セキュリティは“本能”｜多摩大学・平山敏弘教授が語るDXを支える「プラス・セキュリティ人材」【有識者に聞く⑩】

平山氏

「以前から『コストか投資か』という議論がありますが、私は最近、『セキュリティは“本能”です』と答えています。先ほどの車の開発に例えるなら、『コスト削減や利益率向上のために、ブレーキのない車を作って売るのか』という話です。安全に走るためのブレーキは、損得勘定以前の前提条件となるのです。国も『DX with サイバーセキュリティ』を掲げ、DXの推進にセキュリティが不可欠だと発信しています。スイスの国際経営開発研究所（IMD）による『世界デジタル競争力ランキング』や、ダボス会議の『グローバルリスク報告書』でも、セキュリティやサイバーリスクは最重要課題に位置づけられています。」

平山氏

「文化的な背景も関係しています。狩猟民族は、肉食獣に襲われる危険が日常にある環境で暮らしてきたため、対策を講じなければ安心して眠れませんでした。一方、農耕民族は日常の中で即座に命を脅かされる危険が比較的少なく、危険に対する捉え方も異なってきた、という考え方です。

英語の『security』は、『心配（cura）がない（se-）』という意味に由来すると説明されます。欧米では危険がある状態を前提とし、それを取り除くことで安心・安全を確保します。そのため『投資かコストか』を議論する前に、『今夜ぐっすり眠るため』、つまり事業を存続させるためにセキュリティ対策を講じるのです。グローバルな視点に立てば、もはや損得の計算ではなく、『事業防衛の本能』として捉えるべきです。」

平山氏

「世界全体のサイバー被害の年間総額は、9.5兆ドルとの試算もあります。日本国内の被害に換算すると、東日本大震災の被害額（約16〜17兆円）と比較して、『4年に一度、東日本大震災級の経済的打撃が発生している』計算になります。また、新型コロナウイルスによるGDPへの影響と比べても、15年に一度、パンデミック級の被害が起きているような規模です。」

平山氏

「従来、『セキュリティ負債』は、システムやソフトウェアに先送りされて蓄積された未修正のセキュリティ上の脆弱性や対策不足を指していました。私が提唱しているのは、潜在的で、まだ表面化していない被害が積み重なっている状態です。

すでに社内システムに侵入されていたり、気づかないうちにデータが流出していたりする企業は多く存在します。数千万円、数億円規模の目に見えないダメージ、いわば負債が蓄積し、事件として表面化した瞬間に一気に牙をむくのです。

深刻なインシデント（情報漏えいやシステム停止などの事故）が一度起きれば、年間売上高を超える被害額が発生するケースもあります。インシデント発生後に株価が10数％下落した事例もあり、欧米では『対策を怠った』として取締役個人が集団訴訟の対象となるケースも増えています。日本でも将来、経営陣個人の責任が問われるリスクは十分にあります。」

平山氏

「実際、支払ってしまう企業は少なくありません。しかし、公表データによれば、1回目の支払いでデータを完全に復元できた企業はわずか2割程度^＊です。残りの8割は復旧できず、追加の支払いを要求された末に、最終的に戻るデータも半分程度という状況です。

さらに、『身代金を払う企業だ』と認識されれば、再び標的にされる恐れがあります。身代金の支払いは犯罪組織の資金源になるため、国際的にも支払いを抑制する方向で議論が進んでいます。事業者は『攻撃を受けたらデータは戻らない』という前提に立ち、日頃から強固なバックアップ体制を整えておくことが極めて重要です。」

平山氏

「『プラス・セキュリティ人材』は、現在、次の3つのレベルに分けて整理しています。

レベル1：現場のセキュリティ推進者（推進レベル）

イメージは『防火責任者』や『個人情報取扱責任者』です。50人規模の部署に1人程度を配置し、日常的なセキュリティ意識の啓発や教育、緊急時の連絡体制の周知などを担います。

レベル2：適切な発注・評価ができる担当者（ブリッジレベル）

外部の専門業者にシステム構築などを依頼する際、何を依頼すべきか、納品物が要件を満たしているかを理解・評価し、専門業者と対等に話せるレベルです。

レベル3：企画・設計段階で組み込める担当者（プロデュースレベル）

サービスや商品の企画段階で、『機密性の高い情報を扱うため二段階認証（パスワードに加え、別の方法でも本人確認を行う仕組み）が必要だ』といった要件を自ら考え、上流工程から組み込める人材です。これが『セキュリティ・バイ・デザイン』（企画・設計の段階からセキュリティを組み込む考え方）です。」

平山氏

「日本企業で一般的な数年単位の人事ローテーションは、『プラス・セキュリティ』の観点から見れば大きなメリットになります。ITやセキュリティ部門で培った知識を持ったまま営業部や総務部に異動すれば、現場業務を熟知した『プラス・セキュリティ人材』として活躍できます。

異動後も、その知見を人事評価や報酬に適切に反映する制度を整えれば、組織全体のセキュリティレベルは大きく向上するはずです。」

平山氏

「ユーザー企業にIT人材が少ない日本では、既存社員が人事ローテーションなどを通じて『プラスIT』『プラス・セキュリティ』の人材へとリスキリング（新たな知識・技能の習得）していく仕組みが不可欠です。大学教育でも、文系・理系を問わず、デジタルやセキュリティを実務で活用できる人材を社会に送り出す必要があります。

『DXを推進すること』そのものが目的になっては本末転倒です。DXも、企業を発展させるための手段にすぎません。

会社を存続・成長させるには、新しい『挑戦』が必要です。そして、新しい挑戦には必ず新たなリスクが伴います。セキュリティは単なるコスト、いわば『金食い虫』ではありません。会社を安全に、そして大胆に成長させるために欠かせないブレーキであり、基盤なのです。それこそが『DX with サイバーセキュリティ』の本当の意味です。」