多摩大学 経営情報学部 教授 平山 敏弘氏
毎日のように情報漏えいなどのセキュリティ問題が話題になる昨今、それでも「自社は小規模だから狙われない」と考えている中小企業の経営者もいらっしゃるかもしれません。しかし、そう考える企業ほど、サイバー攻撃の最初の入口になりかねないというのもまた事実です。
大企業の守りが固くなるなか、攻撃者は対策の手薄な取引先や子会社を足掛かりに、本丸の情報を狙っています。専門部署に任せきりでは、この入口は塞げません。
今回お話をお伺いした多摩大学の平山敏弘教授は、営業や人事、開発などの業務を担いながらセキュリティの知識も備えた「プラス・セキュリティ人材」の育成を提唱し、セキュリティを損得ではなく事業を守るための「本能」だと語っています。
本記事では、DX（デジタルトランスフォーメーション）で新たな事業やサービスに挑む企業が、経営と現場の何を変えるべきなのかを考えるための、組織にセキュリティを根づかせる具体策を平山氏に聞きました。
【本記事の要点】
- 攻撃者は対策の手薄な取引先や子会社を入口にするため、中小企業も「自分ごと」として備える必要性
- 営業や人事などの現場で育てる「プラス・セキュリティ人材」の3つのレベル（推進・ブリッジ・プロデュース）
- セキュリティを「コストか投資か」で測ら
真に求められる「プラス・セキュリティ人材」とは
現在、平山先生は主にどのようなテーマを研究されているのでしょうか。
平山氏
「最も力を入れているのは『セキュリティ人材の育成』です。日本では『セキュリティ人材が20万人近く不足している』と言われていますが、その実態は正しく理解されていません。大学が人材を育成しても、企業側が『求めている人材とは違う』と採用を見送るなど、産学間のミスマッチが起きています。
2016年頃にセキュリティ人材不足と報道されましたが、セキュリティ人材と聞くと、多くの方は『暗い部屋で黒い画面に向かうハッカー』のような専門家を想像するかもしれません。しかし、経済産業省の元データを読み解くと、本当に不足しているのは、ユーザー企業の現場部門（商品・サービスの開発、人事・総務、営業など）で働く人材でした。つまり、通常の業務を担いながら、セキュリティの知識も併せ持つ人材です。
私はこうした人材を『プラス・セキュリティ人材』と名付け、政策提言レポートとして発表しました。この概念は経済産業省、IPA（情報処理推進機構）、国家サイバー統括室（NCO）、デジタル庁などにも受け止められ、現在では国家戦略にも盛り込まれています。」
ランサムウェア急増の背景とグローバルな脅威の実態
被害を防ぐ力が、現場で働く人材にこそ求められているというお話でした。その現場に迫る脅威は、年々深刻さを増しています。
特に、昨今、ランサムウェア（データを暗号化し、復旧と引き換えに身代金を要求する不正プログラム）の被害が急増していますが、その背景には何があるのでしょうか。また、日本が重点的に狙われているのでしょうか。
平山氏
「大きな要因の1つは、生成AIをはじめとするテクノロジーの発展です。プログラムの脆弱性（不具合や設計上の弱点）を自動で発見するAIが登場し、専門知識がなくても、どの企業のどのプログラムに欠陥があるかをインターネット上で簡単に探し出せる時代になりました。
かつては、一定のルールに沿って攻撃を行うプロの攻撃者が中心でした。しかし現在は、半グレや特殊詐欺グループのような層まで参入しています。彼らには節操がなく、サイバー攻撃で得た情報が特殊詐欺などの犯罪に悪用される懸念も高まっています。
もちろん、日本だけが重点的に狙われているわけではありません。世界各国の企業や機関が同様に攻撃を受けています。また、攻撃元は『北朝鮮やロシア』と思われがちですが、実際には他国のサーバーを経由する『踏み台』（攻撃の中継地点として悪用される機器）が使われるため、送信元の国がそのまま攻撃主体だとは言い切れないのが実態です。」
取引先が侵入口に：セキュリティを「自分ごと」に
専門知識がなくても攻撃できる時代になり、攻撃者の裾野が広がっているのですね。個人情報の流出など、私たちにとってもサイバー攻撃は他人事ではありませんね。「自分ごと」として備えるために、何を意識すればよいのでしょうか。
平山氏
「まさに、その思いを込めたのが、2024年に執筆した著書『自分ごとのサイバーセキュリティ 手口を理解し、対策を知ろう』（ビジネス教育出版社）です。近年、大企業は非常に強固な対策を講じています。そのため攻撃者は、まずセキュリティ対策が手薄な取引先や子会社、孫会社を標的にします。そうした企業は『うちのような会社が狙われるはずがない』と思い込みがちで、予算がつかず、従業員教育も十分ではありません。
そうした企業では、社員の1人がフィッシングメール（実在の組織を装ってIDなどを盗み取る偽メール）やウイルスメールをうっかり開き、IDやパスワードが漏えいすると、課長や部長のアカウントへと被害が広がり、最終的には『本丸』である大企業のデータまで奪われてしまいます。被害全体の約半分は、こうしたサプライチェーンを経由するケースだと言われています。
攻撃者が狙うのは、従業員が使うPCやスマートフォンでもあります。従業員それぞれが適切な知識とスキルを身につければ、被害の半分近くを防げます。まずは防御の第一歩として、不審なメールを見極める力を身につけてほしいですね。
私の著書でも『今すぐ自分でできること』を中心に取り上げています。研修では、朝のメールチェック時に注意したいフィッシングや、昼休みにカフェで使うフリーWi-Fiの通信盗聴リスクなど、1日の行動に沿って解説します。すると『日常にもこれだけの危険があるのか』と実感してもらえます。自分の身を守る方法を知るだけでも、特別なツールを導入せずに組織全体の被害を大きく減らせます。」
攻めのDXを支える、速度に見合ったブレーキ
被害の連鎖を防ぐには、各企業が自ら備えるだけでなく、被害に向き合う姿勢も問われるのですね。最近、サイバー被害を自ら公表する企業が増えているのはなぜでしょうか。
平山氏
「以前は、被害を隠そうとする傾向がありました。しかし、深深刻な被害に至るまでには、数多くの『ヒヤリハット』（大事故には至らなかったものの、危うかった出来事）があります。事例を共有すれば他社の被害を未然に防げるため、まずは限られたグループ内で情報を共有する動きが始まりました。
さらに現在は、被害を隠していて後から発覚した場合のリスクが非常に大きくなっています。上場企業であれば、株価の急落や株主代表訴訟に発展する恐れもあります。攻撃を受ける企業が増えるなか、市場は『攻撃を受けた後、いかに適切に対応できたか』を評価するようになりました。誠実な対応を示し、ステークホルダーに安心感を与えるため、情報を開示する企業が増えているのです。」
対応の誠実さが評価される時代になった一方で、新たな事業に挑むほど、守りの水準も問われます。平山先生の「サービスは速度、セキュリティはブレーキ」という言葉も印象的です。この言葉に込めた考え方を教えてください。
平山氏
「セキュリティの問題を車の開発に例えてみましょう。従来のビジネスでは、時速100kmで走り、100kmで止まれるブレーキ性能があれば十分でした。しかしDXが加速する現代では、クレジットカード情報を扱うサービスなら時速200km、年収や個人情報を扱うマッチングアプリなら時速300kmというように、『車』のスピード感とリスクが増しています。
それなのに、ブレーキ（セキュリティ）が時速100kmにしか対応していなければ、いざというときに止まれず、事故を起こしてしまいます。確実に止まれるブレーキがあるからこそ、安心してアクセルを踏み、スピードを出せるのです。高度でリスクの高いサービスを展開するなら、セキュリティもその速度に見合う性能へと引き上げなければなりません。」
ITを専門家任せにしないことがDXの出発点
ブレーキの性能が、挑戦できる速度を決めるということですね。一方で、日本のDXは国際的に遅れが指摘されています。日本のサイバーセキュリティの現状や、米国と比べたDXの遅れをどのように見ていますか。
平山氏
「トップレベルの専門家のスキルは、世界と比べても見劣りしません。しかし国全体で見ると、デジタルスキルやDX対応の評価は、国際比較で最下位に近い水準にとどまっています。問題は、新しいサービスや企画を生み出す人たちがセキュリティを知らないことです。専門家に丸投げしてしまうため、手戻りや脆弱性が生じやすくなります。
米国との構造的な違いの一つが、IT人材の配置です。日本ではIT人材の約7割がIT企業（SIer：顧客企業のシステム開発を請け負う会社）に集中し、ユーザー企業には約3割しかいません。米国はその逆です。米国ではITを『事業を生み出す手段』と捉えますが、日本には『ITは専門家に任せるもの』という意識が根強く残っています。その結果、業務効率化のためのIT化にとどまり、真のDXに至っていません。
大企業では『セキュリティは経営に直結する課題』という認識が浸透してきましたが、課題は中小企業です。『うちには狙われるような価値のある情報はない』と一蹴されがちですが自社が攻撃の『入り口（踏み台）』となり、取引先や親会社の情報が狙われることもあります。この視点を持ち、セキュリティを『自分ごと』として捉えることが何より重要です。」
The post セキュリティは“本能”｜多摩大学・平山敏弘教授が語るDXを支える「プラス・セキュリティ人材」【有識者に聞く⑩】 first appeared on DXportal.
