マイページ
熊谷社長は試されている
『孫子』には、もう一つこの局面に効く一節がある。虚実篇は、先に戦場に着いて敵を待つ者は余裕があり、後から駆けつける者は疲れる、と述べたうえでこう記す。善く戦う者は、人を致して人に致されず。相手を動かすのであって、相手に動かされない。
正午という時刻は、攻撃者が決めたものである。だが、顧客保護の優先順位まで相手に決めさせる必要はない。何が判明したら誰が判断し、どの保護措置を追加するのか。その基準を先に定める。重要な変化には直ちに対応し、それ以外は定期的に説明する。
相手に動かされないとは、判断を固定することではない。確認された被害と、信頼できる兆候から見込まれる危険に基づいて動くことである。脅迫の強さに合わせて動けば、相手の時計で経営が回る。反対に、確認が済むまで何もしなければ、防げる被害を見送ることになる。
今回はその両方が試されている。予告された2つのうち、情報の公開は起き、ランサムウェア攻撃は確認されていない。確認された被害には直ちに手を打ち、まだ確認されていない危険にも、信頼できる兆候に応じて予防措置を講じる。予告の数でも脅しの強さでもなく、時点を付けた事実で動けるかどうかが、顧客の安全を左右する。
ここまでは、脅迫を受けた後の判断を見てきた。だが、九変篇が先に説くのは、敵が来ないことを当てにせず、来ても対処できる自分の備えを頼みにする、ということである。相手が攻めるかどうかは、自分では決められない。だが、自分がどのように備えるかには、働きかける余地がある。
今回、重く受け止めたい説明がある。熊谷氏は公式ブログで、社内の専門家が事前に改善課題を指摘していたものの、サービスへの影響や対応の優先順位を考慮するなかで、対策が十分に進まなかったと述べている。侵入の全容は調査を待つ必要があるが、経営側が自ら明らかにした事実として重要だ。
専門家がいる。弱点も見つけている。それでも、対策の実施に時間がかかる。改修には費用がかかる。停止すれば顧客に迷惑がかかる。ほかにも急ぐ仕事がある。それぞれの判断には理由がある。しかし、部門ごとの理由を積み上げた結果、会社全体として大きな危険を残すことがある。
「警告」を受け取るだけでは足りない
ここでも「愛民は煩わさる」は、判断を点検する問いになる。顧客に迷惑をかけたくない。その配慮は大切である。だが、目の前の不便を避けるために、将来の大きな被害への備えを遅らせてはいないか。顧客を大切にする目的と、サービスを止めないという手段が、いつの間にか同じものになっていないか。
もちろん、熊谷氏の内心や今回の侵入原因を、この一節で説明できるわけではない。古典が与えるのは、判断を検討するための問いである。いつも通り使えることを守るのか、その先も安心して使える条件を守るのか。両者が衝突するとき、一時的な停止や利用制限を選ぶことも、顧客を守る責任に含まれる。
実際、同社の公表によれば、10月19日に顧客の問い合わせを受けて調査を始め、20日に不正なプログラムの設置を確認して新規申し込みとコントロールパネルを停止し、21日4時に全プランのサーバーを順次停止した。止める判断は、侵入が分かった後には下されている。問われるのは、事前の指摘を受け、当時把握していた危険に応じた改修や利用制限を、誰が、いつまでに実行する仕組みだったかである。
警告を受け取るだけでは足りない。誰が、いつまでに直すのか。延期するなら、誰がその危険を引き受けるのか。改修が終わるまで、接続や権限を制限できないか。ここまで決めて初めて、知識が備えになる。
これは、事故の後から現場を責めれば済む問題ではない。止めれば業績を問われ、止めずに事故が起きれば責任を問われる。その板挟みを個々の担当者に背負わせたままでは、判断は遅れる。
経営には、危険を報告した人の声が届き、必要な停止や改修を実行できる条件を整える責任がある。守る力は、専門家の能力と、その能力を行動へ変える組織の双方に宿る。
では、何から直すのかを決める基準はどこにあるのか。被害が広がる経路である。
