セキュリティ教育とUX　～結ばれていた赤い糸～

2017年6月９日 セキュリティ教育とUX ～結ばれていた赤い糸～ ヤフー株式会社 CISO室セキュリティ推進室 日野 隆史 1 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

自己紹介 ひの たかし • 日野 隆史 ヤフー株式会社 CISO室セキュリティ推進室 サービスマネジャー ※CISO＝Chief Information 最高 情報 Security Officer セキュリティ 責任者 サービスの品質改善の仕事に10年近く従事、課題解決のためにUXデ ザインを学び始める。2015年10月よりセキュリティ推進室に所属、 既成のセキュリティ教育を刺さるものとするために改革中。 最近よかったこと：ライザップに行かずに自分で腹筋が割れたこと。 HCD-Net人間中心設計専門家、デザイン思考エバンジェリスト。 2 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

本日のお話のゴール ⇒セキュリティ教育で直面している課題の解決に UXデザインが活用できることを事例から知って いただく ※UX＝ユーザー エクスペリエンス ユーザーが何を体験す るか⇒その観点 3 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

本日のアジェンダ 1. 2. 3. Yahoo! JAPANについて Yahoo! JAPANのセキュリティ役割別教育 セキュリティ教育におけるUXの活用事例 3-1.「モノ」から「コト」へ • ストーリーボード仕立てのeラーニング 3-2.「可視化」と「測定」 • 標的型攻撃訓練のジャーニー化 • 研修の効果測定 ３-3.「伝える」と「伝わる」 • 大学のセキュリティ講義のデザイン 4 4． おわりに Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

1.Yahoo! JAPANについて Yahoo! JAPAN について 5 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

Yahoo! JAPANの果たすべき役割 40,000,000 12,000 70 6 お客様に 安心と安全を提供 ヤフーグループの セキュリティレベルアップ リードする Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

Yahoo! JAPANのラインとサービス ・社内での組織はマトリックス ・役割は細分化されており多様 本部長 ライン 〇〇部 部長 △△部 リーダー サービス ユニットマネージャー サービスマネージャー UM SM Ａ チ ー ム 企画 Ｂ チ ー ム Ｃ チ ー ム Ｄ チ ー ム Ｅ チ ー ム エンジニア ａサービス デザイナー Aユニット 企画 ｂサービス エンジニア デザイナー Bユニット 企画 デザイナー ｃサービス Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. エンジニア

2.Yahoo! JAPANのセキュリティ 役割別教育 Yahoo! JAPAN について 8 Yahoo! JAPAN のセキュリティ 役割別教育 CopyrightCopyright (C) 2017 (C) Yahoo Japan Corporation. All RightsAll Reserved. 2017 Yahoo Japan Corporation. Rights Reserved. 画像提供：Aflo

Yahoo! JAPANのセキュリティ教育 が目指すもの セキュリティについて、 それぞれの役割をもつ社員全員 が、それぞれがやるべきことを わかっている その上で自分事として 主体的に動ける状態になる 結果としてセキュリティを 正しくこわがることが できている 9 Copyright Copyright(C) (C)2017 2017Yahoo YahooJapan JapanCorporation. Corporation.All AllRights RightsReserved. Reserved. 画像提供：Aflo

役割と求められる能力 役割が多様化し求められる能力が細分化してきた 役割毎に 備えるべき 能力を定義 10 役割毎に 求める 能力を 設定 各役割の 能力の 現状把握 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 役割毎に 必要な 教育メニュー の提供 画像提供：Aflo

2016年6月（1年前）の教育体系 Yahoo! JAPANにおける セキュリティ教育メニュー ISMS研修 ニュース レター eラーニング （ルール・規約中心） 空白地帯 （リアリティのある コンテンツでの 疑似体験が必須） 記憶率 講義 5% 読む 10% 視覚 教材 20% 実演 30% グループ討議 50% 体験を通した学習 70% 各大学講義 新卒・中途 研修 他人に教える経験 他人に教える経験 90% ？ ？ ？ 100% 11 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

2017年6月（現在）の教育体系 Yahoo! JAPANにおける セキュリティ教育メニュー ISMS研修 ニュース レター 勉強会 年間eラーニング （コトから入る） デモ付き研修 ハンズオン 7月リリース予定の研修 記憶率 講義 5% 読む 10% 視覚教材 20% 実演 30% グループ討議 50% 標的型訓練 Hardening 体験を通した学習 70% 各大学講義 新卒・中途 研修 他人に教える経験 他人に教える経験 90% Yahoo! BB 情報漏洩 ファーストサー バ情報消失 逆境における実体験 100% 12 体験価値による「学び」が求められる時代 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

3.セキュリティ教育におけるUXの活用事例 Yahoo! JAPAN について 13 Yahoo! JAPAN のセキュリティ 役割別教育 セキュリティ 教育における UXの活用事例 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

サービスデザイン 以外のUXデザインの領域 教育・啓発 組織 14 戦略 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

3-1.「モノ」から「コト」へ 15 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

ストーリーボード仕立てのeラーニング 【ケース１】他部署の谷保くんが異動してきました。 初日の朝イチに上長が出した指示について、 あなたはどう思いますか？ 「モノ」から入らず、「コト」から入る （規約・ルール） 16 （日常体験） Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

ガバナンス/統制によるユーザーアプローチ CISO室 社員 平常時 ＝上から目線（無意識かも） 命令 「~やってください」 指示 「ルール・規約を守りなさい」 うまくやったふりでその場を乗り切ろう 社員と の信頼 が醸成 できず 至急の対応をお 願いします！ 緊急時 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. ええ、正直いやだなぁ ⇒自分事として考えない ⇒セキュリティ後回し （売上大事だもん） またなにか言って いるけど、今は売 上あげなきゃ、 ほっときましょ。

UX視点でのユーザーアプローチ CISO室 平常時 ＝体験価値から 「気づき」を提供 「~やってみましょう」 「なぜ守るのかみんなで 考えてみましょう」 社員 なぜ 大切か ⇒「リアリティ」な 「コト」 ⇒自分事として体験 ⇒自然に踏み出せる とりあえず聞く耳を持とう 社員と の信頼 が醸成 至急の対応をお 願いします！ あの人達が目の色 が変わった！？何 かあったに違いな いわ！ 緊急時 普段のセキュリティサービスあってこそ、緊急のセキュリティガバナンスが効く Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

3-2.「可視化」と「測定」 19 Copyright Copyright (C) (C)2017 2017Yahoo YahooJapan JapanCorporation. Corporation.All All Rights Rights Reserved. Reserved. 画像提供：Aflo

標的型攻撃訓練 トラブル発生時の 対応力を養う 2 Copyright Copyright (C) (C)2017 2017Yahoo YahooJapan JapanCorporation. Corporation.All All Rights Rights Reserved. Reserved. 画像提供：Aflo

標的型攻撃訓練のジャーニー化と対策 盛り上がらないところには必ず原因がある 可視化して共有し対策を打つ 21 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

研修の効果測定 効果は起点がないと測れない 研修実施前に何をどう測るのか 22 Copyright Copyright (C) (C)2017 2017Yahoo YahooJapan JapanCorporation. Corporation.All All Rights Rights Reserved. Reserved. 画像提供：Aflo

効果を測るときのポイント 1.セミナーや研修自体の満足度 ⇒アンケート、インタビューで測定可能 2.セミナーや研修の主観的 な能力の向上度 ⇒アンケート、インタビューで測定可能 ３.学びで得た知識や技術に 対する客観的な能力の向上度 23 ⇒定期的な習得度テスト・ 脆弱性評価指標のチェック等で測定可能 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

3-3.「伝える」と「伝わる」 。 24 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

「伝える」と「伝わる」の違い 伝える （送り手） 25 ≠ 伝わる （受け手） 伝えられる側 （情報の受け手）に 圧倒的優位性 と主導権がある Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

大学でのセキュリティ講義のデザイン 26 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

講義のラインアップ 学生のニーズに合わせたプログラムを用意 初級 中級 1 セキュリティ総論 1 セキュリティアーキテクチャー 2 不正を起こす手口と対策 2 ネットワークセキュリティ(1) 3 ネットワークセキュリティ 3 ネットワークセキュリティ(2） 4 攻撃の手口とその対策 4 攻撃の手口、手法とそれを許す脆弱性 5 セキュアサイト構築 5 セキュアサイト構築 6 セキュアなwebアプリケーション開発 6 セキュアなwebアプリケーション開発 7 事例から学ぶセキュリティ 7 セキュリティオペレーション 8 セキュリティの法律と情報倫理 8 まとめ＋本テスト 27 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

講義を選び受けるまでの体験のデザイン 興味を 持っても らう 分かる言 葉で 受け取れ る量で 講義 受け取っ た手応え を測る ・掲示板で ・ ？ なりきり・学生との接点・次回につながる の持ち方 レビュー アンケート設計 ？ 28 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

講義を選び受けるまでの体験のデザイン 興味を 持っても らう 分かる言 葉で 受け取れ る量で 講義 受け取っ た手応え を測る ・掲示板で ・中学生なりきり・学生との接点・次回につながる の持ち方 のビラ配り レビュー アンケート設計 29 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved.

学生は最高の先生 ・偽りがない ・真剣 ・初心に帰れる ・励ましてくれる 30 Copyright 2017Japan YahooCorporation. Japan Corporation. All Reserved. Rights Reserved. Copyright (C) 2017(C) Yahoo All Rights 画像提供：Aflo

教える機会はたくさんある 31 Copyright (C)(C) 2017 Yahoo Japan Corporation. AllAll Rights Reserved. Copyright 2017 Yahoo Japan Corporation. Rights Reserved. 画像提供：Aflo

4.おわりに Yahoo! JAPAN について 32 Yahoo! JAPAN のセキュリティ 役割別教育 セキュリティ 教育における UXの活用事例 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. おわりに

打席に立つこと 失敗しても死ぬことはない 33 Copyright (C) 2017(C) Yahoo All Rights 無断引用・転載禁止 Copyright 2017Japan YahooCorporation. Japan Corporation. AllReserved. Rights Reserved. 画像提供：Aflo

赤い糸というよりは セキュリティ 34 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. UX 画像提供：Aflo

セキュリティとUX 〇大切なことは課題を解決すること ×手法を無理に活用すること 総合格闘技 シーンに合った効果的な 技を柔軟に使う 35 Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. Copyright (C) 2017 Yahoo Japan Corporation. All Rights Reserved. 画像提供：Aflo

アンケートにご協力ください https://goo.gl/JGpnHF

• https://goo.gl/JGpnHF