他人事から自分事へ - 大阪大学CISOが語る、組織を強くする真のサイバーレジリエンス

ランサムウェアによる被害や情報漏えい事故のニュースが日常化し、どこか感覚が麻痺してはいないだろうか。「うちは専門家がいないから」「大企業の話だろう」——そんな他人事の意識こそが、組織最大の脆弱性かもしれない。

12月15日～16日に開催されたウェビナー「TECH+セミナーセキュリティ2025 Dec. 総決算堅牢なセキュリティ組織を武装する『サイバーレジリエンス』のすすめ」に、大阪大学 D3センター教授であり、同大学のCISOを務める猪俣敦夫氏が登壇。技術論に留まらない「組織と人」の変革について、自身の経験と豊富な事例を交えて語った。

「うちは大丈夫」という慢心が招いた2017年の悪夢

「私はスーパーコンピューターセンターの所属であり、本来であればセキュリティの専門部署所属ではありませんでした。しかし、ある事情によって関わらざるを得なくなったのです」（猪俣氏）

講演の冒頭、猪俣氏は自身がCISOとしてセキュリティの指揮を執るに至った経緯について、2017年に大阪大学を襲った2つの事故を挙げて振り返った。

1つは、大規模な個人情報漏えい事故だ。当時の大学組織はシステムやID管理が分散し、複雑に絡み合っていた。どのような情報がどこで管理されているか分からない状態であったにも関わらず、「自分たちがサイバー攻撃の被害に遭うわけがない」という根拠のない自信の上で管理が行われていたという。

そしてもう1つは、入試問題の出題ミスである。これはセキュリティに関係するものではないが、組織のレジリエンスを問われる象徴的な出来事だった。外部からの指摘で発覚したミスに対し、調査と対応に時間を要してしまったのだ。

「入試ミスは人の人生を狂わせかねない重大な事故です。火事と同じで、即座に火消し（対応）をしなければなりません。しかし、対応が遅れたことで、受験生は浪人を余儀なくされたり、他大学へ入学したりと、取り返しのつかない事態を招きました。謝罪だけでは済まされないのです」（猪俣氏）

同氏はこれら一連の経験から、事故が起きて初めて自分たちの弱さを痛感したという。そして、有事の際こそトップが逃げ腰にならず、先頭に立って指揮を執ることの重要性を説く。「専門家ではないから」「大きな組織ではないから」という言葉は、被害者にとって何の言い訳にもならないのである。

攻撃者の視点を持ち、防御偏重から脱却せよ

日本の組織は、セキュリティにおいて防御の考え方が強く、優秀なソリューションを導入することには熱心だ。しかし、それでもランサムウェア被害は後を絶たない。猪俣氏はその原因を「攻撃者の視点を見てこなかったツケ」だと指摘する。

「寒い地域に住む人が寒さに耐えられるのは、どうすれば身を守れるか、その環境（脅威）を知っているからです。しかし、サイバーセキュリティに関しては、攻撃者が何を狙っているのかを意識せず、とりあえずEDR（Endpoint Detection and Response）などのソリューションを導入するだけで安心しているケースが散見されます」（猪俣氏）

攻撃者は、防御側がどのような対策を講じているかを知ったうえで攻撃を仕掛けてくる。TTPs（Tactics, Techniques, Procedures:戦術・技術・手順）と呼ばれる攻撃者の手口を理解し、防御に活かすオフェンシブセキュリティの考え方が不可欠だと同氏は強調する。

ここで例に挙げられたのが、信号機のない円形交差点「ラウンドアバウト」だ。一見危険に見えるが、信号がないためにドライバーは自ずと周囲の安全を意識し、予測しながら運転するため、結果として事故が少なくなるという。

オフェンシブセキュリティの例「ラウンドアバウト」

「『自分たちにとってどこが弱いのか』『攻撃はどこから来るのか』を、平時の何も起きていないときに見ておくことこそが重要です。これがオフェンシブセキュリティの考え方に通じます」（猪俣氏）

組織にとっては、炎上・誹謗中傷も重大な脅威

レジリエンスが求められるのは、マルウェアや不正アクセスといった技術的な脅威だけではない。猪俣氏は、SNSや口コミサイトにおける誹謗中傷やネガティブな意見も、現代の組織にとっては重大な脅威であると警鐘を鳴らす。

例えば、Googleマップの口コミで、数百件の良い評価の中にたった1件の星1つと悪意あるコメントが混じるだけで、全体の印象は大きく損なわれる。プラットフォーマー側はユーザーの意見として扱うため、当事者が削除を求めても容易には対応されないのが現実だ。

「これは技術的な話ではありませんが、組織にとってはリスクに直結します。炎上は恐ろしい脅威ですが、これまでは当事者を守る法律が不十分で、泣き寝入りするしかありませんでした」（猪俣氏）

現在は、情報流通プラットフォーム対処法などにより、削除申し立ての迅速化や透明化が進みつつあるが、組織としてはネガティブなコメントの重みを理解し、ネットでの発信が持つリスクを常に意識しておく必要がある。

予算をかけずにできる組織視点の対策

「うちには専門家もいないし、予算もない」と嘆く前にできることはある。猪俣氏は、技術的なソリューションに頼る前に、組織内の各層が意識を変えることで実行できる対策を提案した。

まず、一般職員は、新しいソフトウェアの導入や新規のアクセス先への接続に対し、「これはリスクがありそうか?」とPoCのような感覚で一度立ち止まって考える。一方、管理職や経営層は、自社が事故を起こした場合、サプライチェーンや取引先にどのような影響が及ぶかを想像する。自社のシステム停止が物流や在庫にどう波及するかを普段からシミュレーションしておくことが重要だ。

また、BCP（事業継続計画）についても同氏は、ITシステムの復旧を指す「IT-BCP」と、組織活動の復旧を指す「組織-BCP」を明確に区別すべきだと説く。

「IT-BCPはルーターやストレージの復旧、ログ解析といった技術的な話です。ここばかりに注力すると、組織を正常に戻すという本来の目的が蔑ろにされ、犯人探しがゴールになってしまいがちです」（猪俣氏）

とくにバックアップについては、「最新鋭のRAID（Redundant Array of Inexpensive Disks）システムを入れているから大丈夫」という慢心を戒める。

同氏は、実際にランサムウェア被害に遭った際、最新のディスクバックアップは暗号化されてしまったが、処理速度が遅く過去の遺産だと思われていたカセットテープのバックアップが生き残っており、そこから復旧できた事例を紹介。「新しいものを入れているから安心、古いものは捨てる、ではなく、使えるものは何かを見極める視点が大切」だと語った。