電通総研 | セキュリティ意識向上トレーニングプラットフォーム

セキュリティアウェアネストレーニングプラットフォーム「KnowBe4」

「社員一人ひとり」に
”ヒューマンファイアウォール”を根付かせるための
セキュリティアウェアネストレーニングプラットフォームとは

2024.10.09
お知らせ

KnowBe4契約者ページ内に「日本人向け目的別お勧め教育コンテンツ」公開
2024.09.26
セミナー

KnowBe4定期セミナー開催
開催日：2024/10/22(火)、12/3(火)、2025/1/23(木)
2024.09.26
記事掲載

社員の「セキュリティ意識」どう上げる？大成功させる秘密は「6つのステップ」
2024.09.05
お知らせ

契約者ページ内に「KnowBe4社の推奨教育コンテンツ」最新版公開しました
2024.08.14
セミナー

マイナビ社主催「TECH+ フォーラム - セキュリティ 2024 Sep.」にて講演いたします。
オンライン形式：2024年 9月 17日から9月19日まで
2024.08.14
イベント

IT協会主催「第4回IT協会 Digital Days2024」にて講演いたします。
オンラインアーカイブ配信：2024年8月15日から9月17日まで

セキュリティアウェアネス紹介動画

従業員のセキュリティ教育で困っていませんか？年に一回の教育とメール訓練で本当に社内は安全になっているのでしょうか？
従来のネットワークやシステムへの攻撃とは別に、今狙われている人への攻撃対策として、海外ではセキュリティアウェアネスの必要性が高まっています。
セキュリティアウェアネスって何？という方にわかりやすく解説します。

「セキュリティアウェアネス」とは

企業の従業員がセキュリティで心得ておくべきことは何でしょう?

いまサイバー攻撃者が狙うのは「人」です。インフラやアプリケーションのセキュリティ対策が高度化しているため、人のちょっとした隙や不注意を狙うのです。

感染症対策で例えてみましょう。医療の専門家でなければ、一般の生活者がウィルスの種類や薬の成分を詳しく知る必要はありません。それよりも、手洗い、マスク、密回避がどのような効果をもたらすのかを理解し、基本の習慣を徹底することが大切です。

自宅を思い浮かべてみてください。どんなに頑丈な家に住んでいても、鍵を閉め忘れてしまったら台無しです。住人は外出時に鍵をかけること、鍵を見知らぬ他人に渡さないことが基本の習慣です。加えて、どんな人が信用できて、どんな人が不審かは普段から意識することで感覚を研ぎ澄ませていくことができます。

企業のセキュリティ対策もこうした基本の習慣と意識が重要になります。守るべきものには鍵をかけ、不審者には鍵を渡さないこと。これをオフィスで実践するなら、具体的に何をすることになるのかを学ぶ必要があります。

何か起きてからでは手遅れです。
セキュリティに関する意識、「セキュリティアウェアネス」を高めていく必要があります。

では、実際にどのような攻撃や被害があるのでしょうか。
最近の攻撃傾向や代表例を挙げて、説明いたします。

「人の脆弱性」を狙うサイバー攻撃が増加、金銭被害も甚大に

もはやセキュリティ製品では
守り切れないような被害が

サイバー攻撃者は常に新たな攻撃手法を模索し、有効と思われる攻撃を強化、進化させていきます。しかも、最近ではサイバー攻撃者の組織化が進んでおり、より効率的なサイバー攻撃の“開発”に取り組んでいます。国家が支援するサイバー攻撃者グループもあり、潤沢な予算による高度なサイバー攻撃も行われています。

このような状況の中で急激に攻撃、被害ともに急増しているのが、騙したり、なりすましたりという“人の脆弱性”を狙うサイバー攻撃です。主にメールが使用され、実在する組織や人物を騙る上にマルウェアを使用しないものが多いので、従来のセキュリティ対策をすり抜けてしまいます。

新型コロナウイルスに便乗し、在宅を狙った詐欺メールの増加

在宅で緩む、サイバー攻撃への
対応力

昨今は、新型コロナウイルスの感染拡大に便乗した悪質な標的型メールや、在宅環境を狙った悪質なサイバー攻撃も確認され、一般財団法人日本サイバー犯罪対策センターや厚生労働省からも注意喚起が出されています。
在宅環境特有の周囲に直ぐ相談できずに開いてしまう不審メールにご注意願います。
国立感染症研究所・自治体・ネット通販大手等を装う詐欺メールが確認されており、10万円給付金等の対応でも今後増加予想もあります。

今求められている事は？　
▶ 直ぐに解決策を見たい方はこちらをクリック

「情報セキュリティ10大脅威 2021 （組織）」

引用：IPA（情報セキュリティ10大脅威2021）

・・・・・

1位ランサムウェアによる被害

ランサムウェアとはウイルスの一種で、PCやサーバー、スマートフォンがこのウイルスに感染すると、保存されているデータが暗号化されて利用できなくなったり、画面がロックされて端末が利用できなくなったりする。そしてそれを復旧することと引き換えに金銭を要求される等の被害が発生する。また、データの暴露を行うと脅迫され、金銭の支払い有無にかかわらず、データが暴露されてしまったケースが近年発生している。

※引用：IPA（情報セキュリティ10大脅威2021）より

2位標的型攻撃による機密情報の窃取

企業や民間団体そして官公庁等、特定の組織から機密情報等を窃取することを目的とした標的型攻撃が継続して発生している。攻撃者は新型コロナウイルスの感染拡大による社会の変化や、それに伴うテレワークへの移行という過渡期に便乗し、状況に応じた巧みな手口で金銭や機密情報等を窃取する。

※引用：IPA（情報セキュリティ10大脅威2021）より

5位ビジネスメール詐欺による金銭被害

ビジネスメール詐欺（Business E-mail Compromise：BEC）は、巧妙な騙しの手口を駆使した偽のメールを組織・企業に送り付け、従業員を騙して送金取引に関わる資金を詐取する等の金銭被害をもたらすサイバー攻撃である。2020年は新型コロナウイルス感染症（COVID-19）に関する内容が含まれたビジネスメール詐欺が確認されている。

※引用：IPA（情報セキュリティ10大脅威2021）より

6位内部不正による情報漏えい

組織に勤務する従業員や元従業員等の組織関係者による機密情報の持ち出しや悪用等の不正行為が発生している。また、組織内における情報管理のルールを守らずに情報を持ち出し、紛失、情報漏えいにつながるケースも散見される。組織関係者による不正行為は、組織の社会的信用の失墜、損害賠償による経済的損失により、組織に多大な損害を与える。

※引用：IPA（情報セキュリティ10大脅威2021）より

9位不注意による情報漏えい

組織において、情報管理体制の不備や情報リテラシーの不足等が原因となり、個人情報や機密情報を漏えいさせてしまう事例が2020年も引き続き多く見られた。特にテレワークの導入等で働く環境が変化している今、状況に応じた対策が求められる。

※引用：IPA（情報セキュリティ10大脅威2021）より

代表的な攻撃例

ビジネスメール
詐欺（BEC）

詳しく見る

巧妙化する
フィッシング詐欺

詳しく見る

マルウェア
「Emotet」の手法

詳しく見る

セキュリティアウェアネスの向上とセキュリティカルチャーの醸成の必要性

セキュリティ志向の文化が根付いていないため、
従業員が好奇心や無気力な衝動になる
フィッシング詐欺の餌食になる可能性が。

2019年、フィッシング対策協議会への報告件数
55,787件

フィッシングサイトの稼働が確認されている
金融機関も多く
29機関以上ございます^※

※ フィッシング対策協議会ホームページ 2019年12月26日時点の情報
(https://www.antiphishing.jp/news/alert/phishbank_20191226.html)

従来のセキュリティ対策は、ファイアウォールなどで言うところの
ネットワーク層やアプリケーション層など7つのレイヤーで
サイバー攻撃を検知、防御してきました。

しかし、
従来の対策では「人を騙すタイプ」の
サイバー攻撃から守ることはできません。

新たに「人のセキュリティアウェアネス」という
8つ目のレイヤーが必要なのです！

セキュリティ対策における第8層
「ヒューマンファイアウォール」を形成

「人」をファイアウォールにすることにより、
セキュリティ対策製品をすり抜けてきた攻撃を
防御できるようにする

セキュリティアウェアネス層に求められる「2つのポイント」

8つ目のレイヤーであるセキュリティアウェアネス層を効果的に機能させるためには、2つのポイントがあります。それは「セキュリティ意識レベル」と「セキュリティカルチャー」で、それぞれに7つの要素があります。

セキュリティ意識レベル

セキュリティ意識レベルは、それぞれの要素についてセキュリティを意識する、あるいは正しいセキュリティ知識を身につけること。具体的には以下が挙げられます。

●電子メールセキュリティ
●IT管理者への報告
●インターネット利用
●モバイルデバイス
●パスワードと認証
●セキュリティ意識レベル
●ソーシャルメディアの使用

セキュリティカルチャー

「何らかの行動をする際には常にセキュリティを意識する」ということを企業に属する全員が行う。つまり企業文化として根付かせるということです。

●態度
●行動力（ふるまい）
●認知力
●コミュニケーション力
●コンプライアンス・ポリシー遵守
●規則、規範意識力
●個人の責任感

セキュリティアウェアネス向上トレーニングの変化

対策の変化と、いま求められる対策

五世代目に至った経緯

第一世代 テクノロジー（セキュリティ対策製品）
に依存

第二世代 集合研修パワーポイント資料
（独自コンテンツ制作または外部委託）

第三世代 勉強会方式、セキュリティ教育ビデオ、
eラーニング受講

第四世代 標的型攻撃訓練メール配信システム（年に1回）
ランサムウェア対策

第五世代 ヒューマンファイアウォールアプローチ
(New School: 定期的、継続的な自動化運用）

1：オンラインで全社員を教育（学習と体験を重視、セキュリティを第一のマインド形成にする）
2：フィッシング詐欺攻撃、本番さながらの疑似演習体験とテンプレートのカスタマイズ
3：訓練メールとセキュリティ教育を連携、自動化（IT管理者の負担を大幅に軽減）
4：結果をスコアで数値化（受講者、部署、全社レベル）
5：テスト結果に基づく、グループ化と教育プログラムのカスタマイズ化
6：フィッシング詐欺ヒット率の可視化と同業他社との比較（ベンチマーク）
7：リスク削減効果の測定

なぜ、セキュリティアウェアネス向上トレーニングが求められているのか？

4つの効能が組織を変える

セキュリティを第一のマインドセットに形成する意識改革が急務

日々求められるセキュリティ上の判断に社員ひとりひとりの的確な意志決定を可能にする

ひとりひとりにセキュリティカルチャーを醸成（ヒューマンファイアウォールを形成）

IT管理者へ「報告」できる社員

第5世代のトレーニングプラットフォーム「KnowBe4」とは

充実した教育コンテンツをベースとした戦略

米国のKnowBe4社は、第5世代のトレーニングプラットフォーム「New School」を提供しています。
KnowBe4の由来は「Know Before」、つまり“やられる前に知る”ことです。
8つ目のレイヤーである「人」は騙されやすく、うっかりミスを起こしやすい、実は最も脆弱なレイヤーで、サイバー攻撃者はここを突いてきます。KnowBe4では、こうしたヒューマンエラーの克服に取り組んでいます。

セキュリティ意識向上トレーニングと
フィッシングシミュレーション・分析を組み合わせた「世界最大の統合型プラットフォーム」

▶教育コンテンツ：1,100種類以上
▶多言語対応　　：30ヶ国の言語対応（日本語対応）
▶フィッシング詐欺メールテンプレート：4,700種類以上

「KnowBe4」の３つの特長

特長１

「セキュリティ意識向上トレーニング」と「フィッシング攻撃のシミュレーション」を
組み合わせた世界最大の統合型社員教育プラットフォーム

従来の社員教育は、eラーニング等を使った社員教育、標的型Mail訓練など、それぞれ別々に実施してました。KnowBe4は、① 社員教育プログラム (TRAIN)、② 模擬攻撃の実施 (PHISH)、③ 分析・効果測定 (ANALYZE)を1つのプラットフォーム上で一元管理し実施致します。これにより今まで把握できなかった「個人」、「部署」、「組織」それぞれのリスクレベルを可視化し、そこから最適な教育プログラムを作成する事ができます。必要な教育の最適化を行い、従業員のセキュリティ意識の向上に寄与します。

▶▶ 詳細は、
「ヒューマンファイアウォールを形成する流れ」へ

従来

内容によって実行部署が異なり、管理がバラバラ

KnowBe4 導入後

一元管理が可能！効果測定と教育プラグラムの見直しが簡単！

特長2

動画コンテンツも織り交ぜた多彩な教育コンテンツで受講者のモチベーションをUp

KnowBe4では、ビデオ、トレーニング、アセスメント、ゲーム、ニュースレター、ポスター等多彩なコンテンツが多言語で用意しております。また、お客様で作成された独自コンテンツもKnowBe4を使って配信できるため、柔軟に教育計画を立てられます。

従来

静止画を中心とした教育コンテンツに退屈

KnowBe4 導入後

映画さながらの動画による教育、モチベーションもUP!

特長3

年間サブスクリプション・モデルでの提供

教育コンテンツやフィッシング攻撃などのサービスは、期間内であれば無制限で利用可能。
必要な人に必要な教育を継続的に提供可能です。

従来

SNSやクラウドなど、テーマ毎にコンテンツを
作成する必要あり。Mail訓練も回数制限あり。

KnowBe4 導入後

多言語対応した1,100種類以上の最新のコンテンツが見放題!
4,700種類以上のフィッシングMailテンプレートも
期間中、何回でも使い放題!

ヒューマンファイアーウォールを形成する流れ

３つを自動化し、効果を測定

① 社員教育プログラム
(TRAIN)

グローバルに対応したセキュリティ意識向上トレーニング
多言語対応による「全社レベル」でのセキュリティ文化の醸成

詳しく見る

② 模擬攻撃の実施
(PHISH)

豊富なテンプレートを活用し、「本番さながらの攻撃」疑似体験（ソーシャルエンジニアリング被害模擬体験）。
社員、部署ごとにレベルに合わせた教育メニューを策定。
Phish Alertボタン（無償提供）を使い、何かあったら報告する文化醸成
※不審メールは、開かない/クリックしないから「報告」へ

詳しく見る

③ 分析・効果測定
(ANALYZE)

是正学習を可能とする効果測定と、きめ細やかなレポーティング

詳しく見る

定期的に実施することで
被害リスク低減を可視化
ポリシーに基づき、個人、
組織に適切な教育コンテンツを設定

ソリューションの紹介

サイバー攻撃疑似体験：
本番さながらの訓練/演習問

セキュリティ意識改革、訓練、報告

従業員の訓練
（教育）

IT管理者への報告

訓練メール、URLクリック後のランディングページ誘導、是正教育、レッドフラグ（演習問題）、テスト、自動化運用、リスクスコアによる可視化（個人、部署、全組織）、分析レポート、ユーザー登録AD連携、SAML（SSO）認証、USBテスト、Vishing（音声）

● 教育コンテンツ　：1,100種類以上
● 多言語対応　　　：34ヶ国の言語対応（日本語対応）
● フィッシング詐欺メールテンプレート　：5,000種類以上
インシデントレスポンスの
初動対応を迅速化

PhishER（緊急対策室）

不審メールのトリアージ
（優先順位付け）

脅威メールの検疫、隔離

報告された各メッセージを3つのカテゴリー： Clean (正常)、Spam (スパム)、Threat (脅威)の１つに分類して、優先順位付けする。

全社内のメールボックスに削除されずに存在している危険なメールを迅速に見付け出し、検疫・隔離する。

● Office 365と連携
● 添付ファイルや悪意あるURLやドメインを解析するためにVirusTotalと連携
● Syslog連携（SplunkやQRadarなどのSIEMとプッシュ型でデータ連携

各ソリューションの詳細につきましては、
別途資料がございますので、お気軽にお問い合わせください

資料請求のお問い合わせ

ボタンをクリックするとメーラーが立ち上がりますので、
ご希望のソリューション番号をご記入の上、ご送信ください。

導入効果

KnowBe4の価値とROI

● フィッシング詐欺ヒット率（PPP）を数値で可視化するレポート
●定期的に実行、12ヶ月後その効果を測定

トレーニングとテストを展開して、わずか90日で、半減。つまり、1年間で詐欺ヒット率を92％改善が可能!!

＜フィッシング詐欺ヒット率の推移＞
19の異なる業種の18,000社 900万人の従業員、2千万回以上の模擬フィッシングセキュリティテスト結果より

定期的に実施することで
被害リスク低減を可視化
ポリシーに基づき、個人、組織に
適切な教育コンテンツを設定

127% ROI

※米国フォレスター調査
Forrester TEI: Total Economic Impact

KnowBe4 会社概要

所在地	（本社）米国フロリダ州クリアーウォーター
設⽴	2010年に米国フロリダ州、タンパベイで設立
従業員数	全世界 501-1,000人
顧客数	32,000社以上
成長	27回、四半期連続2ケタ成長
CHO	世界で最も有名なセキュリティスペシャリスト、Kevin Mitnick 2019年度マジッククアドラントで3年連続リーダー