Jack Koziol, Infosecの創設者兼CEO – サイバーセキュリティインタビュー

Jack Koziolは、Infosecの創設者兼CEOです。Infosecは、賞を受賞したセキュリティとプライバシーの教育を提供し、組織とその従業員をセキュリティ脅威から守ることに特化しています。サイバーセキュリティは誰の仕事でもあることを認識し、ITとセキュリティの専門家向けのスキル開発と認定トレーニングを提供し、セキュリティ認識トレーニングとフィッシングシミュレーションを通じて、全従業員のセキュリティ能力を高めています。Gartner Peer Insights Customers’ Choiceとして認められたセキュリティ認識コンピューターベーストレーニングの提供者であり、Training Industryの「Top 20 IT Training Company」およびInfo Security Products GuideのGlobal Excellence Awardsのセキュリティトレーニング＆教育プログラムの金賞を受賞しています。

2003年にハリスバンクでサイバーセキュリティの仕事を始めました。その仕事の内容と、業界がどのように変化したかについてお話しください。

2003年にハリスバンクで働いていたとき、私はバンクで唯一のサイバーセキュリティ専門家でした。技術の変化とそれに伴うリスクは、業界に大きな影響を与えました。サイバーセキュリティの予算とチームのサイズは、金融サービス業界を標的としたサイバーセキュリティ脅威に対処するために、10倍以上に増加しました。15年前に私が担当していた仕事は、現在では100人以上のサイバーセキュリティ専門家によって管理されているでしょう。

バンクで働いていたときに、「The Shellcoder’s Handbook」を出版しました。この本を書く際の心境についてお話しください。

本を書いたとき、エクスプロイトに関する情報の共有の主なフォーラムは、BUGTRAQというメーリングリストでした。「The Shellcoder’s Handbook」は、このような情報をより広い聴衆にわかりやすい方法で提供しました。多くの人々がエクスプロイトの書き方を学びたかったので、私は自分の経験から手を動かして教えることができました。自分自身のキャリアを変えるために、バンクを辞めることができたので、幸運でした。

Infosecの創設についてお話しください。

すべては、「The Shellcoder’s Handbook」の出版から始まりました。この本の人気は、エシカルハッキングとソフトウェアの脆弱性に対する認識と関心を高め、多くの企業からセキュリティトレーニングの依頼を受けるようになりました。私はバンクを辞め、世界中を旅して、企業の従業員にハッキングの方法を教えました。とても楽しい経験でした。

その間、ソフトウェア業界は急成長しました。新しいツールやプラットフォームが導入され、セキュリティリスクが増加しました。サイバーセキュリティトレーニングの需要も急増しました。Infosecは、ソフトウェアとしてのサービスを提供し、世界最大のサイバーセキュリティ教育プラットフォームである「Infosec Skills」と「Infosec IQ」を開発しました。これらのプラットフォームは、役割に応じたハンズオントレーニングを提供し、従業員がサイバークライムに対抗する知識、スキル、自信を身につけることができます。現在、フォーチュン500の70％以上の企業がInfosec Skillsを使用してセキュリティ人材を育成しています。また、500万人以上の学習者がInfosec IQのセキュリティ認識とフィッシングトレーニングを通じてサイバーセキュリティに対する抵抗力を高めています。

Infosecが提供するサイバーセキュリティの資格やコースについてお話しください。

Infosecは、会計部門からSOCチームまで、組織全体に対して役割に応じたサイバーセキュリティ教育を提供しています。Infosecはベンダー中立なので、CISSP、Security+、Certified Ethical Hacker（CEH）などの認定試験のためのブートキャンプが人気があることは驚くことではありません。Infosecが独自の点は、学生を試験に備える方法です。Infosecは、イマージョンレクチャーとサイバーレンジでのハンズオンラボを組み合わせて、学生が実践的なスキルを身につけ、仕事にすぐに適用できる知識を得ることができます。Infosec Skillsのサイバーレンジは、プラットフォームで最も人気のある学習体験の一つです。この年も大幅に投資しています。

セキュリティ認識とトレーニングの分野では、最近リリースされた「Choose Your Own Adventure® Security Awareness Games」は、クライアントが従業員にセキュリティ認識とトレーニングを提供する方法を変えました。Choose Your Own Adventure®ブランドのチームと提携して、人気のゲームブックシリーズの興奮と謎を、世界中のセキュリティ認識とトレーニングプログラムに持ち込みました。ゲームは、学習者がセキュリティ認識トレーニングプログラムを自分で管理できるようにし、批判的思考と意思決定を促進しながら、トレーニングを楽しくします。

従業員のサイバーセキュリティ脅威に対する認識を高めることはどれほど重要ですか。

従業員のサイバーセキュリティ脅威に対する認識を高めることは、企業のデータセキュリティとコンプライアンスの向上に加えて、従業員自身の利益にもなります。サイバーセキュリティ教育プログラムは、企業が高額な、そしてしばしば深刻なセキュリティインシデントを避けるのに役立ちます。また、従業員が仕事で使うデバイスやシステムをセキュアにする方法を学ぶことで、個人としての損失や家族への脅威からも守ることができます。オンラインでの安全性を維持する方法を知ることは、仕事だけではなく、生活スキルです。クライアントがサイバーセキュリティ脅威と悪意のある行為からビジネス、クライアント、スタッフを守るのを助けることは、非常に誇らしいことです。

従業員が最もよく陥るサイバーセキュリティの脆弱性は何ですか。

多くのサイバーセキュリティ研究者は、データ漏洩のほとんどは人間のミスによるものであると同意しています。最新のIBM X-Force Threat Intelligence Indexの研究によると、2020年の最も一般的な攻撃タイプはランサムウェア、データ盗難、サーバーへのアクセスであり、最も一般的な初期攻撃ベクトルはスキャンとエクスプロイト、フィッシング、資格情報の盗難です。フィッシングは非常に深刻で一般的なセキュリティ脅威であり、メディアでも広く取り上げられています。現実は、多くの場合、フィッシングとマルウェアで攻撃が始まるものの、攻撃者が機密情報やシステムにアクセスする範囲は、組織のITインフラストラクチャと全体的なセキュリティポストゥアに反映されることが多いです。最近のSolarWinds事件は、単にパスワードポリシーを強化したり、より効果的なセキュリティ認識プログラムを実施しただけで、重大な脆弱性を防ぐことができたかもしれない、多くの例の一つです。

要約すると、組織内のどのレベルのサイバーセキュリティの知識ギャップもセキュリティリスクをもたらすため、従業員のセキュリティ認識と教育で軽減する必要があります。

サイバーセキュリティは常に進化しています。従業員と雇用主はどれほど頻繁にサイバーセキュリティ脅威について再認識する必要がありますか。

サイバーセキュリティ専門家として、私たちは常に学び続ける必要があります。テクノロジーの進化とそれに伴う新しい脆弱性に対応するために、サイバークライムに対抗するために不断の学習が必要です。サイバーセキュリティ専門家には、少なくとも週に1～3時間の集中学習を勧めます。一方、非技術的なスタッフには、毎月セキュリティ認識トレーニングとフィッシングシミュレーションを実施することを推奨しています。

成人学習の専門家は、Ebbinghausの忘却曲線を引用して、従業員の頻繁なトレーニングの重要性を強調しています。この理論は、間隔のある繰り返しで新しい知識を強化しないと、従業員が新しい情報の90％を1ヶ月以内に忘れてしまうことを示しています。

サイバーレンジを通じたハンズオンの技術トレーニングや「Choose Your Own Adventure® Security Awareness Game」などのセキュリティ認識ゲームは、クライアントが実践的な方法で学び、知識の保持を最大化するのに役立つ手段です。継続的な学習プログラムは、従業員が安全な習慣を身につけ、職場でセキュリティ文化を築くのに役立ちます。

素晴らしいインタビュー、詳しく知りたい読者はInfosecを訪れてください。