身代金を払えば大切な顧客を守れるのか…｢社内の警告｣を生かせなかったGMO熊谷正寿社長を待ち受ける"試練"

補償は、防御の代わりにはならない

『孫子』を、攻撃者に反撃するための本として読むだけでは、今回の問題の半分を見落とす。企業が守るべきものは、顧客が資産を扱い、仕事をし、暮らしを続けられる条件である。

岩井コスモ証券が不正取引を元に戻した対応は、その意味で重要だ。被害が発生した事実は消えないが、損失を顧客に残さない措置には意味がある。GMOも、不正アクセスに起因すると確認した不正取引の損失を補償する方針を示している。

補償は防御の代わりにはならない。それでも、誰が調べ、誰が顧客へ連絡し、何を根拠に回復するかを先に決めておけば、事故の後の混乱を減らせる。バックアップも、存在するだけでなく、実際に復元できるかを試しておかなければ備えにはならない。

病院や鉄道でも、情報システムの一部が使えなくなったときに、どの業務を続けられるかが問われる。ただし、顧客向けウェブサービスの侵害と、医療機器や列車制御の侵害は区別しなければならない。被害の範囲を正確に見極めることが、適切な対応の出発点になる。

GMOは、政府に能動的サイバー防御に関する措置を求めた。国境を越える攻撃基盤への対応には、企業だけでは担えない役割がある。他方、企業が要請すれば自動的に措置が実施されるわけではない。政府は法的要件に照らして判断する。

国家の役割と企業の役割をつな旧はぐ必要はあるが、両者を取り違えてはならない。仮に攻撃元の一つを止めても、流出した情報が回収され、奪われた権限がすべて無効になるとは限らない。企業自身の封じ込めと復、政府の対応を待たずに進める必要がある。

構造を知る者は、構造に飲み込まれない

この問題は、今後のAI活用にもつながる。AIが資料を作るだけなら、誤りを人が見直せる場面は多い。しかし、AIが発注し、送金し、設備を動かすようになると、何を実行できるかという権限が、そのまま危険の範囲になる。

工場、物流、介護などでフィジカルAIを使う際にも、効率だけを測ることはできない。誤った指示を受けたとき、どこまで動けるのか。誰が止められるのか。止まった後に、人が引き継げるのか。こうした条件を、導入の段階から組み込む必要がある。

技術が進めば、攻撃にも防御にも使える道具は変わる。しかし、権限を与える判断、危険を放置する判断、異常時に止める判断は、組織の問題として残る。

『古典で読み解く！ 10年後の未来』でお伝えしたかったのは、出来事の背後にある構造を見ることで、目の前のニュースを自分の仕事や暮らしに結び付ける視点である。今回も、人工知能の能力、企業の管理、顧客の生活、国家の役割が、一つの事案のなかでつながっている。

『孫子』は、サイバー攻撃への技術的な答えを知っていたわけではない。だが、相手が来ないことに期待するのか、自分が対処できる条件を整えるのかという問いは、いまも有効だ。

経営者が問うべきなのは、危険を知っているかに加えて、知った危険に対し、組織を動かせているかである。そして脅迫を受けた後なら、相手の決めた時刻ではなく、確認された被害と、信頼できる兆候から見込まれる危険に基づいて動けているかである。その答えは、次の攻撃が来る前に用意しなければならない。

構造を知る者は、構造に飲み込まれない。