AikidoによるCyberly買収、ソフトウェアセキュリティを従業員保護へ拡張
Aikidoは、ソフトウェアセキュリティの枠を超えるため、ポーランドのCyberlyを買収した。これまでコード保護を中心としてきた事業に、従業員保護を組み込む動きだ。2026年9月に完了し、10月20日にNoonとともに発表されたAikidoによるCyberly買収は、この拡張に従業員向けの攻撃シミュレーションを加える。その中心的な考え方は明快だ。アプリケーションを保護しても、攻撃者がその利用を認可された人物を説得できるなら、重要な隙が残る。
NoonはCyberlyとベルギーのセキュリティ企業Outkeptを統合する。Aikidoによれば、新事業はメール保護、デバイス保護、AI利用ガバナンス、従業員研修を組み合わせる。この組み合わせは、ソフトウェア脆弱性、不審なメッセージ、従業員の行動、職場のAIツールを別々のチームが扱う分断型のアプローチに異を唱えるものだ。
競合として意識されるのは、すでに自動化・パーソナライズされたセキュリティ研修を提供しているKnowBe4だ。したがってAikidoは、未開拓のカテゴリーを見つけたのではなく、既存の代替手段がある市場に参入する。その機会は、日常業務全体で保護と研修をつなぐことにある。買収発表は戦略を示すものだが、より優れた保護を証明するものではない。
AikidoによるCyberly買収が加えるもの
この買収によりAikidoは、ソフトウェア開発プロセスの範囲を超え、従業員セキュリティの基盤を得る。
同社の従業員セキュリティ開始発表によると、CyberlyはAI駆動の攻撃シミュレーションと、従業員によるAI利用の可視化を提供した。Outkeptはメールセキュリティとフィッシング認識トレーニングを提供した。フィッシングは、認証情報の開示や悪意あるリンクの開封といった行動を誘発するために、欺瞞的なメッセージを用いる手法である。
同社によれば、両買収は2026年9月に完了した。10月20日は取引の完了日ではなく、Noonの一般公開日である。統合事業が技術統合にどれほどの時間を割けたかを評価するうえで、この日付を区別することは重要だ。
Aikidoによると、Cyberlyは以前、200を超える組織で30万人超の従業員を保護していた。Outkeptは100か国超で1,000を超える組織と25万人のユーザーにサービスを提供していた。これらはNoonの導入状況を独立して検証した指標ではなく、企業が公表した過去の数値である。
これらの数値を単純に合算すべきではない。組織が重複している可能性があり、「保護された従業員」と「サービスを受けたユーザー」は必ずしも同じ測定基準を示すものではない。どちらの数値も、統合プラットフォームを採用した顧客数を明らかにしていない。
実務上の変化は、Aikidoが影響を与えようとするセキュリティ判断の範囲にある。ソフトウェアセキュリティの購入は、組織が構築・運用するシステムに関わる。従業員保護は、従業員がどのように通信し、認証し、ツールを導入し、情報を扱うかにも関わる。
このより広い範囲は、購入者が同社に期待すべきことを変える。脆弱性の検出は、注意を要する特定のソフトウェアコンポーネントを指し示せる。一方、従業員リスクの検出には、文脈、権限、事業上の必要性、適切な介入について追加の判断が必要となる。
この買収はCyberlyの戦略的な位置付けも変える。同社の技術は、単独で顧客向けの価値提案全体を担うのではなく、より広範なサービスの一部となる。原則として、これにより攻撃シミュレーションは保護コントロールや運用ワークフローと結び付けられる。
しかし、所有関係だけでそのつながりが自動的に生まれるわけではない。購入者は、共通ブランディングと、共通の管理、連携した対応、一貫したポリシーを区別する必要がある。買収した機能の集合は、マーケティング上は一つの製品として提示されていても、依然として単なる集合にとどまり得る。
したがってAikidoによるCyberly買収は、責任範囲の拡張として理解するのが適切だ。Aikidoは、組織全体の従業員に関わるリスクについて、自社を検討するよう顧客に求めている。これは既存のソフトウェアセキュリティワークフローに別のスキャナーを追加する以上のことを、同社に求める。
セキュリティチームは、より広範な従業員保護の判断に直面する
Noonは、従業員保護を研修要件だけでなく、運用システムとして評価するよう購入者に促す。
直接の対象には、すでに複数の種類の職場保護を調整しているセキュリティ責任者が含まれる。メール管理者、アイデンティティ専門家、従業員研修の担当者、デバイスチームは、関連するリスクに異なる方向から取り組んでいる。統合製品は、こうした区分を見直す理由を生み出す。
だからといって、すべての組織がベンダーを統合すべきという意味ではない。専門ツールは、より広範なプラットフォームよりも特定の要件を満たせる場合がある。重要なのは、分離によって、統合システムが実際に埋められる隙間が生じているかどうかだ。
たとえば、ある財務担当者が、取引先の支払詳細を変更する緊急の依頼を受け取る仮想的なケースを考えてみよう。メッセージはもっともらしく見え、繁忙期に届き、よく知られた業務活動に言及しているかもしれない。従業員の判断は重要だが、承認ルールや依頼を独立して検証する能力も重要である。
研修プラットフォームは、従業員が不審な圧力を見抜く助けになり得る。メールコントロールは、メッセージを停止しようとすることができる。支払ワークフローは、未検証の変更が完了した取引になることを防げる。
これらの介入は、同じ潜在的なインシデントの異なる地点に対処する。どれか一つだけで十分だと扱えば、ほかの要素は検討されないままとなる。これが、Aikidoの従業員保護への拡張を最も強く解釈する方法である。
これは、この発表がセキュリティ部門以外の人々にも重要である理由を説明する。財務、人事、サポートのチームは、ソフトウェアを作成・管理していなくても、攻撃における判断点となり得る。日常的な権限によって、そのワークフローはセキュリティに関わるものとなる。
購入者への圧力は、何かを置き換えることを検討する前から、評価段階で直ちに生じる。より広範なプラットフォームの提案では、誰が統合された成果の責任を担うのかを特定する必要がある。そうしなければ、新しいコンソールは、既存の調整問題を解決せずに新たな責任となり得る。
小規模組織にとっては、管理上の引き継ぎを減らせる可能性が魅力となる。大規模組織にとっての課題は、統合製品を既存の責任分担とコントロールに適合させることだ。これらは異なる購買状況であり、同じ統合の論拠が両方に適するわけではない。
職場におけるAIは、この判断にもう一つの層を加える。従業員は、不正なメッセージに遭遇しなくても、通常の生産性向上活動を通じて情報を露出させる可能性がある。そのため、AI利用ポリシーを従業員保護と結び付けることは、問題を詐欺の認識だけにとどめず、より広げることになる。
この拡張には慎重な境界設定が必要だ。すべての従業員のミスが攻撃ではなく、すべての未承認ツールが悪意を示すわけでもない。異常な活動をすべて同じように扱うセキュリティプログラムは、正当な業務に負担をかける危険がある。
従業員にとって、利用しやすいガイダンスも運用上の重要な要素であり続ける。検索可能なナレッジベースは、依頼に違和感がある場合に、承認済みの手順を見つける助けとなる。組織がそのプロセスを定義する責任を負う一方で、これは明確な対応プロセスを支える。
Aikidoの価値提案は、この組織的な境界に及ぶ。その成功は、顧客が技術的なコントロールを、人々がプレッシャーの下で下す判断と結び付けられるかどうかに部分的に依存する。より幅広い機能セットを販売しても、この問いへの答えは出ない。しかし、その問いを避けられなくする。
Noonはシミュレーションを保護とAIポリシーに結び付ける
提案される仕組みは連携である。保護コントロール、従業員向け演習、AIポリシーを用いて、関連するリスクに一つの運用モデルの中で対処する。
Aikidoの従業員保護機能では、メール、音声、テキストメッセージ、ディープフェイクにまたがるパーソナライズされたシミュレーションが説明されている。ディープフェイクとは、実在の人物を模倣できる合成音声または視覚メディアである。同社は、職場のメッセージングツールを通じて提供されるレッスンについても説明している。
同社の発表は、メール脅威の除去、デバイス保護、職場におけるAI利用のコントロールを、補完的な機能として提示している。これらは製品の想定範囲に関する企業の説明である。検出精度や防止効果についての独立した評価と混同すべきではない。
その基底にある論理は理解しやすい。演習は、従業員が支援を必要とする箇所を明らかにできる。ポリシーは承認済みの行動を定義できる。保護コントロールは、従業員がリスクのある状況に遭遇した際に介入できる。
価値は、これらの要素を相互に補強し合うものにできるかどうかから生まれる。実際のワークフローから切り離された研修は、従業員が直面する圧力を解消せずに、抽象的なルールを教えるだけになり得る。従業員からのフィードバックと切り離された保護は、混乱を招く、あるいは不審な活動についての有用な文脈を見逃す可能性がある。
仮想的なサポートのシナリオは、その違いを示す。従業員になりすました誰かが、緊急のアカウント復旧操作を要求する。現実的な演習は、発信者の声が説得力を持つかを判断するのではなく、サポート担当者が承認済みの検証プロセスに従うかを試すものとなる。
組織に明確で実行可能な検証プロセスがあれば、その演習はより有用になる。それがなければ、研修は欠けているコントロールを従業員が補うよう求めるだけとなる。この制約は、どのベンダーがシミュレーションを提供するかにかかわらず当てはまる。
AikidoによるCyberly買収は、この関係を製品ストーリーの中心に据える。Cyberlyは、従業員向けの攻撃シナリオを構築してきた経験を提供する。統合事業は、そうしたシナリオを、演習そのものを超える改善へと結び付けなければならない。
AI利用の可視化は、別の連携上の問題をもたらす。従業員がツールを使っていることを知るのと、特定の活動がポリシーに違反しているかを知るのは別のことだ。その活動をブロックすることは、信頼できる文脈と適切な権限を必要とする、さらに別の能力である。
そのため、購入者はこの発表を評価する際、発見、解釈、実施を分けて考えるべきだ。プラットフォームは、的確な介入を提供せずに可視化を提供できる。ポリシーダッシュボードは、ルールがどの程度一貫して運用されているかを示さずに、意図したルールを説明できる。
この区別は従業員の信頼にとっても重要だ。セキュリティプロンプトを受け取る人は、求められる行動を理解する必要がある。指示が確立されたワークフローと矛盾する場合、組織にはその矛盾を解消する明確な方法が必要となる。
たとえば、機密性の高い顧客メモを扱う従業員が、未承認のAIサービスにそれを送信しないようガイダンスを受ける仮想的な状況を考えてみよう。有用な結果は、そのタスクを完了するための承認済みの手段があることだ。その手段がないまま警告を繰り返せば、根本的な業務上の必要性を解消しないまま摩擦だけが生じる可能性がある。
ここで、この仕組みは見出しが示す以上に要求の厳しいものとなる。現実的な演習を生成することは一つの仕事である。従業員向けガイダンス、保護アクション、業務プロセスの間に一貫した関係を維持することは、また別の仕事だ。
Aikidoの拡張は、それらの業務をつなげようとする試みとして理解できる。公開されている発表では、意図された統合の内容が説明されている。一方で、実際に導入された製品にどの程度の連携が存在するかは、顧客自身が確認する必要がある。
KnowBe4はすでに適応型トレーニングを提供している
Aikidoにとっての競争上の課題は、パーソナライズされた自動トレーニングがすでに存在する市場で、より優れた統合ワークフローを示すことにある。
KnowBe4は2026年2月24日、AIDA Orchestration製品を通じて適応型セキュリティトレーニングを発表した。同社によれば、個々のリスクプロファイルに基づき、パーソナライズされたフィッシングテストとトレーニングを作成・スケジュールする。また、自動化プログラムに対する管理者の制御機能も説明している。
これはNoonを解釈する上で重要な参照点となる。パーソナライゼーションと自動化されたキャンペーン管理は、すでに競合他社が掲げる提供内容の一部である。Aikidoの戦略にこれらが含まれていることだけでは、独自の技術的優位性を示すことにはならない。
両社の有効性に関する主張には、同様の精査が必要である。製品発表は、意図された挙動と商業的な位置付けを示すものである。どちらの製品がより効果的にインシデントを減らすかを示す統制された比較を提供するものではない。
主な競争は、Aikido対KnowBe4という構図より広い。個別に管理される対策という現実に対し、連携した従業員保護が有効であるかという論点である。KnowBe4は競争環境の文脈を提供する一方、Aikidoが提案する統合が依然として中心的な論点となる。
購入者にとって、これは機能の数を数える比較から視点を移すことを意味する。複数の製品が、シミュレーション、パーソナライゼーション、管理の自動化を訴求できる。より有用な違いは、それらの機能を有効化した後にもどのような業務が残るかである。
管理者は依然として、矛盾する従業員記録の照合、別々のリスクスコアの解釈、システム間での検出事項の移送を行う必要があるかもしれない。統合プラットフォームは、顧客が必要とする対策を弱めずに、こうした負担を減らせる場合に価値を示す。
Aikidoは、その戦略に内在するスコープ上の課題にも直面している。広範なカバレッジは管理を簡素化する機会を増やす一方で、導入、権限、サポート、製品の一貫性に関する責任も増やす。
専門特化型の事業者は、より狭い問題に開発努力を集中できる。より広範な事業者は、追加される範囲を正当化できるほど、より広いカバレッジが成果を改善することを説明しなければならない。どちらのアプローチも自動的に勝つわけではない。
同じ考え方は、既存の顧客関係にも当てはまる。すでにソフトウェアセキュリティでAikidoを利用している企業には、Noonを検討する理由がある。その関係は対話のきっかけにはなり得るが、従業員保護への適合性を確立するものではない。
意思決定を担う部門が異なる場合もあり、求められる証拠も異なり得る。ソフトウェア脆弱性の取り扱いに対する信頼が、従業員の監視、トレーニング設計、職場ポリシーの執行へ自動的に移るわけではない。
したがって、競争上の機会は実務的なものだ。Aikidoは、導入の明確さ、有用な連携、顧客がシステムを効果的に運用できることを示す証拠を通じて主張を展開できる。AI活用に関する一般的な主張の説明力は、これより小さい。
この比較は、既存ベンダーが必ずしも停滞しているわけではないという見方も抑制する。KnowBe4の発表は、既存プロバイダーが自動化とパーソナライゼーションを推進していることを示している。Aikidoは、最初のAI製品を待つ市場ではなく、従業員保護のあり方をめぐる活発な競争に参入している。
現実的なシミュレーションはインシデントリスクの低下を示すものではない
中心的な不確実性は、統合製品が説得力のある演習や管理の容易さを提供するだけでなく、実際のセキュリティ成果を改善するかどうかにある。
シミュレーションは、構築された状況でのパフォーマンスを測定する。インシデントには、変化する状況、事業上の圧力、演習の外にあるシステムが関与する。一方の環境における改善を他方に関する主張の根拠とするには、慎重な解釈が必要である。
例えば、失敗率の低下は従業員の判断力の向上を反映している可能性がある。一方で、より容易なシナリオ、見慣れたテンプレート、演習を受けた対象者の変化を反映している可能性もある。有意義な比較には、これらの説明を区別できる十分な文脈が必要となる。
これはCyberlyの技術に対する反証ではなく、分析上の限界である。確認したローンチ資料には、Noonの有効性を確立する独立した比較評価は示されていない。そのため、買収自体は確認されているものの、成果に関する証拠には隔たりが残る。
記録された攻撃事例は有用な参照となる。Microsoftによる給与口座攻撃の調査では、侵害された大学職員アカウントが給与振込先の変更に使われたことが説明されている。攻撃者は、受信トレイのルールを作成して通知メールも隠していた。
Microsoftはこの活動をStorm-2657によるものとし、Workday自体の脆弱性を表すものではないと説明した。この事例は、従業員をだます行為、アカウントアクセス、メールボックス上の活動、そして重大な事業上の操作を結び付けている。トレーニングが防御上の課題の一部にすぎない理由を示している。
この事例は、Noonが攻撃を防げたことを示すものではない。広範な従業員セキュリティの提案を検討する際の具体例を提供するものである。防止に関する主張には、導入された対策と攻撃条件に関する追加の証拠が必要となる。
認証は引き続き別の検討事項である。Microsoftのフィッシング耐性認証に関するガイダンスは、パスキーやセキュリティキーといった手法を重視している。これらは、従業員が偽装サイトに開示し得るコードだけに依存するのではなく、暗号化された認証情報を使用する。
トレーニングと認証は、異なる失敗モードに対処する。従業員は不審な要求を認識できても、安全な対応方法を必要とする場合がある。技術的な対策は認証情報窃取の試みを阻止できるが、別の種類の詐欺への対処法を従業員に教えるものではない。
したがって、統合製品は既存の対策とあわせて評価すべきである。トレーニング管理の負担軽減は、より強い認証を示すものではない。より現実的な模擬電話も、より安全なアカウント復旧や支払い承認を示すものではない。
プライバシーと従業員の信頼は、追加の評価課題を生む。パーソナライズされたプログラムでは必然的に、誰がどの介入を受けるかについて判断がなされる。購入者には、使用される情報、アクセス権限、不正確な前提を訂正する方法について、理解しやすい説明が必要である。
これらの問題は、Noonが従業員情報を不適切に扱っていることを示すものではない。広範な従業員保護プラットフォームに明確な文書化が必要となる領域を示している。提案の範囲が広いこと自体が、その明確さを必要とする。
AikidoによるCyberly買収も、統合に関する不確実性を生む。既存の顧客関係は被買収企業が以前から利用されていたことを示すが、統合製品への移行が成功したことを示すものではない。顧客には、サポート、設定の継続性、ワークフローの変更に関する具体的な情報が必要である。
慎重な読み方は、物語の両面を保持する。Aikidoは関連する能力を取得し、一貫した拡張戦略を示している。ここで確認した公開情報は、それらを統合することで、代替的な構成より優れた保護がすでに実現していることを示してはいない。
Noonのローンチ後に注目すべき点
最も有用な指標は、導入の明確さ、測定可能な顧客成果、そして買収した製品群が連携して動作していることを示す証拠である。
まず、今後数カ月は具体的な導入情報に注目すべきである。購入者は、どの機能が利用可能か、どの権限を必要とするか、既存のセキュリティツールとどのように連携するかを知る必要がある。明確な境界があれば、製品を実際の範囲に基づいて評価しやすくなる。
顧客が別々の発表から再構成しなくても提供内容を理解できるなら、この指標はAikidoの主張を強める。不可欠な機能が曖昧なままであったり、無関係な管理プロセスを必要としたりする場合、統合の主張は弱まる。
提供開始状況にも正確な表現が求められる。公開ローンチは製品全体の方向性を説明できる一方で、顧客は個別機能への段階的なアクセスに直面する可能性がある。購入者は、発表されたすべての機能が同じ成熟度にあると仮定するのではなく、実際に導入できる機能を判断すべきである。
次に、成果をどのように測定したかを説明する顧客証拠に注目すべきである。有用な報告では、導入の背景、観測期間、すでに導入されていた対策を特定する。運用上の節約と、セキュリティパフォーマンスの変化を区別する。
管理作業時間の削減は、Aikidoの主張の一部を裏付ける。従業員による迅速な報告、不審な要求へのより適切な対応、より明確なインシデント連携は、別の部分を裏付ける。これらの成果は、単一の成功ラベルにまとめるのではなく、個別に説明すべきである。
トレーニング完了率や説明のないリスクスコアだけを示す証拠は、情報価値が低い。こうした指標は、従業員やシステムが実際の脅威にどう対応するかを示さずに、プログラムの活動を説明できる。
比較では、変化する条件も考慮する必要がある。顧客が新しいトレーニングプラットフォームを導入する際、同時に認証を改善したり、承認プロセスを見直したりする可能性がある。その後のすべての改善をプラットフォームに帰属させることは、証拠が示す範囲を超える。
3つ目に、既存のCyberlyおよびOutkeptの顧客が統合後の事業をどのように体験するかに注目すべきである。一貫したポリシー、理解しやすい管理、サポートの継続性は、統合のストーリーを裏付ける。手作業による照合が続く場合は、なお必要な作業が残っていることを示す。
Aikidoの戦略における最も強い形は、顧客が理解できるワークフローを通じて、検知、従業員へのガイダンス、保護アクションを結び付けるものである。より弱い形は、有用な製品を共通の名称の下にまとめながら、それらをつなぐ責任を顧客に残すものである。
どちらの結果も、買収発表だけから推測することはできない。次の証拠は、単に機能一覧を広げることではなく、導入事例と顧客体験から得られるべきである。
AikidoによるCyberly買収を検討する組織は、まず現在の対策では十分に扱えていないインシデントと判断を確認すべきである。発表された機能をそれらのギャップと比較し、想定する導入環境でどの機能が利用可能かを確認する。時間削減とリスク低減を区別し、両方を評価できる十分な文脈を伴う証拠を求める。その議論には従業員と接するチームも含めるべきである。なぜなら、最終的なプロンプト、ポリシー、対応プロセスとともに日常的に働くことになるためだ。評価の全過程を通じて、認証、アカウント復旧、業務上の承認を視野に入れておく。有用な購買上の問いは具体的である。統合システムは、現在の構成よりも危険な操作を阻止する、あるいはそれにより効果的に対応する助けとなるだろうか。
