マイページ
警告した人が責められる職場
この対談を、現在のサイバー防御に引きつけて考える。敵対する相手は、こちらの計画が完成するまで待ってくれない。いまある情報で判断し、対応した結果を確かめ、次の脅威に備え直す。その繰り返しが、日常の仕事になっているかどうかである。
だからといって、重要なシステムで無謀な実験をしてよいわけではない。必要なのは、実際の業務に被害を出さずに判断を試せる演習や検証の場である。実社会で失敗できない仕事ほど、失敗から学べる場所を先につくらなければならない。
演習にも、経営判断を入れるべきだ。技術担当者が侵入を発見したところで終わらせず、経営者が何を停止し、顧客に何を説明し、どの条件で再開するかまで考える。現場の警告を判断につなげる過程そのものを訓練するのである。
異常を報告した人が責められ、停止を提案した人だけが損失の責任を負う職場では、警告は上がりにくくなる。専門家を増やしても、その声が意思決定に届かなければ防御は強くならない。人材への投資を生かすには、経営者自身が、権限と責任の置き方を変える必要がある。
一回の復旧で終わらせてはならない
日本の強化が難しいということは、手を打つまで待ってよいという意味ではない。むしろ、時間のかかる仕事ほど、着手を遅らせる代償が大きい。目の前の被害を減らす対応と、将来の能力を育てる仕事を、同時に進めなければならない。
日本が学ぶべきなのは、脅威そのものを増やすことではなく、現実の対処から学び続ける仕組みである。実際の被害への対応、検証環境での演習、専門家同士の事例共有をつなぎ、一度の経験を次の防御に残す。危機感を語るだけでは、日々対応してきた組織の経験には追いつけない。
日本にも既存の基盤がある。IPAの産業サイバーセキュリティセンターは、模擬プラントを用いた演習などを通じ、情報システムと産業の制御システムの双方を扱う人材育成に取り組んでいる。こうした学びを現場で使う役割と権限につなげ、現場の経験を教育へ戻すことが重要になる。
官民の専門家が企業の救援に入る場合も、一回の復旧で終わらせてはならない。機密や個人情報を守りながら、発見の遅れや判断のつまずきを検証する。救援を受けた企業に手順と担当者を残し、同じ弱点を持つ企業の予防にもつなげる。緊急支援は、将来の被害を減らす学習の機会にもなる。
