サイバー攻撃への対策急務
システムと人材の両輪が鍵

すでに金融業や製造業、医業などは対策を本格化。例えば個人情報を取り扱う医療機関を含む医業はガイドラインを作成し、指導しているという。逆に遅れが目立つのは流通業や小売業だ。大手を除き、システムへの投資が後回しにされやすい。小売業に含まれる百貨店業界も同様だ。羽田氏は「ウイルスに感染して基幹システムが止まれば、日々の商売ができなくなる」と警鐘を鳴らす。アイティフォー事業推進部の中田一二三氏も「アサヒグループホールディングスが原状回復に時間を要したのは、倉庫の業務もシステム化されており、出荷できなかったからだ。どこかが止まると全てが止まる」と同調する。業務の多くが電子化され、その速さやスムーズさをビジネスパーソンは享受するが、言い換えるとシステムに依存しており、止まった時に何をどうすれば業務を進められるか分からなくなりつつある。「手作業で対処できる人材も高齢化で減りつつあり、同じような対応が5年や10年先にできるかは疑問だ」（羽田氏）。

もはや、待ったなしだ。「システムの担当者、取引先に任せ切りでは被害は避けられない。セキュリティなどの現状把握が最優先で、それらを検知する仕組みとして『EDR』などのツールを導入すべきだ。それでも100％は防げない。ウイルスに感染した時に慌てず正しい判断が下せるよう、判断基準や組織を、トップ自らが関与して固めなければならない。災害対策と同様だ。直近のトラブルを見ても、初動の遅さが目立つ。すぐに動けた企業は一大事に至らず済んだ。社員や取引先を巻き込んだ、定期的なシステムの“避難訓練”も欠かせない」と、羽田氏は要点を説く。

多くの百貨店をクライアントに持つアイティフォーも、こうした課題に応えるためのソリューションラインナップを用意する。昨年4月には、セキュリティに精通した人材の育成を支援する「サイバーセキュリティアカデミー」をスタート。今年2月には社員のスキルレベルを可視化して、その向上を促す「セキュリティ人材アセスメントサービス」の提供も始めた。とりわけ中堅企業からの引き合いが多いという。

羽田氏は、百貨店各社に「システムに充てるコストを100としたら、セキュリティには5くらいしか割いていない。10を目指してほしい。ランサムウェアに感染した際、最後の砦はバックアップ。必要最小限でも構わないので、日々の業務を継続するための情報をバックアップすべきだ。それならコストが大きくならずに済む。あるいは、システムの担当者に専門的なトレーニングを受けさせたり、ワークショップに参加させたりして、それを全社員で共有するだけでも変わる。コストも抑えられる」と訴える。

脅威はランサムウェアだけではない。AIの進化は目覚ましく、サイバー攻撃は一層巧妙になっていくに違いない。経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度」を2026年度に立ち上げる方針で、企業を3つ星から5つ星の3段階で評価する。羽田氏は「3つ星を獲得できれば、セキュリティは強くなる。上手く活用して被害を回避、最小化してほしい」とエールを送る。コストは要するが、国だけでなく地方自治体にも補助制度や無料のワークショップなどがある。百貨店業界が「安全・安心」を旗頭にする以上、サイバーセキュリティにもあらゆる手を講じたい。