ないものは作る 第2話「汚染——午後3時17分のアラート」
セキュリティ部門に異動して三ヶ月が経った頃、三島にある質問をされた。
「柏木さん、インシデント対応の経験ってあるんですか？」
情報セキュリティ規程の見直し作業をしていた時のことだ。各部門に適用される情報セキュリティのルールを定めた文書で、大場さんに言われて僕が全体を読み直しているところだった。
「ありますよ」
「どんなやつですか？」
「ランサムウェア」
三島が目を丸くした。
「ランサムウェア？ うちで？」
「インフラにいた頃の話。三島は知らなかった？」
「全然知らないです。いつの話ですか」
大場さんが横から口を挟んだ。
「あれは私と柏木さんとインフラの村瀬さんの三人で対応したんだよ。三島さんにはたしか、詳しくは共有していなかったかもしれないね」
三島が少し不満そうな顔をした。同じ部門にいたのに知らされていなかったことが、引っかかったのだろう。
「詳しく聞いていいですか？」
三島が言った。大場さんもうなずいた。
僕は手を止めて、あの日のことを話し始めた。
あれはインフラ部門にいた頃——セキュリティの試験を受けるよりも前のことだ。
入社してすぐ、僕に与えられた最初の仕事は、ウイルス対策システムの運用だった。
すでに構築済みのシステムを、管理コンソールで監視し、定義ファイルの更新を確認し、検知ログをチェックする。地味な仕事だ。毎朝出社したらコンソールを開き、異常がないことを確認して、なければ次の仕事に移る。異常があった日は、一度もなかった。少なくとも、あの日までは。
工場のインフラ担当として数年が過ぎ、僕は第二棟の建設プロジェクトを終え、南陽工場のネットワーク構築も経験していた。ウイルス対策の運用は相変わらず僕の担当だったが、いつしかルーティンになっていた。毎朝コンソールを開く。異常なし。閉じる。その繰り返し。
ルーティンというのは、平穏なうちは退屈だが、崩れた時に本当の意味がわかる。
その日は普通の火曜日だった。
午後三時十七分。僕のメールボックスに、ウイルス対策システムからのアラートが届いた。
アラート自体は珍しいことではない。誤検知や、定義ファイルの更新に伴う一時的な警告は、月に何度かある。たいていは確認して、問題なし、で終わる。
でも、このアラートの文面は違った。
検知されたマルウェアの名前を見た瞬間、背筋に冷たいものが走った。
Trojan-Ransom.Win32.Wanna
後に「WannaCry」の通称で世界中を震撼させることになるランサムウェアだった。
ランサムウェアというのは、感染したコンピュータのファイルを暗号化して使えなくし、「元に戻してほしければ金を払え」と要求するタイプのマルウェアだ。身代金型ウイルス。個人のパソコンに感染するだけでも厄介だが、企業のネットワークに入り込むと、被害は桁違いに大きくなる。
僕はすぐにウイルス対策の管理コンソールを開いた。検知元の端末を確認する。
日向工場だった。
日向工場の、ある端末からマルウェアが検知されている。しかし、検知ログを見ていくと、感染はその端末だけに留まっていなかった。ネットワーク上を伝播している形跡があった。
まずい。
僕はコンソールの画面を睨みながら、感染の広がりを追った。日向工場の端末から、社内ネットワークを経由して——東京本社のファイルサーバーに到達していた。
ファイルサーバーが汚染されている。
僕の手が、一瞬止まった。
ファイルサーバーには、全社の共有データが格納されている。業務マニュアル、設計図面、取引先との契約書、品質管理記録。工場が日々の仕事を回すために必要なあらゆる情報が、あのサーバーの中にある。
それが、暗号化され始めていた。
僕はまず、上司の村瀬に報告した。
「村瀬さん、ランサムウェアです。日向工場の端末から感染が広がって、東京のファイルサーバーが汚染されてます」
村瀬の顔色が変わった。
「ファイルサーバー？ どこまでやられてる？」
「今確認してます。でも、まず端末を切り離さないと」
「わかった。やれ」
村瀬は判断が速い人だった。技術的な細かいことはわからないが、現場の人間が「やる」と言ったらやらせる。それだけでも上司としては十分だった。
次に連絡が入ったのは、大場さんからだった。
セキュリティ部門の責任者として、ウイルス対策システムのアラートは大場さんにも飛んでいたらしい。普段は覇気のない声が、この時ばかりは硬かった。
「柏木さん、状況は？」
「日向工場が発生源です。東京のファイルサーバーまで到達してます。今から封じ込めに入ります」
「私もそっちに行く」
大場さんがインフラ部門の島にやってきた。村瀬もいる。三人で、僕のモニターの前に集まった。
ここから先は、時間との戦いだった。
インシデント対応で最初にやるべきことは、被害の拡大を止めることだ。消火と同じで、燃え広がっている間は原因を調べている場合ではない。まず火を消す。
僕は日向工場の感染端末をネットワークから切り離す作業に入った。
北条工場の自分のデスクから、リモートで日向工場のネットワーク機器にアクセスする。感染が確認された端末が接続されているスイッチのポートを、一つずつシャットダウンしていく。
画面の向こうに日向工場がある。物理的には数百キロ離れている。でも、ネットワーク上では僕のキーボードの先に日向工場のインフラがある。そのインフラを僕が設計したわけではないが、構造は頭に入っていた。クラウド移行の時に、日向工場のネットワーク構成を嫌というほど調べたからだ。あの時の手間が、今ここで効いている。
「日向の端末、三台切り離しました」
「他に感染してる端末は？」
「ログを追ってます」
ウイルス対策の管理コンソールと、ネットワーク機器のログを交互に見ながら、感染の経路を辿っていく。日向工場の一台の端末が、どこかで怪しいファイルを開いた。そこからネットワーク上の他の端末にマルウェアが広がった。さらに社内ネットワークを経由して、東京本社のファイルサーバーに到達した。
経路が見えた。日向工場の端末から、社内VPNを通じて東京のサーバーセグメントに入り込んでいた。
「東京のファイルサーバー、今どうなってます？」
村瀬が聞いた。
僕はリモートでファイルサーバーの状態を確認した。共有フォルダの中身を見る。
ファイルの拡張子が書き換えられていた。.docx、.xlsx、.pdfだったものが、見たことのない拡張子に変わっている。暗号化されたファイルだ。フォルダを開くたびに、見慣れた名前のファイルが、読めない拡張子に置き換わっている光景が続いた。
全部ではなかった。暗号化は進行中で、まだ手つかずのフォルダも残っていた。
「サーバーをネットワークから切り離します」
僕はファイルサーバーのネットワークインターフェースを無効化した。これ以上の暗号化を止めるために。
サーバーが社内ネットワークから消えた瞬間、全社の共有フォルダにアクセスできなくなった。
電話が鳴り始めた。北条工場の各部署から。南陽工場から。矢萩工場から。「ファイルサーバーに繋がらない」「共有フォルダが開けない」「今日中に出さなきゃいけない書類がサーバーにあるんだけど」。
僕はモニターから目を離せなかった。感染の広がりを追跡しながら、他のサーバーやシステムに飛び火していないかを確認している最中だ。電話に出る余裕はない。
村瀬が立ち上がった。「電話は俺が全部受ける。柏木は画面から目を離すな」
村瀬は自分のデスクの電話と、僕のデスクの電話の、両方を取り始めた。同じ説明を何度も繰り返している。「現在、セキュリティ上の問題が発生しており、ファイルサーバーを一時的に停止しています。復旧の見込みは未定です。わかり次第連絡します」。声は落ち着いていたが、電話を切るたびに次の電話が鳴った。
「いつ復旧するんですか」「業務が止まってるんですけど」「日向工場が何かやったって本当ですか」。最後の質問には、村瀬が少し間を置いてから「現在調査中です」とだけ答えていた。
何をやったかは、まだ僕も確定できていなかった。確定させるために、今モニターと格闘している。
繋がらないのは、僕が切ったからだ。切らなければ、もっとひどいことになっていた。でも、説明する余裕はなかった。
次にやるべきことは、被害の範囲を確定させることだった。
暗号化されたファイルがどれだけあるか。まだ無事なファイルがどれだけあるか。他のサーバーやシステムに感染が広がっていないか。一つ一つ確認していく。
大場さんは、僕の横で状況を記録していた。誰が何時に何をしたか、時系列で記録する。インシデント対応では、この記録が後から非常に重要になる。原因究明にも、再発防止にも、そして——最悪の場合——取引先やクライアントへの説明にも必要だ。
ふと横を見ると、大場さんはノートに手書きで記録していた。パソコンではなく、紙のノートだ。理由はすぐにわかった。僕がファイルサーバーを切ったから、共有の記録フォルダにアクセスできないのだ。だからノートに書いている。
「15:17 ウイルス対策アラート検知（柏木）」「15:22 村瀬課長に報告（柏木）」「15:25 日向工場端末3台のポートシャットダウン開始（柏木）」。一行一行、時刻と対応内容と判断の根拠が、几帳面な文字で並んでいた。
やる気がない、と言われていた人だが、こういう場面では別人のように集中していた。淡々と、しかし一つも漏らさず記録していく。僕が「サーバーを切り離します」と声に出すと、大場さんのペンが動く。村瀬が電話で何かを説明すると、大場さんがその内容をメモする。三人の中で一番静かで、一番正確な人間だった。
村瀬は、各部署からの問い合わせ対応を引き受けてくれた。「ファイルサーバーが使えない」「いつ復旧するんだ」「業務が止まってる」。そういう声を、村瀬が一手に受けて、僕に集中する時間を作ってくれた。
三人。たった三人で、三つの拠点にまたがるインシデントに対応していた。
感染端末の切り離しが完了し、ファイルサーバーもネットワークから隔離した。これで被害の拡大は止まった。
次はバックアップからの復元だ。
うちの会社では、ファイルサーバーのバックアップを毎日取っていた。正確に言えば、僕がバックアップの運用を設計して、自動化していた。インフラ担当として、サーバーを構築した時に、バックアップのスケジュールと保持期間を設定した。世代管理もしていた。
この時ほど、過去の自分に感謝したことはない。
バックアップデータは、感染していないことを確認する必要がある。ランサムウェアがバックアップ領域にまで到達していたら、復元しても意味がない。暗号化されたデータのコピーを取っているだけになる。
慎重に確認する。バックアップストレージにアクセスし、保管されているデータの整合性をチェックする。ファイルの拡張子が正常か。データのサイズに異常はないか。最新のバックアップと、一世代前のバックアップ。両方を確認する。
画面を見ながら、僕の指先は冷たくなっていた。空調のせいではない。もしバックアップまで汚染されていたら、復旧の手段がなくなる。全社の業務データが失われる。設計図面も、品質管理記録も、取引先との契約書も、全部消える。自動車部品の製造に必要なデータが消えるということは、工場が止まるということだ。
バックアップは無事だった。
確認した瞬間、息を吐いた。自分が息を止めていたことに、その時初めて気づいた。
感染が広がる速度より、僕が気づいてサーバーを切り離す判断が速かった。もう少し遅ければ——あと一時間、いや三十分遅ければ——バックアップ領域にも到達していた可能性がある。午後三時十七分のアラートに、僕がすぐに反応したこと。毎朝ルーティンとしてコンソールを開いていたこと。あの退屈な日課が、今日の三十分の差を作った。
復元作業を始めた。暗号化されたファイルを削除し、バックアップからクリーンなデータを書き戻していく。単純な作業だが、量が多い。共有フォルダの構造を壊さないように、慎重にやる必要があった。
作業をしながら、僕は日向工場の感染端末を調べた。どうやってランサムウェアに感染したのか。
メールだった。
添付ファイル付きのメールを、日向工場の誰かが開いた。添付ファイルの中にマルウェアが仕込まれていた。クリックした瞬間に実行され、端末に感染し、ネットワーク上の他の端末やサーバーを探索して広がっていった。
古典的な手口だ。技術的に高度なものではない。ただ、人がメールの添付ファイルを開くという、それだけのことで、会社全体のファイルサーバーが暗号化される。
「日向の誰かがメールの添付ファイルを開いたのが原因です」
僕が報告すると、村瀬が深いため息をついた。
「また日向か」
「また日向です」
クラウド移行の時も手順を守らなかった拠点だ。手順書を読まない人間は、怪しいメールの添付ファイルも開く。根っこは同じ問題だった。ルールや手順が、現場の人間の行動を変えるところまで届いていない。
復元作業が終わったのは、夜の十時過ぎだった。
ファイルサーバーをネットワークに再接続し、各拠点からアクセスできることを確認する。暗号化される前のデータが復元されていることを、主要なフォルダについてチェックする。
全部、確認した。
大場さんが最後の記録を書き終えて、ペンを置いた。
「お疲れさまでした」
大場さんがそう言った時、僕は初めて自分が何も食べていないことに気がついた。昼食は食べたが、それ以降は水しか飲んでいない。午後三時十七分から夜の十時まで、約七時間。三人でずっとモニターに向かっていた。
村瀬が自販機で缶コーヒーを三本買ってきた。無言で一本ずつ渡された。
「ありがとうございます」
僕はぬるい缶コーヒーを飲みながら、自分のデスクの上を見た。朝から取りかかっていたスイッチの設定書が、手つかずのまま置かれている。ランサムウェアのせいで、来週のVLAN設計の作業が完全に止まっていた。明日からまた、本来の仕事に戻らなければならない。
でも今夜は、もう頭が動かなかった。
翌朝、出社した時の管理棟の空気は、いつもと違った。
昨日ファイルサーバーが止まったことは、全社に知れ渡っていた。復旧したことも伝わっているが、「なぜ止まったのか」の説明はまだだった。
各部署の管理者が、村瀬のところに来た。「何が起きたのか教えてほしい」「うちの部署のデータは大丈夫なのか」「取引先への説明が必要になるかもしれない」。村瀬が一つ一つ対応してくれた。僕は、昨夜の対応で確認した被害範囲の詳細をまとめ、村瀬に渡した。
経緯報告書の作成が必要だった。何が起きて、なぜ起きて、どう対応して、今後どうするか。会社としての公式な記録だ。
僕が書いてもよかった。技術的な内容は僕が一番正確に書ける。でも、僕は書かなかった。
日向工場に書かせた。
原因となった部署が、自分たちの手で経緯報告書を作成する。何が起きたのかを自分たちの言葉でまとめ、なぜそうなったのかを自分たちで考え、再発防止策を自分たちで書く。
僕が代わりに書けば、きれいな報告書ができる。技術的にも正確で、論理的に整理された文書になるだろう。でもそれは、日向工場にとって「他人が書いた報告書」でしかない。自分たちで書かなければ、自分たちの問題にならない。
日向工場から上がってきた報告書は、お世辞にもきれいとは言えなかった。技術的な記述は曖昧で、原因分析は表面的だった。何度か差し戻して、具体的に何を書くべきかを指示した。
手間はかかった。僕が書いたほうがずっと速かった。でも、速さが目的ではない。
この判断が正しかったかどうか、当時はわからなかった。今もわからない。ただ、あの後も日向工場は同じような問題を繰り返したから、報告書を書かせた程度では人は変わらないのかもしれない。
それでも、やるべきことはやった。
「それで、日向工場には何か対策をしたの？」
大場さんが聞いた。僕の回想を聞きながら、手元でメモを取っている。
「端末のマルウェアは駆除しました。それと、全社にメールの添付ファイルに関する注意喚起を出しました。ただ——」
「ただ？」
「注意喚起を出しても、読まない人は読まないんですよ。日向工場は特に」
大場さんは小さくうなずいた。
三島が口を挟んだ。「それ、教育の問題ですよね。技術的な対策だけじゃなくて」
「そう。でもインフラの人間には、教育をどうこうする権限がなかった。注意喚起のメールを出すのが精一杯だった」
「今は違うでしょう」三島が言った。「柏木さん、今はセキュリティ部門にいるんだから」
僕は三島の顔を見た。三島は、少しだけ嬉しそうだった。自分が誘って試験を受けさせた相手が、今、同じ部門にいて、過去のインシデントの経験を持っている。それが、この部門にとって何を意味するか。三島にはわかっていたのかもしれない。
大場さんが言った。
「インシデント対応手順書、柏木さんが書き直して」
「え」
「実際にランサムウェアを捌いた人間が書いたほうが、リアルなものになるだろう」
大場さんの言うことは正しかった。手順書というのは、机上で書くと机上の空論になる。実際にインシデントの現場で何が起きるか、何を判断しなければならないか、何に時間がかかるか。それは、経験した人間でなければ書けない。
僕はインシデント対応手順書の改訂に取りかかった。
手順書を書き直しながら、僕はあの日のことを何度も反芻した。
三人で対応した七時間。村瀬が問い合わせを捌き、大場さんが記録を取り、僕が技術的な対応をした。役割分担は、誰が決めたわけでもなく、自然にそうなった。
それぞれが自分にできることをやった。それだけのことだ。
でも、振り返ってみると、あの七時間には、セキュリティの仕事のすべてが凝縮されていた。
検知。状況把握。判断。封じ込め。原因究明。復旧。記録。報告。
試験の問題が全部会社で起きたことだった、という感覚の正体が、ここにある。僕はインフラの仕事をしながら、ウイルス対策の運用をしながら、バックアップの設計をしながら、知らないうちにセキュリティの実務をやっていたのだ。
そして今、僕はセキュリティ部門にいる。
あの日、僕はインフラ担当として対応した。端末を切り離し、サーバーを隔離し、バックアップから復元した。技術的な対処だ。
でも、本当の問題はそこではなかった。
なぜ日向工場の人間が、怪しいメールの添付ファイルを開いたのか。なぜ注意喚起が行動の変化につながらなかったのか。なぜ同じ拠点で、何度も似たような問題が起きるのか。
技術で防げる範囲には限界がある。最後は人の行動に行き着く。
インフラの仕事は、技術で完結する。スイッチを正しく設定すれば、通信は正しく流れる。サーバーを正しく構築すれば、サービスは正しく動く。
セキュリティの仕事は、技術だけでは完結しない。仕組みを作り、ルールを定め、教育を施し、監査で確認し、それでも人が想定外の行動をする。そのたびに、仕組みを見直す。終わりがない。
大場さんが作ったISMSの文書群。あれが目指しているのは、まさにそこだった。技術だけでは守れないものを、仕組みで守る。人の行動を、ルールと教育で変えていく。
僕がインフラ時代に感じていた「注意喚起を出しても読まない」という苛立ち。それに対する回答が、ISMSだった。
もちろん、ISMSがあれば万事解決するわけではない。仕組みがあっても、その外側で人は勝手に動く。矢萩工場の監査で五十件の不適合を出したのは、仕組みと現実の乖離を目の当たりにしたからだ。
でも、仕組みがなければ、そもそも乖離を測る基準がない。
インシデント対応手順書の改訂版を大場さんに提出した時、大場さんは珍しく丁寧に読んでくれた。何ページもの手順書を、最初から最後まで、一行ずつ目を通していた。
「よくできてるよ」
大場さんの褒め言葉は控えめだったが、本心だろうと思った。
「一つだけ追加してほしいことがある」
「何ですか」
「バックアップの確認手順。感染していないことの確認を、もっと具体的に書いてほしい」
僕はうなずいた。あの日、バックアップが無事だったのは幸運でもあった。もし三十分遅ければ——という想像は、手順書に反映すべきだ。
「あと、あの時の件、日向工場の管理者にフィードバックはしたの？」
「インフラ部門からは注意喚起のメールを出しました」
「メールだけ？」
「はい」
大場さんは少し考えてから言った。
「セキュリティ部門として、改めて対応したほうがいいかもしれないね。教育というか、意識付けの観点で」
「それは僕がやるんですか」
「柏木さんがやるのが一番いいと思うよ。現場を知ってるから」
現場を知っている。その通りだ。日向工場のネットワーク構成も、クラウド移行の時のトラブルも、ランサムウェアの感染経路も、全部僕が見てきた。
同時に、僕は日向工場に嫌な思い出しかなかった。手順を守らない、問い合わせの内容が手順書に書いてある、怪しいメールの添付ファイルを開く。何度言っても変わらない。
変わらない拠点を変えるのが、今の僕の仕事になった。
あの日のことを思い出すたびに、一つだけ確かなことがある。
バックアップは命綱だ。
ランサムウェアに暗号化されたファイルを元に戻す方法は、基本的に二つしかない。犯人に身代金を払って復号キーをもらうか、バックアップから復元するか。身代金を払っても復号キーが送られてくる保証はない。
あの頃はまだ、脅迫は「暗号化したデータを返してほしければ払え」の一段階だった。今はもっとえげつない。データを復旧したくば金を払え。払わなければ盗んだデータを公開する。払ったら払ったで、支払った事実を公開されたくなければ追加で払え。奪った個人情報を売られたくなければさらに払え。三重、四重の脅迫が当たり前になった。
あの時代のランサムウェアは、まだ素朴だったのかもしれない。素朴でも、十分に怖かったが。
だから、バックアップがすべてだった。
僕が入社して間もない頃、ファイルサーバーを構築した時に、バックアップの設計をした。毎日の差分バックアップと、週次のフルバックアップ。世代管理は一ヶ月分。テープではなく、別セグメントのストレージに保管。
なぜそこまでやったのか。特に深い考えがあったわけではない。教科書に書いてあったからだ。バックアップは世代管理をすること、本番環境と別の場所に保管すること。当たり前のことを当たり前にやっただけだ。
でも、当たり前のことを当たり前にやっておいたから、あの日、七時間で復旧できた。当たり前をやっていなかったら、会社は身代金を払うか、データを失うか、どちらかだった。
目に見えない仕事の価値は、こういう時にしかわからない。
セキュリティ部門に来て、僕はようやく理解し始めていた。
インフラの仕事は「作る」仕事だった。ネットワークを作る、サーバーを作る、バックアップの仕組みを作る。作ったものは動く。動いている限り、仕事は終わっている。
セキュリティの仕事は「守る」仕事だ。作ったものを守る。守り続ける。終わりがない。
そして「守る」仕事は、二つの戦線で戦わなければならない。
一つは、外からの脅威。ランサムウェアのような攻撃。これは技術的な対策で、ある程度は防げる。
もう一つは、内側の無関心。ルールを守らない人間、手順書を読まない人間、怪しいメールを開く人間。これは技術では防げない。仕組みと教育で、少しずつ変えていくしかない。
大場さんは、もう何年もこの二つの戦線で戦ってきたのだ。一人で。コンサルなしで。
やる気を失うのも無理はない、と僕は思った。敵は外にも内にもいて、味方は少なく、成果は見えにくい。ネットワークを作れば「動いた」という結果が目に見える。でも、セキュリティを守っても「何も起きなかった」としか言えない。何も起きないことの価値を、人は感じにくい。
大場さんが僕に言ったことを思い出す。
「コンサルに頼ると、コンサルがいないと回せなくなる。自分たちで作ったものは、自分たちで直せる」
あの言葉の意味が、少しだけわかった気がした。
仕組みは外注できる。コンサルに頼めば、立派なマネジメントシステムを作ってくれるだろう。でも、それを運用するのは自分たちだ。現場の実態を知っているのは自分たちだ。問題が起きた時に駆けつけるのは自分たちだ。
自分たちで作ったものだから、どこに何があるかわかる。どこが弱いかわかる。どこを直せばいいかわかる。
バックアップの設計を僕がやったから、あの日、バックアップが無事だとすぐにわかった。他人が作ったシステムだったら、バックアップの保管場所を探すだけで時間を浪費していたかもしれない。
自分で作ったものは、自分で直せる。
手順書の改訂を終えた日の夕方、三島が僕に声をかけた。
「柏木さん、今の仕事どうですか。セキュリティ部門」
「どう、と言われても。まだ三ヶ月だよ」
「でも、なんか合ってる気がするんですよね」
「何が」
「柏木さんって、ルールをルール通りにやる人じゃないですか。監査でもそうだし。矢萩工場で五十件出したのだって、規定と現実の差を見逃せないからでしょう」
僕は黙った。褒められているのか、変人だと言われているのか、判断がつかなかった。
「インフラの時は、それが技術の正確さとして出てた。セキュリティに来たら、それが監査の厳密さとして出てる。同じ性格が、違う形で機能してるだけだと思うんですよ」
三島は時々、こういう鋭いことを言う。試験に受からなかった人間が、試験に受かった人間を正確に見抜いている。人を見る目は、試験で測れない。
「まあ、嫌われるけどね」僕は言った。
「嫌われたくらいで辞めないでしょう、柏木さんは」
「辞めたいと思ったことはあるよ」
まだなかった。この時点では、まだ。でも、いつか思う日が来ることを、僕はまだ知らなかった。
大場さんは、あの頃すでに定年まで数年という年齢だった。
僕がセキュリティ部門に来たことで、大場さんの負担は少し軽くなったのだろう。監査は僕と三島が回すようになり、大場さんは外部審査対応とISMSの全体管理に集中できるようになった。
ある日、大場さんが珍しく雑談をしてくれた。
「柏木さん、ISMSを始めた頃のことを知ってる？」
「いえ」
「何もなかったんだよ。文字通り、何も。情報セキュリティポリシーもない。リスクアセスメントの方法もない。内部監査の仕組みもない。全部、ゼロから作った」
「コンサルなしで」
「コンサルなしで。予算がなかったからね」
大場さんは少し笑った。今度は、ちゃんと笑っていた。
「最初の外部審査の時は、本当に緊張した。自分が作ったものが、審査に耐えるかどうか。ダメだったらゼロからやり直しだ。でも、通った。自分で作ったものが、ちゃんと認められた。あの時の気持ちは、今でも覚えてるよ」
大場さんは窓の外を見ていた。北条工場の敷地の向こうに、低い山が見える。
「でも、認証を取った後が大変だった。維持するということは、同じことを毎年繰り返すということだからね。最初は新鮮だった作業が、三年目には作業になり、五年目には苦痛になり、十年目には……まあ、わかるだろう」
わかる。まだ三ヶ月だけど、わかる気がした。
「だから柏木さんが来てくれて、助かってるよ。私一人じゃ、もう回せなかった」
大場さんがそう言うのを聞いて、僕は少し複雑な気持ちになった。
来てくれて、と大場さんは言った。でも僕は、来たくて来たわけではない。付き合いで受けた試験に受かって、上司に飛ばされてここにいる。
でも、大場さんにとっては、理由なんてどうでもいいのだ。ここにいて、仕事をしてくれる人間がいる。それだけで十分だったのだ。
僕は、この人が作ったものを引き継ぐのだろう、と思った。
まだその時は「いつか」の話だと思っていた。大場さんが定年を迎えるまで、まだ時間がある。その間に、僕はこの仕組みのすべてを理解し、自分のものにしなければならない。
あの日のランサムウェアが教えてくれたことがある。
バックアップは、自分で設計したから、どこに何があるかわかった。ISMSも同じだ。いずれ自分がこの仕組みを回す日が来る。その時、自分で理解していないものは、直せない。
自分で作ったものは、自分で直せる。
人が作ったものを引き継ぐなら、自分のものにするまで理解しなければならない。
僕はISMSの文書を、最初からもう一度読み直すことにした。
（第3話「孤城」に続く）
