組織の免疫機能を育てる-風邪の話から考えるサイバーセキュリティ

私はよく、サイバーセキュリティを「組織の免疫機能」として説明します。これまで何度も書いてきましたし、登壇でも話してきました。

いま取り組んでいる大きなプロジェクトが、来週でひと段落つきます。これまでやってきたことを棚卸ししながら、次はどんな場で、どんなふうに役に立てるだろうかと考えています。

そんな折、「あなたの得意なこと、強みは何ですか」と聞かれました。そのときも、私は風邪の話をしました。

ほとんど風邪をひかない人がいます。しょっちゅうひく人もいるし、時々ひく人もいます。風邪の原因になるウイルスは、普段から私たちの身の回りにあります。それに触れても、症状が出ることもあれば、出ないこともあります。でも、ひとたび風邪をひけば、予定は狂うし、お金もかかる。しょっちゅうひいていたら、体力もお金もなくなっていきます。

組織も一緒です。今、サイバー攻撃は速くなり、手口も巧妙になっています。攻撃する側も、うまくいくやり方を探し続けます。手口には流行りがあります。でも、攻撃そのものはいつもあります。そのなかで、組織にできることは三つあります。

一つ目は、風邪をひきにくいように、普段から基礎体力をつけておくことです。組織でいえば、サイバー衛生をきちんとすることです。私はセキュリティの基本を理解しているので、何から手をつければいいか、どうすれば現場で続けられるかを考えて、仕組みにできます。

二つ目は、風邪をひいたら、早く手を打つことです。薬を飲む。必要ならお医者さんに行く。サイバー攻撃を受けたときも、まず何を確かめるか、何を止めるか、どこで外の力を借りるかを判断します。私はこの対応を何度もやってきました。だから、いざというときにどう動くかを整理できますし、自分でも動けます。

三つ目は、風邪をこじらせて寝込んでしまったときに、どう立て直すかです。事業が止まったときに、何から戻すのか。どうすれば安全に再開できるのか。そこまで考えて、実際に動ける体制をつくります。

そして、私が大事にしているのは、治ったあとです。めったに風邪をひかない人でも、ひくときはあります。そのときに、「どうして今回はひいたんだろう。次はどうすればいいだろう」と考える。その経験から、普段のやり方を少し変えてみる。

組織も一緒です。「インシデントが起きた。みんなで対応した。大変だったね」。そこで終わると、対応がお祭りみたいになってしまいます。あれだけ人も時間もお金も使ったのに、普段のやり方は元に戻る。そしてまた、同じように風邪をひく。何が起きたのか、どこでもっと早く気づけたのか、次は何を変えるのか。そこまでやって、ようやく次の備えになります。

でも、これも組織の選択です。風邪をひくたびに治す。それも一つの選択です。普段から風邪をひきにくくして、ひいても仕事が回るようにしておく。それも一つの選択です。普段の備えにどこまで人やお金を使うのか。いざというとき、事業がどれくらい止まっても持ちこたえられるのか。そして、風邪をひいた経験から学び、次は同じようにひかないように、普段のやり方を変えるところまで投資するのか。そこまで先を見るかどうかも、経営判断です。

私の強みは、その判断に必要な材料を示し、組織が選んだ方針を、現場で動く仕組みにできることです。日頃の備えから、攻撃を受けたときの対応、事業の立て直し、そして学んだことを次の備えに生かすところまで、ひとつながりで考えます。

これからは、異変に早く気づくところにも、対応の記録を整理し、次に何を変えるかを考えるところにも、AIを使いたい。そうやって、組織の免疫機能を高めていきたいです。