日本プルーフポイントは2018年7月25日、フィッシングメールの訓練機能を中心に、社員が抱える脆弱性を可視化して教育するクラウドサービス「Phishing Simulation and Security Awareness」を発表、同日販売を開始した。直販および販売代理店経由で販売する。年額制で提供し、価格は要問い合わせ。米Proofpointが買収した米Wombat Security Technologiesのサービスである。
日本プルーフポイントの「Phishing Simulation and Security Awareness」は、フィッシングメール対策のクラウドサービスである。フィッシングメールの訓練機能、教育用のWebコンテンツ、アンケートを基に個々の社員の脆弱性を可視化する機能、フィッシングメールを見つけた際に通知する機能、などで構成する。フィッシングメールに対する脆弱性や各種コンプライアンス面の脆弱性への対策となる。
図1：フィッシングメール対策には訓練とトレーニングが重要と説く（出典：日本プルーフポイント）拡大画像表示
年額制のクラウドサービスであり、フィッシングメール訓練などの各機能には回数制限はなく、無制限に利用できる。用途ごとの機能の違いにあわせて3種類のパッケージを用意している。機能下位パッケージの「Anti-Phishing」は、フィッシングメール対策に特化している。中位の「Foundations」と上位の「Enterprise」は、GDPR対策など各種コンプライアンス対策を含んでいる。
基本機能は、フィッシングメールの訓練機能である「ThreatSim」である。実際に使われたフィッシング攻撃を模倣した訓練を実施する。添付ファイル型、埋め込みリンク型、個人情報要求型を含むシミュレーションができる。日本語を含む30以上の言語で提供する。
リンクをクリックしてしまった社員や添付ファイルを開いてしまった社員に対しては、教育用のWebコンテンツを案内する。5分から15分ほどでトレーニングを受けられるように工夫しているという。教育コンテンツの種類は、フィッシングメール対策用が6種類で、各種コンプライアンス対策を含んで全体で30種類を用意している。
「PhishAlarm」機能は、社員がフィッシングメールを発見した際に、これを通知できる機能である。メーラーソフトのOutlookのプラグインとして動作し、Outlookの画面で通知ボタンを押すことによってフィッシングメールを通知できる。
中位の「Foundations」と上位の「Enterprise」で利用可能な「CyberStrength」機能は、170項目を超える社員向けアンケート調査によって、個々の社員が抱える脆弱性を可視化するサービスである。どの社員に対して、どんなトレーニングが必要なのかが分かる。これに対して教育コンテンツを案内できる。
写真1：米Proofpointでサイバーセキュリティ戦略担当ディレクターを務めるアデニケ・コスグローブ氏拡大画像表示
日本プルーフポイントは、メールセキュリティ製品群を主に提供している企業である。今回、メールセキュリティ製品を補完する製品として、フィッシングメールの訓練サービスをラインアップに追加した形である。提供の背景について同社は、犯罪者はインフラではなく個人を標的にしていることを挙げる。
米Proofpointでサイバーセキュリティ戦略担当ディレクターを務めるアデニケ・コスグローブ（Adenike Cosgrove）氏は次のように説明した。
「防御する企業側は、ネットワークの境界やエンドポイントを守っている。一方で、攻撃者はソーシャルエンジニアリングを駆使して、人の弱みを狙う。攻撃の対象はインフラでなく人である」。
