前へ 1 2 3 4 次へ

第12回 セキュリティを支えるテクノロジー　フォーティネットのエキスパートが語る

マシンスピードの脅威に対してフォーティネット竹内副社長が説く経営判断の分水嶺

先制的サイバーセキュリティのため、経営者が今こそ考えるべきこと

文●大谷イビサ　編集●ASCII　写真●曽根田元

提供: フォーティネットジャパン

  • この記事をはてなブックマークに追加
  • 本文印刷

経営者の判断が問われる分水嶺——「業務停止の躊躇」が生む致命傷

　この圧倒的なマシンスピードに対抗するために不可欠となるのが「防御の俊敏性」であり、ここで問われるのが技術者ではなく経営層の判断力である。

セキュリティ事故の被害規模は経営判断のスピードで決まる

　竹内氏は、自身が過去に経験した生々しい事例を明かす。

「ある時、きわめて重大度の高い脆弱性が発見されました。本来であれば即座にセキュリティパッチを適用すべき状況でしたが、パッチを当てるためには基幹業務サーバーを一時停止させなければなりませんでした。しかし、業務を止めることへの躊躇から、現場と経営の間で10分、20分と判断が遅れてしまったのです。そのわずかな躊躇の隙に外部からのスキャンと攻撃を受け、システム侵害が成立してしまった経験があります」

　数年前の時点で数十分の躊躇が命取りになっていたとすれば、秒単位で攻撃が進行する現代において、悩んでいる時間がいかに致命的であるかは明白である。

「業務を止めたくないという現場や事業部門の気持ちはよく分かります。しかし、そこで判断を迷い、攻撃を成立させてしまえば、その後に被る損害や事業停止期間は何倍、何十倍にも膨れ上がってしまいます。事故の兆候を掴んだ際、被害拡大を防ぐために即座に業務を止める指示を出せるかどうか。状況に応じて特定業務を切り離し、エンジニアを復旧に全面シフトさせる判断を下せるかどうか。サイバーリスクの本質を理解している経営者であれば即断できますが、そこで悩んでしまう経営者だと、あっという間に組織全体が巻き込まれてしまいます」

　現場は指示があれば動くことができる。しかし、現場の担当者が自らの独断で「基幹業務を止める」という重責を担うことはできない。本当に止めてよいのかと現場が判断を仰いだ瞬間、「直ちに止めろ」と即答できるかどうかが、経営者に突きつけられた資質なのである。

即断の「センス」は準備で磨かれる——大手自動車メーカー『行灯』とプレイブック

　こうした有事における即断即決を、生まれ持った直感や度胸といった「経営者のセンス」だけの問題として片付けてはならないと竹内氏は強調する。そのセンスとは、事前の綿密な準備によってこそ磨かれ、組織の仕組みとして定着するものだからだ。

「突発的なインシデントに直面した際、何の準備もなしに適切な判断を下せる人間など存在しません。重要なリソースに対して重大な異常が発生した際には、何をおいても即座にシステムを停止させるというルールを、あらかじめプレイブックとして策定しておく必要があります。インシデントの現場において、悩む時間は影響範囲を広げることに繋がるため、予め決められたことを実行できないことの方が罪です。定めたルールを淡々と実行に移せる環境を整え、その実行責任を経営者が引き受けるリーダーシップを持たなければなりません」

　竹内氏はこの構造を、大手自動車メーカーの生産現場にある仕組みに例える。

「この工場には、現場の作業員がラインに異常を発見した際、自らの手で生産ラインを止めることができる『行灯（あんどん）』の仕組みがあります。製造現場の一人ひとりが異常を察知し、明確なルールに基づき自らの判断でラインを止める。こうした行動が文化として根づき、正当な初動であれば事後に責任を追及されない心理的安全性が担保されている組織は強い。この卓越した現場力に『マシンスピードで即座に遮断する自動化・自律化』のテクノロジーを融合させることこそが、現代のサイバーリスクに対する実効的な対抗策であり、日本企業が再構築すべきガバナンスモデルといえます」

前へ 1 2 3 4 次へ
Fortinet トップへ

本記事はアフィリエイトプログラムによる収益を得ている場合があります