KnowBe4の誕生： ヒューマンエラーの克服

セキュリティ意識向上トレーニングとフィッシングシミュレーション・分析を組み合わせた世界最大の統合型プラットフォームのプロバイダーであるKnowBe4は、2010年8月に米国フロリダ州タンパベイで誕生した。今年で創立11年目を迎える。KnowBe4が目指すところは、他のセキュリティテクノロジーベンダーとは、基本的に異なっている。KnowBe4は、セキュリティのテクノロジーの側面ではなく、「人的要素」にフォーカスしている。創立以来、ヒューマンエラーという「人」が抱える生来の問題に取り組んできている。

「人」はうっかりミスをする。「人」は最も脆弱なリンクであり、ここをハッカー達は突いてきている。ヒューマンエラーの克服こそがKnowBe4が目指すところである。

「日本のセキュリティ教育は欧米と比べて、大きく遅れている」

同社の日本法人「KnowBe4 Japan合同会社」で日本代表マネージングディレクターである根岸正人は、「日本のセキュリティ教育は欧米と比べて、大きく遅れている」と指摘している。本ストーリーは、長年にわたり日本市場における最先端ITソリューションの提供に携わってきた根岸正人が、ITセキュリティの現状と課題を探り、日本におけるセキュリティ教育の問題点を紐解いていく。

根岸正人の略歴

日本タンデムコンピューターズにて営業企画を担当、シスコシステムズでは、新規SMB市場向け営業活動に従事。その後、シマンテック、ラック、フォーティネットなど情報セキュリティベンダーにて、ネットワークセキュリティ製品・サービス提供を核にビジネス開発、パートナー営業など幅広い分野での要職を歴任。2012年12月　ウォッチガードテクノロジージャパン株式会社　社長執行役員、2020年2月　KnowBe4合同会社　日本法人代表　マネージングディレクター就任。

＜ ITセキュリティの現状と問題点＞

問題１： テクノロジーソリューションは万能ではない

セキュリティリスク対策への多くの取り組みは、テクノロジーにフォーカスされている。確かに、アンチウイルス、アンチマルウェア、侵入検知/防御、ファイアウォール、メールフィルター、多要素認証、エンドポイントセキュリティといったテクノロジーソリューションは重要である。多くの日本企業はテクノロジーソリューションを新たな脅威に対抗するために次々と導入しているが、これに伴い必要な人材やプロセスも増えることになる。これが続くと、「テクノロジー」、「プロセス」、「人」が複雑に絡み合い、積み重っていく。複雑さのレベルが幾何学的に増加している。結果、企業の多くは、テクノロジーソリューションを導入するために、多額なIT予算を投資し続けている。しかしながら、テクノロジーだけによる防御は完璧ではない。実際に、ランサムウェアやビジネスメール詐欺（BEC）、CEO詐欺などを引き起こす最大の要因である巧妙なフィッシングメールは、アンチウィルスソフトウェアやスパムフィルターをすり抜けて、侵入している。サイバー犯罪者が狙っているのは、数パーセントのヒューマンエラーである。ここで注意しなければならないことは、サイバー犯罪者が期待しているのは、数名がメールを開いてもらい、リンクをクリックしてもらうことで、全員に反応してもらうことではない。サイバー攻撃者が仕掛ける罠は、ますます巧妙化している。考えさせずに、クリックさせるように、罠を仕掛けてきている。ユーモラスな画像やキャッチコピーをネット上に拡散させて、ネットサーフィン中のあなたに忍び寄ってくる。このような巧みに「人」を狙うサイバー攻撃に対抗するためには、これまでのテクノロジー主体のセキュリティ対策から「人」による防御を主体に考える発想の転換が必要になってきている。

• 証言1： “セキュリティシステムはすべてに全勝しなければならないが、攻撃者は1回勝利すれば良いのである。”

— Dustin Dykes (ダスティン・ダイクス) Dallas Hackers Association創立者

• 証言2：“多額な費用をかけてテクノロジーやサービスを購入しているが、ネットワークインフラは依然として昔ながらの巧妙な手口には脆弱のままである。”

— Kevin Mitnick (ケビン・ミトニック)

 問題2： 旧態依然のセキュリティ教育

日本企業にセキュリティ教育について尋ねてみると、IT教育の一環として万全なセキュリティ教育を実施していると答える。しかし、実態は、入社時の集合研修と年に1回や2回のセキュリティ教育だけである。これまでのこのようなテクノロジー主体のITリテラシートレーニングには限界がある。次のような問題点があることを認識すべきである。

• セキュリティの脅威を一般的に注意喚起するだけでは、従業員のセキュリティ意識は高まることはない。
• うっかりミスを犯すという「人」の本質と戦わなければ、どの時点においても事故は起こりうる。
• 従業員が習慣として身につけることは、知識として知っていることよりも極めて重要である。集合型の研修でセキュリティ用語をいくら教育しても、攻撃を止めることはできない。

入社時の集合研修や年に1回や2回のセキュリティ教育では、この問題点を解消することはできない。

＜セキュリティリテラシーからセキュリティアウェアネスへ＞

「人は間違いを犯すもの」という事実から目をそらしてはならない。今必要なのは、セキュリティリテラシー・トレーニングではなく、セキュリティアウェアネス（セキュリティ意識向上）トレーニングである。セキュリティテクノロジーを学習することではなく、サイバー犯罪の脅威を実感し、いかに防御するかを行動習慣として身に付けることが必要とされている。サーバー犯罪の被害は、「すみません。私が責任を取ります」で済むようなものではない。セキュリティ教育は、ヒューマンエラーを組織としての問題と捉え、セキュリティリテラシーからセキュリティアウェアネスへの転換が必要である。

＜なぜ、今、新しいスタイルのセキュリティ教育が必要か＞

今、企業の社員教育において、セキュリティを第一に考える意識改革が必要だ。巧妙化し続けるサイバー攻撃に対峙するためには、セキュリティ意識を従業員ひとり一人に定着させ、セキュリティカルチャーとして組織内に浸透させるセキュリティ教育が不可欠になっている。これまでのセキュリティ教育では､日々巧妙化するハッカーの手口に対抗するには､もはや限界がきている。単なるeラーニングではなく、デジタル時代に対応した新しいスタイルのセキュリティ教育 (KnowBe4では”New School”と呼んでいる) である。その1つがストーリーテリングである。印象的な体験談あるいはエピソードを物語風に展開して、従業員一人ひとりの記憶に刷り込むことで、ソーシャルエンジニアリング手口と対処法を効率的に学ぶことである。10分ほどの各エピソードをドラマチックに訴求して、次のエピソードへ展開していくが、これはまさにセキュリティ意識向上トレーニングにおけるNetflixである。これこそが、集合型のセキュリティ研修が主体の日本企業のセキュリティ教育に一石を投じる教育コンテンツである。

The Inside Man シーズン2の日本語吹替予告編:

新しいスタイルのセキュリティ教育のもう1つ特徴が、eラーニングによるセキュリティ意識向上トレーニングと並行して実施される本番さながらなソーシャルエンジニアリング攻撃の演習である。これを通して、セキュリティの脅威を実体験することである。これまでの集合型のセキュリティ教育やeランニングは、絵に書いた餅と言わざるをえない。机上の論理を学ぶだけでは、日々巧妙化する手口を駆使するサイバーテロリストやハッカーのサイバー攻撃に実環境で対応することができない。

フィッシングテンプレートの例（参考例）

さらに、セキュリティ意識向上トレーニングの受講状況に加えて、ソーシャルエンジニアリング攻撃の演習の結果を管理者ダッシュボードから“見える化”して、セキュリティ意識向上トレーニングの効果を測定することが大切である。この効果測定からセキュリティ意識向上トレーニングを改善することができる。

＜まとめ＞

日本のセキュリティ教育は欧米と比べて、大きく遅れている原因の根本は、セキュリティ教育がIT部門主導によるIT教育の一環として実施されていることにある。サイバーセキュリティはテクノロジー上の問題として取り扱われてきているが、サイバー攻撃がもたらす被害や影響がますます増大している今、サイバーリスクはテクノロジーの問題ではなく、他の経営リスクと同様に、取締役会で監査されるべき問題である。セキュリティ教育は、コンプライアンス(法令遵守)／リスクマネジメントの一環として実施されるべきである。

＜問い合わせ先＞

KnowBe4 Japan合同会社

〒100-0004 東京都千代田区大手町1-9-2　大手町フィナンシャルシティ

グランキューブ3階　Global Business Hub Tokyo

電話 03-4588-6733　eメール info@knowbe4.jp

＜KnowBe4について＞

KnowBe4は、セキュリティ意識向上トレーニングとフィッシングシミュレーション・分析を組み合わせた世界最大の統合型プラットフォームのプロバイダーである。KnowBe4は、IT／データセキュリティ・エキスパートであるStu Sjouwerman（ストゥ・シャワーマン）によって2010 年8 ⽉に米国フロリダ州タンパベイで設立され、セキュリティの「人的要素：ヒューマンエラーの克服」にフォーカスして、ランサムウェア、CEO攻撃/詐欺、ビジネスメール詐欺（BEC）を始めとする巧妙化するソーシャルエンジニアリング手口などの社員ひとり一人のセキュリティに対する認識を高めることで、「人」を狙うセキュリティ脅威から個人、組織、団体を防御することを支援している。世界で最も著名なサイバーセキュリティ・スペシャリストであるKevin Mitnick（ケビン・ミトニック）がCHO（Chief Hacking Officer）を務めている。同氏のハッカーの視点に立った知見をベースにKnowBe4のトレーニングプログラムは組み立てられている。2021年3月現在、 3万７千社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築している。日本においては、2019年11月にKnowBe4社の100%出資日本法人「KnowBe4 Japan合同会社」を東京都港区に設立し、2020年2月1日付けで日本代表マネージングディレクターに根岸正人が就任し、日本国内での本格的な販売及びマーケティング活動を開始した。　https://www.knowbe4.jp/