自分の城にあった伝説の武器で倒された魔王編――経営者が「リスク管理」を行うべき理由：RPGに学ぶセキュリティ〜第2章〜

40〜50代の経営者や管理職に向けて、RPGを題材にセキュリティについて理解を深めてもらう連載。今回は魔王を防御側の組織の長に、主人公を攻撃者に例えた内容を記したい。

[武田一城，株式会社ラック]

　40〜50代の経営者や管理職に向けて、RPGを題材にセキュリティについて理解を深めてもらう連載「RPGに学ぶセキュリティ」。第1章は「レベルアップ」編として、セキュリティ人材が装備を整える難しさ、そして人材育成の難しさについて、RPGスタート時の主人公の育成に例えてお話しした。

　そこで、「RPGにおける主人公と魔王の関係はセキュリティ人材と攻撃者の関係とよく似ている」としたが、第2章は魔王を防御側の組織の長に、主人公を攻撃者に例えた内容を記したい。

　RPGの最後は「魔王」などと称しているラスボスを倒すことで終了する。伝説の武器を装備した主人公の最後の一撃で魔王は倒れ、その世界に光が戻る。その後は旅立った城などスタート地点に戻り、ゲームの中でいろいろあったみんなの祝福の中で大団円となったところでエンドロールを迎える。多くのRPGはこのように終わる。

　しかし、筆者は「なぜ魔王は自分の勢力圏や特に自分の住んでいる城のように身近な場所に、自分を倒せる伝説の武器を放置したままにするのか」が非常に疑問だった。もちろん、子どもであっても「大人の事情」ということは分かっている。「そうでなければ、ゲームが進まない」ことも分かっている。しかし、「それを言っては話が終わる」ということは分かった上で、もやもやしていた部分を魔王目線で考察したい。

主人公が目の前に現れるまで対策を何もしない魔王

　主人公が仲間を率いて最後の戦いに挑むとき、たいてい魔王は悠然と玉座に座っている。そして、配下の悪魔や巨人などの有力な配下が次々と倒されているにもかかわらず、「ついに来たか」など余裕の発言をしているのだ。時には、その主人公たちの強さを称賛しつつ「世界の半分を与える」などの虚言で主人公を翻弄（ほんろう）することすらある。

　しかし、すでに主人公は街や村の人々に「自分たちは魔王を倒すことによって世の中を良くする」と吹聴してしまっているのだから、そのような甘言においそれと乗ることはできない。しかも、プレイヤーの中には「レベルを最大値まで上げてから魔王に挑むタイプ」もいる。そうなると、その主人公たちには敵わないのだ。こうなったら、完全に手遅れになってしまうのである。

　魔王は、こうなる前に何をすべきだったのだろうか。

　答えは簡単だ、主人公は最初から強いわけではないので、もっと弱いうちにその芽を摘んでおくのだ。本来であれば、初期の「中ボス」に任命した有力な配下を1人でも倒したという情報を得た時点で、その抵抗勢力を「将来的に自分の存在を脅かす存在になり得る可能性がある者」として対策を立てるべきだろう。

　しかも、その実行のハードルは決して高くない。なぜなら、魔王のいる城の周辺にいるモンスターは、ボス級ではなくても、初期段階の主人公たちを瞬殺できる実力を持っているのだ。それらをチームにしてぶつけることができれば、それだけで魔王は将来の脅威を未然に防ぐことができる。

　そして、その主人公たちだけが脅威というわけではない。その主人公たちを倒した後も続々と抵抗勢力が湧き出てくると予想される。それらの対策にも、このパターンがテンプレートとして使える。テンプレート化できれば、さらなるブラッシュアップも可能になる。例えば、そのチームに一定数の回復魔法を使えるモンスターを加えるなどの工夫をするだけで、成長過程の主人公などでは万に一つの勝機もない。

　もちろん、いくら強いモンスターであっても獣のような種族であれば、複雑な命令を理解することは難しいかもしれない。しかし、モンスターは獣のような知性のない者たちだけではい。少なくとも悪魔や魔法使いであれば、話すことはもちろん難解な書籍でも読めるはずだ。ミッションは「現時点では、それほど強くないターゲットを見つけて倒す」だけであり、目的を達成することは難しくないはずだ。そして、このような対策ができれば、魔王の前に主人公が登場するという状況は（最初から主人公が異常に強かったチート行為のような場合を除き）永久に起こらないだろう。

自分の城にあった武器で倒された魔王

　さらに魔王は、主人公たちのレベルアップを放置するだけではなく、自分を倒すことができる武器の存在を知っていても放置してしまう傾向が強い。

　もちろん、明確に所在が明らかな場合には、それを守るために強力なモンスターが配置されることもある。しかしながら、敵に渡ることで大きなリスクになる可能性があるものを、それだけの対策で本拠地から遠く離れた地に放置するのはいただけない。それなりに強いモンスターを配置したとしても、そのモンスターのミス一つで取り返しのつかない状況になるからだ。「より強固に守れる場所に移動する」か、リスクを考えると、いっそのこと「破壊してしまう」方が手っ取り早いだろう。

　そして、最もひどいのは「自分の居城のダンジョンにある宝箱に伝説の武器が入っている」という状況だ。これは、魔王だけではなくその組織全体が「そんな大事なものが自分の城のすぐそばにある」という事実に気付いていないことを示している。リスクの管理体制や資産の不備であり、「資産の把握ができていない状況」といえるだろう。

　そもそも、主人公たちは街や村の私邸や商店に勝手に押し入り、タンスの引き出しを無断で開ける。宝箱も、鍵が掛かっていようが手元にある魔法のような鍵で開けてしまう略奪行為を行う人たちだ。揚げ句の果てに、室内に置いてある“つぼ”などは割られてしまう――これは何にも罪がない民衆への悪逆非道な行為である。

　このような主人公たちが、自分の居城に乗り込んでくるのだ。そして、その手には自分を倒せる伝説の武器がある。その結果、魔王は自分の城にあった武器（自らの資産）で非業の最後を遂げてしまう。

「自分の城にあった伝説の武器で倒された魔王」にならないためのリスク管理

　魔王は、「主人公たちによって略奪行為が行われる」ことは、当然想定しておくべきだろう。自分の居城に利用される可能性のある回復用アイテムや武器の有無などをきっちり棚卸しし、所在を把握した上で、主人公たちに悪用されないような対策を検討すべきだ。

　これは、いわゆる「リスクアセスメント（リスク評価）」の実施といっていいだろう。想定できるリスクをできる限り洗い出し、それらは「どのくらいの頻度で発生するか」「起きた場合にどれぐらいの時間で復旧できるのか」を明確にし、リスクを評価する。このような作業は「リスクの定量化」と呼ばれる。

　これができることで、「リスク対応」という次のステップに進むことができる。リスクを定量化することで、「そのリスクと、どのように付き合っていくか」を決定できるようになる。リスク対応は一般的に「受容」「低減」「移転」「回避」の4つに分類される。定量化されたリスクや、その発生確率、発生時の影響などを勘案することで、「4つのうち、どの方法を採るか」を選択していくのだ。

リスク対応

　これを、魔王の居城にある伝説の武器に置き換えて考えてみよう。正直、レベルアップを重ねた主人公は手ごわい。そして、残念ながら魔王は今後どんなに鍛錬しても現在より強くなることはできない。さらに、主人公たちはセーブ機能がある限り不死身であり、プレイヤーが飽きない限りレベルアップを続けてしまう。このような主人公たちを止めることは至難の業だ。

　そのため、リスクを「回避」することは難しい。もし、許されるならば魔王を辞め、逃げ出してしまうことぐらいだが、魔王の誇りにかけてそれは不可能だろう。また、そのような強い主人公が伝説の武器を手にすれば、魔王およびその手下たちは一巻の終わりになる可能性が高い。そのような大きなリスクを積極的に「受容」することは難しい。この時点で4つあった選択肢はいきなり半分となってしまう。残った選択肢は、「移転」と「低減」だ。

　「移転」とは、損害を他者に移転してしまおうという考え方であり、保険などがその代表例だ。しかし、魔王に都合の良い保険商品はなかなかないだろう。そもそも営利活動でもないので金銭で補償されるものでもないはずだ。また、魔王がその伝説の武器に負けない耐性を持つなどの手段も考えられなくはないが、その時点でそのRPGはクリア不能になり、そもそもゲームにならない。そのため、リスクの「移転」という選択肢はないのだ。

　最後に残った現実的な選択肢はリスクの「低減」だ。セキュリティ対策を施して、脅威を小さくするのだ。これは「自分の居城か、その他の場所にあるか」にかかわらず実施していることが多い。例えば、毒の沼やバリアーを伝説の武器が置いてある宝箱の周囲に配置することだ。または、ドラゴンのような強いモンスターにそれを守らせるのだ。情報セキュリティ対策におけるファイアウォールやアクセス制御などの対策がまさに、これに当たる。

　このように、伝説の武器は一定の対策で守られていることが多い。こう考えると、魔王もそれなりにリスクを評価して対応しているようにも見えるが、そこは絶対的な強さを持つ魔王であるためか、ごく最低限の対策を講じたにすぎず、多分に油断がある。なぜなら、それらの対策を施しても、結果的に一定以上のレベルになった主人公たちに確実に入手されてしまう可能性が高いからだ。

　適切な対策としては、主人公たちの存在がリスクだと認識した際に、その時点で強さをきちんと把握する。そして、その強さを定期的に観測する仕組みを作るのだ。そもそも、魔王の配下には大勢のモンスターがいる。その運営リソースのごく一部を割くだけで対応できるだろう。その仕組みにより主人公たちの強さを把握できれば、彼らのレベルでは決して乗り越えられない大きな戦力をぶつけることができるのだ。

　しかしながら、それでも主人公たちが、謎解きとフィールドにいるモンスターを地道に倒すことで、それらの壁を乗り越えてしまう可能性は十分にある。その場合は、伝説の武器をいっそのこと破壊してしまうのがよい。これまでの対策はあくまでもリスクの「低減」策であり、これができなければ抜本的なやり方の変更（リスクの「回避」や「移転」）を検討すべきなのだ。

　世の中に全てのリスクに完璧に対応することは難しいが、これらによって、最悪の事態は避けられる可能性は十分にある。大きな組織の長である魔王が、これを怠ってはならない。

サイバー攻撃はレベルが最高値になった主人公のようなもの

　企業などの組織におけるセキュリティ対策も同じことがいえる。セキュリティ対策を「IT部門の課題」としてしまっては、組織全体のリスクとして管理することはできない。現在のITは、以前のように「業務の計算を行うだけの機能」ではなく、「業務そのもの」といってもいいからだ。だからこそ、経営者は全体のリスクを識別、評価した上で、的確に管理できる仕組みが必要だ。

　2015年に公開され、2017年にバージョン2となった『サイバーセキュリティ経営ガイドライン』にあるように、現在のセキュリティ対策は経営者がリーダーシップを取って実行するような時代になった。いや、実際そうしないと対応できない大きなリスクになっている。サイバー攻撃の攻撃者は、不死身でレベルアップをする主人公のようであり、その強さや攻撃手法を的確に把握し、それらに都度、対策を立て続けることが必要だ。

　残念ながら、このような「終わりのない戦い」を続けることがセキュリティ対策の現状だ。なぜなら、現在のサイバー攻撃は、レベルが最高値になった主人公のようなもので、攻撃側が圧倒的に優位な状況になっているからだ。セキュリティ対策製品やサービス、CSIRTやSOCなどのあらゆる経営リソースを駆使して、この状況に対応していかなければならないのだ。

次回は「洞窟に入った主人公」編

　次回は、「洞窟に入った主人公」編として、「攻撃者が侵入時にどのような行動をとるのか」を洞窟に入った主人公に例えてお話ししたい。