相次ぐ情報流出の背景に、セキュリティの「丸投げ」はないか

昨今、不正アクセスによる個人情報の流出事案が相次ぎ、社会的に大きな波紋を呼んでいます。

日本においては、ITシステムやWebサービスの実装・運用を外部ベンダーに委ねている企業も少なくありません。外部の専門知識を活用できる点で、委ねること自体は有効な手段です。ただし、セキュリティ対策まで任せきりにする、いわゆる「丸投げ」の状態になると、リスクに目が届きにくくなります。 セキュリティ事故が発生した際、表面的な技術的要因ばかりが注目されがちですが、その背景には発注者・受注者双方の間に横たわる「構造的・組織的な課題」が存在します。

本ブログでは、「人」を防御の要にするセキュリティトレーニングプラットフォームを提供するKnowBe4が、発注者と受注者の関係に潜む課題を再整理し、私たちが向かうべき解決の方向性について問題提起します。

1. 発注者側の課題：セキュリティの専門人材の不足と、役割分担のズレ

多くの日本企業では、社内に適切なセキュリティ人材が不足しています。これにより、以下のような問題が生じています。

• 要件の提示と、提案の見極めの難しさ : 自社に専門知識が十分でない場合、受注者にセキュリティ対策の要件を具体的に伝えることが難しくなります。 また、受注者側から示されたセキュリティ提案の良否や妥当性を正しく判断・評価することも容易ではありません。

• コスト意識と期待のズレ: コストの抑制を求める一方で、「そのくらいのセキュリティ対策は当然含まれているだろう」という曖昧で一方的な期待を抱いてしまいます。

2. 受注者側の課題：提案への心理的ブレーキと能力差

• 「100%の完全性」を迫る過剰追及: いざ何らかのシステム障害が発生した際、再発しないことの保証や、原因の完全な特定を強く求められ、対応が長引いて、受注者側が疲弊する場合があります。

• リスク回避の営業心理: セキュリティのような厄介で高コストな提案を行うと、プロジェクトの長期化や見積もり高騰による「失注リスク」が高まるため、踏み込んだ提案を避けてしまう傾向があります。

3. 両者にかかわる構造課題：心理的疲弊が生む悪循環

• 提案を躊躇させる不全構造: こうした個別の担当者による過剰な対応追及は、受注者側に「下手にリスクを指摘したり余計な提案をしたりすると、トラブルに巻き込まれて損をする」という強力な心理的ブロックを生みます。結果として、危険な脆弱性が提案されないまま放置される悪循環に陥るおそれがあります。

まとめ：構造問題として捉え、正しい対処へ

相次ぐ個人情報流出事案の報道では、「AIを用いた攻撃の巧妙化」といった技術的脅威ばかりに焦点が当たりがちです。しかし、「AI攻撃には太刀打ちできない」と技術の問題にすり替えてしまっては、企業側にも一般市民側にも「防ぎようがない」という諦めや無力感を拡散させるだけであり、本質的な課題解決から遠のいてしまいます。

• 「被害に遭う企業」と「守れている企業」の差
  これだけ事故が頻発する一方で、当然ながら事故を起こさずに運用できている企業も数多く存在します。この明暗を分ける最大の差こそが、発注者・受注者間の関与のあり方（丸投げか否か）とセキュリティに対する意識の差です。

• 諦めではなく「組織構造と文化」の改革へ
  本問題の根本にあるのは「解決不可能な高度技術の脅威」ではなく、「組織構造と文化」という自らの取り組み次第で見直しの余地がある課題です。 発注者が関与を強め、受注者も過度な責任追及を恐れずに対等に提案できるような「セキュリティを重視した組織構造と文化」の形成に取り組むこと。この本質的な視点を持つことこそが、相次ぐ被害の拡大を防ぎ、企業が実効性のある対処へ向かうための重要な鍵の一つです。

当社においても、単なる技術的な注意喚起にとどまらず、受発注双方が健全にセキュリティを担保するための「組織・構造的アプローチ」について、今後も調査・発信を続けてまいります。

KnowBe4 Japan著