止まったのはシステムではなく、会社の呼吸だった

2026年3月24日 14:17

大きな会社は、簡単には止まらない。多くの人が、どこかでそう思っている。工場も物流もブランドもあるのだから、多少の障害は吸収できる。企業の強さとは、そういうものだという空気がある。

けれど現実は、ときどきその見立てを静かに裏切る。止まるときは、設備より先に、判断と連携と信頼のほうが止まる。アサヒ飲料のサイバー攻撃の話を見て、私はそれを強く感じた。

見えないところから、会社は崩れ始める

2025年9月末、アサヒグループホールディングスはランサムウェア攻撃を受け、国内システムが起動不能になった。しかも障害が表に出る約10日前には、すでに侵入が始まっていたという。

攻撃者は正面から入ったのではなかった。グループ内拠点のネットワーク機器を足がかりにし、弱いパスワードを突いて管理者権限を奪っていた。会社は、大きな穴ではなく、見落とされた小さな接続点から崩れることがある。

サイバー攻撃は、どうしてもITの出来事として受け取られやすい。だが経営にとって重いのは、その先で起きることだ。受注と出荷のシステムが止まり、手作業対応が続き、10月下旬の売上は前年比56％まで落ち込んだ。

カルピスを含む乳酸飲料も68％に落ち込み、新商品の発売延期も起きた。さらに11万件を超える個人情報漏えいまで判明した。物流が正常化したのは2026年2月で、影響は約5か月に及んだ。

私は長くシステムの近くにいたので、こういう話を聞くと、技術の巧妙さより先に構造のほうを見る。サイバー攻撃は、本丸に真正面から殴り込む話ではなく、少し弱い場所を辿って中へ入ってくることが多い。

大企業でも防ぎ切れないのは、対策不足だけが理由ではない。拠点も関連会社も外部接続も多く、全部を同じ緊張感で保つことが難しいからだ。強い会社ほど、実は接続点も多い。

経営会議でセキュリティの話が出ると、専門用語が増えた瞬間に、空気が担当部門のものになってしまうことがある。けれど本当は、サイバーリスクはIT部門の課題ではなく、事業継続の課題だ。

売上が落ちる。物流が止まる。新商品が遅れる。取引先との信用が揺らぐ。ここまで来て初めて経営課題として見えるのでは遅い。危機の中心で指揮を執るとは、会社の機能と信頼をどこまで戻せるかを引き受けることでもある。

生成AIを3年以上、実務で使ってきた。整理も調査の補助も発想の壁打ちも速くなり、以前より短い時間で進む仕事はたしかに増えた。だが使えば使うほど、最後に残るものの輪郭もはっきりしてきた。

残るのは、決断と責任と孤独だ。AIは案を出してくれるが、どこを守り、どこを止め、誰が前に立つかは人間が決めるしかない。便利な道具が増えるほど、人間の仕事は軽くなるより、むしろ逃げにくくなるのだと思う。

セキュリティ対策というと、何を導入するかに意識が向きやすい。だが、その前にある問いはもっと地味だ。自社のどこに、何が、どうつながっているのかを、経営は本当に言葉で説明できるのか。

この問いは地味だが軽くない。つながりを把握していない会社は、守ることも、止めることも、優先順位をつけることもできない。攻撃の怖さの半分は、侵入されることより、自分たちの輪郭を把握しないまま日常を回せてしまうことにある。

対策を進めれば安心できる、という言い方を私はあまり信じていない。経営には、そう簡単に安心できることが少ないからだ。備えるとは、万全になることではなく、壊れたときに何を優先するかを決めておくことに近い。

全部は守れないかもしれない。その前提で、何を止めず、どこで切り離し、誰が決めるかを平時に考えておく。それだけでも、被害をゼロにはできなくても、崩れ方は変えられる。

大きな事故が起きると、多くの人は何が悪かったのかを探す。もちろんそれも必要だと思う。だが私は、それと同じくらい、平時に何を見ないまま進んでいたのかが気になる。

自社は狙われない、ではなく。対策はしている、でもなく。何かが起きたとき、経営として最初に守るものを、今の自分は言葉にできるか。その問いだけは、案外、先送りしないほうがいいのかもしれない。

静かに壊れるものほど、いつも壊れる前は、まだ大丈夫に見えている。