巨大製造企業のセキュリティ意識を変えよ YKK APセキュリティ担当者の泥臭い“仕掛け”と“立ち回り”：「組織は正論だけでは動かない」（3/3 ページ）

[宮田健，＠IT]

　YKK APでは経営層の当事者意識を醸成するために、毎年IT-BCP訓練を実施している。2023年度には、社長やIT統括部長、総務部長が参加し、本社内に本番想定の会場を設営した記者会見訓練も行った。さらに2025年度のサイバー攻撃訓練では、参加者に次々と状況を与えて対応を問う実践的な形式を採用した。そのシナリオの終盤では「30億円の身代金が要求されていますが、どうしますか」という問いを投げかけるものも含まれており、本格的な訓練を重ねることで経営陣とも意識を共有できていると齋藤氏は手応えを感じていた。

　しかし、経営層への報告の場で、事業継続の観点から身代金支払いの是非も検討すべきではないかという問題提起を受けたという。

　これを聞いた齋藤氏は大きく動揺する。当初は困惑したが、これは経営とセキュリティの視点の違いから生じた当然の帰結であったと捉えることができるようになったという。

　「経営の視点では、何よりも事業を継続させる責任がある。しかしセキュリティの視点では、身代金の支払いは原則行わないのが当たり前と考える。つまり、身代金の判断のために必要な基準や情報が、これだけ訓練を行っていても経営と共有できていなかったことに気が付いた」（齋藤氏）

　そこで齋藤氏は、CRO（最高リスク責任者）と連携し、身代金対応方針を含むランサムウェア対策を取締役会に上程し、認識のすり合わせを行った。取締役会では、「一切交渉しない」「交渉のみ」「交渉と支払い」という3つの行動パターンを提示した。それぞれのパターンについて、攻撃者による暴露回避の可能性、バックアップからの復旧と暗号化解除の確実性の違い、支払いによるコンプライアンス上の問題など、観点別に評価を整理した。その上で、YKK APとしての考え方を議論し、方針を明文化していった。

　立場の違いを理解し、複数の視点から論点を整理して取締役会で議論することで、経営の判断基準に沿った実践的な方針を確立できるようになった。齋藤氏は「複数の視点から論点を整理し、取締役会で議論して方針を明確化できた」と話した。

---

　齋藤氏は、「全社的なセキュリティ対策を進めるには、意思決定スキームの理解と関係者の動かし方が重要だ」と述べる。

　講演の最後には、YKK精神の元となったアンドリュー・カーネギーの墓碑銘とされる言葉を引用し、孤独に悩むセキュリティ担当者へエールを送った。

　「自分より賢い者を周りに集める方法を知っていた男、ここに眠る」