損害が発生する可能性が高い」「 損害をなるべく防ぐインしたのが「テレワーク等のニューノーマルな働き方を狙っため従業員のリテラシーを上げたい」──。従来のセキュリティた攻撃」だ。

対策に加え、新しいスタイルのセキュリティ教育が求められていうまでもなく、これは新型コロナウイルスの世界的なパンデミックの影響だ。対人の活動が制限された結果、テレワークを初めとする新しい働き方が広がり、これまで社外との境界を防御してきた社内ネットワークに、社外の端末から接続する必要性が高まった。その結果、その端末を狙ったサイバー攻撃が急増したのだ。特に顕著なのが、人々の不安・恐怖につけ込んだ攻撃だ。ワクチンや特別給付金などの内容を騙（かた）ったフィッシ
ングメールはその典型だろう。

いる状況に、企業はどう備えればよいのだろうか。

日本初、セキュリティ教育付きのサイバー保険「100％防ぐことは難しいサイバー攻撃」に対し、損害を補償するのが「サイバー保険」だ。
MS&ADインターリスク総研 新領域開発部長 兼 MS&ADイン
シュアランスグループホールディングス 総合企画部 イノベーション室 部長 土井 剛氏は、サイバー保険について次のように説明する。
「一般的にサイバー保険は、事故により生じた第三者に対する損害賠償、フォレンジックなどの調査や被害者へのお見舞いにかかる費用、自社の喪失利益を補償する保険です。現在、サイバー保険への引き合いは急速に増えています」（土井氏）
ただし、サイバー保険はあくまで"事後対策"の1つだ。事故を防ぐため或いは被害を早く見つけ最小化するための対策、特に従業員への教育は、各企業が独自に準備・推進しなければならなかった。しかし2021年3月、サイバー保険と、従業員のITリテラシーを上げる「従業員教育」を組み合わせたサービス

情報処理機構（IPA）の「情報セキュリティ10大脅威 2021」
は在宅勤務に関するものが上位を占めたが誕生した。
MS&ADグループと従業員のセキュリティ教育をクラウドで提供するKnowBe4（ノウ・ビフォー）、同社の販売代理店である電通国際情報サービス（ISID）の3社の協業により、「セキュリティ教被害が増えている背景には、急いでテレワーク環境を整備し育サービス付きサイバー保険」がリリースされたのである。

た結果、従業員教育が追いついていない現実もある。本来なら在

この損保業界で初めての取り組みは、具体的には、三井住友海宅業務に合わせたルールを理解・納得してもらい、徹底する必要

上とあいおいニッセイ同和損保が提供するサイバー保険（※）にがあるが、現実にはそこまでできている企業は少ない。

加入すると、KnowBe4の教育コンテンツを利用できるというも今までなら、不審なメールを受信したら隣の同僚に相談したのだ。このサービスにより、「損害補償」と「従業員教育」の両輪でり、IT部門に確認したりできたのにそれができない。攻撃側にの対策が可能になり、“リスク発生時の効果“と“リスクの予防効とって、こうした状況は非常に有利だ。仮に関係者が1000人い果”を同時に併せ持つ新たなサイバーセキュリティを実現できるる場合、そのうちの1人でも“ひっかける”ことができたら成功だ

ようになったのだ。

からだ。
その結果、個人情報をはじめとする機密情報が漏えいしたら、或いは昨今猛威を振るっているランサムウェアにより事業※ 各社商品名は異なり、三井住友海上は「サイバープロテクター」、あい中断などが発生したら、企業は莫大な損失を被ることになる。

おいニッセイ同和損保は「サイバーセキュリティ保険」となっている。

経済産業省 商務情報政策局 サイバーセキュリティ課が2020年12月に発表した「注意喚起」には、サイバー攻撃による被害額

KnowBe4 Japan 日本代表マネージングディレクター 根岸正人氏は、「 従業員教育」を担うKnowBe4の特徴を次のように土井氏も、はじめてKnowBe4のコンテンツに触れたときの印象を次のように語る。

述べる。
「私が初めてKnowBe4を知ったのは2018年でしたが、『こんなに「どんなにセキュリティ対策を徹底しても、心の隙、人の脆弱性楽しく学習できるサービスがあるとは！』と衝撃を受けました。

を突く攻撃を防ぐことは困難です。したがって、従業員のセキュコンテンツが攻撃者目線であることにも感心しましたし、攻撃リティ意識を改革し、行動変容を起こさせ、組織内にセキュリ者が何を考えて、どういうところを狙っているのかが非常によティカルチャーを醸成することが重要です。KnowBe4は、それく分かるのです」（土井氏）

を実現するためのクラウド型サービスです」（根岸氏）
もちろん、コンテンツはすべて多言語対応で、かつ各国の最新“ネットフリックスさながら”の短編映画でランサムウェアを学ぶ事情を反映している。
「たとえばフィッシング詐欺の訓練メールは、給付金詐欺や都市銀行など実際に国内で出回っているメールのテンプレートが用

日本のセキュリティ教育はIT部門主導によるIT教育の一環と意されています。テンプレートをカスタマイズしたり、新しくして実施されるが、従業員のセキュリティ意識を改革し、行動変作ったりすることもできます。コンテンツは多言語対応してい容を起こさせ、組織内にセキュリティカルチャーを醸成するにますので、グローバル企業は海外の従業員も含めて教育するこは、セキュリティ教育の「中身」、つまりコンテンツをこれまでととが可能です」（根岸氏）

まったく違うものに変える必要がある。
従来のセキュリティの教育コンテンツというと、「 つまらない」「退屈」「 単 調 」と い っ た 印 象 を 抱 く も の が 多 か っ た 。
し か し 、K n o w B e 4 の コ ン テ ン ツ は ま っ た く 違 う と 、根 岸 氏
は 次のように説明す る 。
「従来のセキュリティのコンテンツは、3日もすればすべて忘れてしまいます。テストをしても、『合格すればいい』というその場限りの考え方では、とても意識改革はできません。KnowBe4では、従来型のコンテンツに加え、ゲーム感覚のクイズや動画コンテンツを豊富に用意して、楽しみながらセキュリティ・リテラセキュリティ意識向上トレーニングを続けることでどんどん従業員の意識が変化していくシーを身につけることができます」（根岸氏）
たとえばランサムウェアであれば、ネットフリックスのオリジナルムービーさながらの12本の短編動画が用意されている。
もしさらに、KnowBe4ならではの特徴が、成績やリスクを可視もランサムウェアに感染したら何が起きるのかを、従業員はサス化できることだ。電通国際情報サービス 金融ソリューション

ペンス映画を見るように、楽しみながら学ぶことができる。

事業部

戦略アライアンス部 ソリューションディレクター

赤澤 卓真 氏は、その意義を次のように説明する。
「従来はセキュリティ・リテラシーの“習得度”を、数値化することが不十分でした。しかしKnowBe4では、個人の成績はもちろん、部署単位や組織全体のリテラシー習得度をリスク値などで数値化し、リテラシーが高いのは、どの部署なのか、誰なのかを把握し、その結果をもとに習得度に応じた個別のトレーニングを実施できます。たとえば、過去1年間に実施したメール訓練で2回クリックしてしまった人にフィッシングに関する講義を受講させること、SNSなどのソーシャルメディThe Inside Man Season 2 Trailer - Japanese
KnowBe4のセキュリティ意識向上ビデオ動画シリーズ「The Inside Man シーズン2：外部から忍び寄る内部犯行」
日本語吹替予告編

https://youtu.be/Fi415m-pihE

アに関するリテラシーが低い人にソーシャルメディアに関する講義を受講させるなど、一連の取り組み（理解度テストやリスクスコアなどを自動集計し分析結果からメンバーを動的にアサインし、補習教育の配信及び受講を促す）を自動化する仕組みまで用意されています。習得度を数値で管理することにより、経営者に対して導入効果を適切に報告すること、従業員に対しても個人の習得度に応じた適切な量や内容を受講してもらうこともできます。自動化の仕組みなどを使って管理者



リスクの発現を抑え、発現したときの経済的負担を最小化する
未来のサイバー保険の運用負荷も軽減し、本来行わなければならない最新セキュKnowBe4のセキュリティ教育サービス付きのサイバー保険

リティ脅威の把握や対策に時間を割くことができます。そうには、すでにいくつかの大手企業から問い合わせがきているとすることによって社内関係者（経営者・従業員）が教育全般にいう。

対して理解が深まり、協力的になることで、従業員の受講率の向上などにもつながります」（ 赤澤氏）「大手企業の場合、技術的なセキュリティ対策には、これまでかなりの投資を行っています。しかし、ソーシャルエンジニアリングのような人間の心理的な隙や、行動のミスに付け込むサイバー攻撃に対する対策は、なかなか決め手がないのが現実です。そうした中、KnowBe4のような従業員のセキュリティ・リテラシーの向上を目的とした新しい教育プラットフォームに関心を抱く企業が非常に多いです」（赤澤氏）
確かに最近はゼロトラストのセキュリティ対策が強調され、人工知能（AI）を使って未知のマルウェアを検知・駆除するソKnowBe4のダッシュボード。
組織全体のリスクをスコア化リューションも登場している。今後も、最新のテクノロジーがセキュリティ対策に組み込まれるだろう。
一方で、テクノロジーの進化から取り残されているのが人間だ。セキュリティ対策が高度化すればするほど、人間そのものがシステム全体の脆弱性になってしまう。
「MS&ADインシュアランスグループでは、リスクをいち早く見つけお伝えし、リスクの発現を防ぎ、その影響を最小化するとともに、リスクが現実となったときの経済的負担を小さくするお手伝いをすることを、『 価値創造ストーリー』と呼んでいます。今回のKnowBe4とサイバー保険の組み合わせは、この価値創造ストーリーに沿った『未来のサイバー保険の1つの形』だと考えています」（土井氏）
テクノロジーが進化し、サイバー攻撃も、それに対抗するセ数値化により個人、部署、組織全体のリスク値やセキュリティ・リテラシー習得度を管理

キュリティ対策も高度化・複雑化している。一方で、旧態依然のままなのがセキュリティ教育だ。KnowBe4は、そこを変革する。
ただし、それでもリスクをゼロにすることはできない。だからこそ、KnowBe4とサイバー保険の組み合わせ、つまり「損害補償」と「従業員教育」の両輪での対策に意味があるのだ。セキュリ
ティ対策を次のレベルに引き上げる意味でも、ぜひ検討していただければと思う。

株式会社電通国際情報サービス（略称 ISID）
金融ソリューション事業部

戦略アライアンス部〒108-0075 東京都港区港南 2-17-1E-mail : g-security@group.isid.co.jp
Tel : 03-6713-7030
ソリューション紹介 URL ：https://security.isid.co.jp/knowbe4/※ 本カタログは2021年7月時点での情報です。内容は予告なく変更する場合がございます。
※ 本文書に記載されている会社名、製品名、サービス名およびロゴは、ISIDもしくは各社の商標または登録商標です。

ソリューションの詳細情報はこちら