その日は、エンジニアだけでなく、デザイナーも営業も夜遅くまで対応にあたっていました。
きっかけは、PHPに見つかった脆弱性。
お客様の情報を守ること。
そして、自分たち自身が被害を拡散する側にならないこと。
できる限りの対応を、できる限り早く。影響範囲を確認し、必要な対応を洗い出し、一つずつ対処していく。影響範囲が多岐にわたる中、自社のホームページについても、念のため一時的に停止する措置が取られました。
セキュリティに関わる仕事というと、エンジニアの領域のように思えるかもしれません。実際、技術的なことについては、バックオフィスの私にはわからないこともたくさんあります。それでも何かできることはないかと、私も対応の洗い出しに加わりました。
その中で印象に残ったのは、状況が刻々と変わる中でも、エンジニアたちが冷静に情報を集め、優先順位をつけ、先回りして対応していく姿でした。
「ここまで考えて動いてくれているんだ」
普段はなかなか見ることのない仕事の一端に触れて、とても頼もしく感じたのを覚えています。
そして同時に、こんなことも考えました。これから情報を守っていくために、私たちはどう変わっていけばいいのだろう、と。
守る側にも、守られる側にもなる
最近、情報漏洩や不正アクセスのニュースを目にすることが増えました。
実際、IPA（情報処理推進機構）も、国内の金融機関や通信事業者などで不正アクセスによる情報漏洩が相次いでいるとして、企業に緊急の注意喚起を出しています。
そして私自身も先日、利用しているサービスから、登録情報が漏洩した可能性がある旨の連絡を受けました。発表によると、Webシステムの脆弱性を悪用した不正アクセスがあり、約146万件の本人確認書類画像データに外部送信の痕跡が確認されたとのこと。
もちろん、連絡を受けたからといって、私自身の情報が実際に漏洩したと確認されたわけではありません。それでも、自分のもとにその知らせが届いたことで、「情報漏洩」という言葉がそれまでよりずっと身近なものに感じられました。
- 会社では、お客様の情報を守る側にいる。
- 一方では、自分自身が誰かに情報を守ってもらう側でもある。
情報社会で暮らす私たちは、きっと誰もがその両方の立場にいます。だからこそ、情報を守ることは一部の専門家だけの話ではないのだと思います。
AIで変わるのは、便利さだけではない
AIの進化によって、私たちの仕事は驚くほど速く、便利になっています。
一方で、その力を使えるのは守る側だけではありません。実際にJPCERT/CCも、AIを用いたペネトレーションテスト基盤を悪用し、Webアプリケーションの脆弱性を探索する攻撃の試みが確認されているとして注意を呼びかけています。
攻撃する側がAIを使うなら、防御する側もこれまで以上の速さで変化していく必要があります。
今回の対応を間近で見て、私は「人の力」の頼もしさを改めて感じました。状況を判断すること、優先順位を決めること、そして自分の担当領域にこだわらず必要なことへ自発的に動くこと。どれだけ技術が進歩しても、こうした人の力が不可欠であることは変わりません。
ただ、その力を個人の「もっと頑張る」という努力だけに頼るのではなく、技術や仕組みで支えていくことも、これまで以上に必要になっていくはずです。
人の力、技術、そして仕組み。
どれか一つに偏るのではなく、それぞれをアップデートしながら情報を守っていく大切さを、今回の出来事を通して考えるようになりました。
「守る」を、会社の仕組みにする
そんな中、J.B.GoodeはISMS（情報セキュリティマネジメントシステム）認証を取得しました。
ISMSは、組織が持つ情報を守るためにリスクを把握し、必要な対策を行い、それを継続的に見直していくための枠組みです。
取得に向けて社内の情報や業務を整理する中で、バックオフィスにいる私も、改めて情報を守ることと向き合う機会が増えました。契約書、請求情報、従業員や採用に関するデータ、社内で利用している各種クラウドサービス。考えてみれば、バックオフィスも極めて機密性の高い情報を多数預かっています。
「漏らさないように気をつける」だけでなく、そもそも誰に閲覧権限が必要なのか。
「忘れないように気をつける」だけでなく、忘れても抜け落ちない業務フローはどう作れるか。
一人ひとりの意識を高めることはもちろん大切です。しかし、その意識だけに委ねず、会社全体の「仕組み」として支えていく。ISMSへの取り組みを通して、その本質を実感しました。
変化を恐れず、変わり続ける
ISMS認証を取得したことは、私たちにとって一つの大きな節目です。しかし、これで終わりではありません。
技術が変われば、リスクも変わる。
リスクが変われば、必要な守り方も変わる。
だからこそ、一度決めた運用ルールを固定化するのではなく、その時々の環境に合わせて問い直し、見直し続けていく姿勢が欠かせません。「今まで大丈夫だった」を、これからも大丈夫にしていくために。
今回、迅速に動いたエンジニアたちの姿から感じた頼もしさも、ISMS取得に向けて積み重ねてきた仕組み化も、目指している原点は同じです。お客様からお預かりしている大切な情報を、これからも守り続けること。
昨日と同じ守り方では、明日は守れない。
だからこそ私たちは変化を恐れず、守る側としても柔軟に変わり続けていきたいと思います。