事業拡大に伴いルールの周知徹底が困難に

アイリスオーヤマは「ユーザーイン経営」を掲げ、生活者の視点に立ってさまざまな不満を解消する日用品を開発、製造、販売している。この姿勢が評価され、コロナ禍でも売上高8000億円をあげるなど成長し続けており、現在では、ロボティクスやIoTなど新たな分野にも挑戦している。そんな同社では、事業の拡大に伴い、従業員数も増加の一途をたどっていた。会社としては歓迎すべきことだが、セキュリティを担うシステム部 運用課にとっては、いかにセキュリティに関する従業員のリテラシーを高め、守るべき情報を守る体制を整えていくかが課題となっていた。

サイバーセキュリティ、情報セキュリティにおいては、PCへの対策ソフトの導入やネットワークセキュリティの強化といった技術的な対策だけではなく、組織としてのルールを定め、それを徹底していくか考える「技術」「組織」「人」が三位一体となった取り組みが不可欠だ。もちろん、アイリスオーヤマでも、複数の技術的対策を推進するとともに、従業員に対するセキュリティトレーニングを定期的に実施していたが、全社統一でセキュリティ意識を高めるのが困難だったという。

「次々にさまざまな背景を持った従業員が加わる中で、会社として定めた行動規範や機密管理に関するルールを、統一性のある形で周知徹底ができていないことが課題でした」と、同社 システム部 運用課 ITガバナンスチーム リーダーの藤原徹氏は振り返る。

それまでのセキュリティトレーニングは、新入社員に対して集合研修の形式で実施していた。会議室に従業員を集め、システム部が作成したPowerPointの資料を写しながら情報の取り扱い方やサイバー攻撃から身を守るための留意点を教えていくが、講師が一方的に話して資料を渡すだけに終わり、本当に従業員の理解に結びついているかどうか、自信の持てない部分があったと同社システム部 運用課マネージャーの最上恵一氏は話す。

「必ず受講してもらうことが前提ですが、一方的にこちらから話しているだけ、『とりあえず出ているだけ』に終わっているというもどかしさがありました。従業員にとってみれば、商品知識など他にも学ぶべき事柄は多く、研修疲れにつながっているのではないかという懸念もありました」（最上氏）

44カ国語に対応するグローバル性が採用のポイントに

そこでアイリスオーヤマでは、従業員が情報管理やセキュリティに関するルールを本当に理解しているかを確かめるために、新しい研修方法を模索し始めた。検討にあたっての要件は次の2つ。

1つは、受講管理に加え、確認テストを通して従業員の理解度を図り、一定水準以上に達しているかを確認できること。もう1つは、多言語で教育コンテンツが用意されている、グローバル対応のサービスであることだ。

「当社ではアメリカや中国のほか、数多くの海外拠点を擁しています。将来的には海外にもセキュリティ教育を展開したいと考えていたため、多言語対応しているセキュリティ教育サービスである必要がありました」（藤原氏）

こうした観点から浮上したのが、Proofpoint Security Awareness Training（PSAT）だった。
…

日本のお客様からの要望に基づいて機能追加されたCISOダッシュボード