「被害の最小化を目指しつつ、事業継続計画の策定を」大企業のサイバー被害が相次ぐ中、企業に求められる対応策

国内最大級の通販サイトだけに取引先企業への影響も大きく

「親会社として本事案を重く受け止め、事態の復旧・再発防止に努めると共に、グループ全体の情報セキュリティー体制を強化していく」

　こう語るのは、LINEヤフー社長CEO（最高経営責任者）の出澤剛氏。

　10月19日にネット通販大手・アスクルで発生した「ランサムウェア」（身代金要求型ウイルス）の感染によるシステム障害問題。アスクルの親会社トップである出澤氏は、11月4日に行われた決算会見で、原因究明と早期復旧に向けた決意を示した。

　飲料大手・アサヒグループホールディングスやアスクルなど、大企業のサイバー被害が相次いでいる。

　アスクルでは、ランサムウェア感染に起因するシステム障害を受け、法人向け通販『ASKUL』や個人向け通販『LOHACO』などの業務を停止、顧客からの注文を受け付けることができない事態となった。外部セキュリティー企業のエンジニアを含め、全部で100名規模の調査チームが対応にあたっているが、復旧のめどはまだ立っていない。

　10月31日時点で、アスクルでは顧客の氏名やメールアドレス、電話番号など、個人情報の一部が外部に流出したことが判明。流出した情報を悪用した「なりすましメール」が送付されるなど、二次被害が発生する恐れのあることから、同社は不審なメールや添付ファイルは開封せず削除するよう求めている。

　一方、コピー用紙やトイレットペーパー、ゴミ袋などの商品に限っては、医療機関や介護施設など、一部顧客からの注文のみ受け付けを再開。注文方法はFAXで、倉庫管理システムは使用せず、手作業による試験的な出荷再開となっている。

　同社社長の吉岡晃氏は「今回の出荷トライアル開始は復旧に向けた小さくも重要な一歩。全社一丸となり、一日も早い完全復旧にむけ全力で取り組んでいく」とコメントした。

　アスクルは国内最大級の法人向け通販サイト。オフィス用品や事務用品、製造現場の工具、医療・介護用品など、幅広い商品を扱っており、取引先企業への影響も大きい。例えば、同社に配送の一部を委託している良品計画やロフトでも、商品の受注や出荷ができない状態となった。改めて、サプライチェーン（供給網）のあり方が問われていると言えよう。

　また、アスクルよりも3週間ほど早く、同様の被害にあったのがアサヒグループHD。同社でサイバー攻撃によるシステム障害が発生したのは9月29日。すでに1カ月以上が経過しているが、主力のビール『スーパードライ』や『アサヒ生ビール』など、出荷を再開できているのは、まだほんの一部にとどまる。

　アサヒではシステムが復旧せず、2025年12月期第3四半期の決算発表を延期する事態に。ある幹部は「ここまで来ると一企業では対応できない。国を巻き込んでのセキュリティー対策が必要だ」と訴える。

企業はセキュリティー対策にどこまで投資するべきか？

　ランサムウェアとは、感染すると端末に保存されているデータを暗号化して使用できない状態にし、そのデータを復号するために金銭などの対価を要求する不正プログラムのこと。警察庁の調査では、今年上半期におけるランサムウェアの被害報告件数は116件と、2022年下半期と並び最多となった。

　また、ランサムウェアによる被害に遭った企業・団体にアンケートを実施したところ、昨年と比較し、ランサムウェアの被害による調査・復旧費用が高額化。1千万円以上を要した組織が50％から59％に増加し、費用負担が増加しているという。

　多くの経営者はセキュリティー対策が重要だということは理解していても、費用対効果の見えにくいセキュリティー対策に関して、どこまでコストをかけていいのか悩む企業も多い。

　日本サイバーセキュリティ・イノベーション委員会（JCIC）では、業界団体では、「セキュリティー投資額は連結売上高の0.5％以上」、「セキュリティー人材は全従業員数の0.5％以上を確保」すべきとしている。例えば、売上高1000億円の企業であれば、年間投資額は5億円程度。こうした一定の基準は参考になりそうだ。

　経済安全保障に詳しい某経営者は「企業はサイバー攻撃をされないためにどうするかではなく、もう攻撃されるものだと考えなければいけない。攻撃されることを前提に、攻撃されても何重もの扉があって、破られないような対策を考えないといけない」と語る。

　また、サイバーセキュリティー問題に詳しいAIQVE ONE（アイキューブワン）執行役員セキュリティサービス本部本部長の清水元承氏は、サイバーセキュリティーに完全な解決策はないとした上で、「経営者の強力なリーダーシップの下で継続的に対策を講じ続けることで被害の最小化を目指しつつ、いざ被害が現実のものとなった際の事業継続計画（BCP）の用意と定期的な訓練を仕組み化することが求められる」と話している。

　インターネットやAI（人工知能）など、人々が仕事や生活をしていく上で便利な技術がどんどん進化していくように、残念ながら悪用される技術もまた進化していく。全ての企業や組織がアサヒやアスクルの事例を対岸の火事にすることなく、自社を含めたサプライチェーン全体の再点検が必要だ。

AIの役割、AIと人間の関係をどう考える?　答える人　慶應義塾大学理工学部教授・栗原聡