その情報セキュリティってサステナブルですか？～わこさんのワイン片手の経済視点～

（第五十八回）目指すべきはゼロリスクではありません!!絶対!!

前回は気候変動対策の銀行同盟が活動停止したお話でした

前回は、GHG（温暖化ガス）をネットゼロにするために協力しよう！という国際的な銀行同盟、NZBA（Net Zero Banking Alliance）がひっそりと活動停止したお話をしました。企業や銀行がそれぞれネットゼロに向けた取り組みを続けるように計画を立て、またそれを規定する動きもできているので、方向はネットゼロですが、全体の調整役、旗振り役がないと加速感は出ないんでしょうね。

全ての企業が直面する情報セキュリティのお話を

さて、１社だけだったらスルーしようかと思っていたのですが、有名どころが２社出ちゃいましたので、改めてこの問題を取り上げなきゃ、ということで今回は情報セキュリティのお話です。あらかじめ書いておきますが、今回の２社（アサヒグループホールディングスとアスクル）がダメだ、ということではなく、今回の問題はインターネットに接続しているすべての企業が直面している課題です。あと、今回はワインのお話は出てきません。

個別企業の業績への影響などにも触れません

それから、お歳暮商戦に影響が出たとか、別のECサイトにも影響が出ているとかいう、新聞に書いてあったりワイドショーが騒いだりすることは書きません。別にわこさんが書かなくたっていいわけですから。

情報セキュリティは企業のサステナビリティ課題です

偽情報・誤情報対応も含めた情報セキュリティが企業にとってのサステナビリティ課題だということは、一応以前に書きました。それから、今回の本質である、通常のビジネスが滞るような突発的な事象が発生した時にどうやって事業継続するかというBCP（Business Continuation Plan、事業継続計画）が机上の計画にとどまっていないようにすることの必要性も、地震対策と絡めてですが、ずいぶん前に書きました。

情報セキュリティのリスクが高まっているのは言うまでもないです

この問題は、以前一緒にお仕事させていただいた方がとても知見があるので笑われそうなのですが、わこさんなりに整理したいと思います。外部から社内システムに侵入して顧客データや製品の設計データなどを盗み出したり、システムそのものをダウンさせたりする情報セキュリティのリスクは、インターネットが普及するとともに高まっています。

多くの企業がリスクを認識して対応策を開示しています

こうした情報セキュリティリスクについて、多くの企業が自社の企業活動に対するリスクであるという認識をし、それに対する対応策を取っている、と公表しています。今回の２社についても、統合報告書などで公表していて、リスクマネジメントの体制についても説明がなされています。そして、企業を評価する視点としても重要性が高まっています。

https://www.nicmr.com/nicmr/report/repo/2022_stn/2022aut15.pdf

今回被害を受けたアサヒグループの例

例えば、アサヒグループについては、統合報告書の中で「短中期的に顕在化が懸念されるリスク」を挙げていて、その中で「情報セキュリティ」を取り上げています。（85ページ）

https://s3-ap-northeast-1.amazonaws.com/asahigroup-doc/company/policies-and-report/pdf/2025_integrated_report.pdf

情報セキュリティリスクが顕在化した時の影響想定

その詳細としては「停電、災害、ソフトウェアや機器の欠陥、サイバー攻撃による事業活動の混乱、機密情報の喪失、個人情報の漏洩、詐欺被害、EU一般データ保護規則（GDPR）等の各国法令違反の発生」としていて、想定される影響としては、
• 事業の中断
• 損害賠償請求やセキュリティ対策費用の増加などによるキャッシュアウト
• GDPR違反による制裁金
• 上記による業績、財政状態、企業ブランド価値の毀損

記述されている対応策

そうしたリスクに対する対応として記述されているのが、
• グループ全体で遵守すべきサイバーセキュリティの基準文書を制定し、運用を徹底
• グループ会社のサイバー攻撃対策状況を評価し、セキュリティ体制を維持・向上
• グループ全体のインシデント情報を集約し、リスク対応の強化を目的とした体制を整備
• 生成AIの安全かつ責任ある使用を確実にするためのガイドラインの策定・運用

ということです。記述されていることは、その通り、です。

アスクルの情報セキュリティリスク認識も見ておきましょう

同様に、アスクルについてもウェブサイトにあるサステナビリティ報告の中で、「特に重要なリスク（トップリスク）と主な対応・対策」との４番目に「システム障害やサイバー攻撃」を挙げています。その内容としては、
・サーバーやネットワークの障害、不測の事態によるITシステムの停止
・外部からのサイバー攻撃やコンピュータウイルスによる情報流出、破壊、改ざん
・急激なアクセス増加によるシステムダウン
・システム障害により、事業運営の支障や社会的信用の低下、損害賠償の発生

記述されている対応策

主な対応・対策としては
・サーバーの増強、分散化、最新化および通信回線容量の増強
・基幹システムの二重化とリアルタイムバックアップ体制の整備
・ネットワークセキュリティの強化による不正アクセスやウイルス対策
・システムの安定運用と継続的なセキュリティ対策

対応が十分じゃなかったのかな？というのが普通の感想

こちらも、全て大切なことです。こうした対応が十分じゃなかったんだな、というのが普通の感想だと思います。実際にこうした方針に基づいて、この２社に限らず多くの企業は情報セキュリティリスクに関して、怪しいメール発信元を検知したり、怪しい添付ファイルを削除したりといった、会社のシステム全体で対応する防御策を講じています。

入口でリスクをすべて排除しようとしていることが非現実的

ただ、自分自身に届く、多くの明らかに怪しいメールの量を考えても、入口ですべて排除するのは現実的ではないということは想定できます。実際には、いたちごっこやモグラ叩きのような状況と考えるべきでしょう。網をかいくぐったランサムウェアが誰かのちょっとした勘違いや間違い、なんとなくのワンクリックで開かれてしまう、ということは十分に起こりえます。

ゼロリスクを目指してもリスクはゼロにならないことを前提に

とすると、社員教育も含めてゼロリスクを目指してもリスクはゼロにはならない、ことを前提にすることが現実的ですよね。だからと言ってシステム面のセキュリティ強化や社員教育をしなくて良いということでは決してないのですが。

顕在化した時にどうするかの備えが重要

この、「リスクはゼロにはならず、顕在化しうる」ということが、企業のサステナビリティ（ひいては個々人の生き方）を考えるうえで非常に重要なことだとわこさんはずっと考えてます。突発事象が起こる可能性は減らしていく必要はありますが、ゼロにはならないので、その突発事象が起きたときにどうするかに備えをしていくことが重要だということです。

今回の２社で致命的に残念なことは