「セキュリティ強化は事業への投資」- 東芝テックが語る、店舗を止めないIT基盤

小売業界では、キャッシュレス決済やクラウドサービスの普及により、店舗で利用するシステムの相互接続が進んでいる。一方、接続先が増えるほどサイバー攻撃の侵入口も増え、システム障害が店舗の営業や取引先との関係にまで影響するおそれがある。

10月8～9日に開催された「NTT docomo Business Forum'26」では、東芝テック執行役員プロダクト・プランニング＆クリエーションセンター長の平井修氏が登壇。「店舗セキュリティの転換～『店舗を止めない』小売業界の次世代IT基盤戦略とは～」と題し、セキュリティ強化を「事業への投資」と捉える理由を説明するとともに、NTTドコモビジネスとの協業による次世代IT基盤の構築について紹介した。

POSだけでなく、店舗全体を守る時代へ

講演の冒頭、平井氏は、店舗を止めないためのセキュリティ対策について次のように強調した。

「このセキュリティ強化というのは、単なるITコストではありません。事業への投資です」

東芝テック執行役員プロダクト・プランニング＆クリエーションセンター長平井修氏

東芝テックは、POS・セルフレジの導入ベースで国内53％のシェアを持つという。コンビニエンスストアをはじめ、24時間365日稼働する店舗のシステムを長年支えてきた。その経験から平井氏が問題提起したのが、店舗を取り巻くIT環境の変化である。

かつてPOSシステムは、外部から切り離された閉じたネットワークの中で稼働していた。そのため、POSシステム自体を保護することがセキュリティ対策の中心だった。

しかし現在は状況が大きく異なる。POSシステムはクレジットカードや電子マネーといった決済システムだけでなく、発注・棚卸しなどの業務システム、防犯カメラ、Wi-Fi、クラウドサービスなど、さまざまな機器やサービスと接続されている。

こうした変化の背景には、小売業界が直面する人手不足や人件費の高騰がある。限られた人員で店舗を運営するため、業務の効率化やシステム間の連携が進められてきた。

一方、接続する機器やサービスが増えれば、それだけサイバー攻撃の侵入口も増える。ルーターやネットワークカメラなど、外部と接続する機器が攻撃の起点となる可能性もある。平井氏は「もうどこから入られるかわからない。これが今の時代」だと警鐘を鳴らす。

問題は、店舗のIT環境が複雑化する中で、セキュリティ対策が個別に積み重ねられ、全体としての設計が追いついていないことだ。

例えば、店舗ごとに異なるセキュリティポリシーが採用されていたり、POS通信と業務通信が同一ネットワーク上で運用されていたりするケースがある。後者の場合、業務用PCがマルウェアに感染すると、その影響がPOSシステムにも及ぶおそれがある。

さらに、情報システム部門の人手不足も深刻だ。監視すべき機器や接続先が増えても、それらを常時監視する人員を十分に確保できるとは限らない。ベンダー側も多くの顧客を抱えており、監視や対応に手が回らない場合があるという。

システム間の連携によって店舗業務の効率化が進む一方で、守るべき範囲は広がり、セキュリティ管理の負担も増しているというわけだ。

売上にとどまらない、店舗停止のリスク

こうした環境の変化を踏まえ、平井氏は「店舗が止まることは経営リスクである」と訴えた。

店舗のシステムが停止した場合、まず考えられるのは売上機会の損失だ。POSシステムや決済システムが利用できず、営業を継続できなければ、本来得られるはずだった売上を失うことになる。

しかし、問題はそれだけではない。

例えば、利用しようとした店舗が営業していなければ、消費者は店に対して不満を持つかもしれない。サイバー攻撃による障害の情報がSNSなどで広まれば、企業のブランドイメージが損なわれる可能性もある。

さらに深刻なのが、取引先からの信頼への影響だ。小売業の事業活動は、商品の発注や入荷時の検品、仕入れ代金の支払いなど、さまざまな業務によって成り立っている。これらを支えるシステムが停止すれば、取引先の業務にも影響が及び、信用を失うおそれもある。

店舗停止のリスク

また、取引先からの評価は、システム障害が起きていない平時にも重要になる。

その一例として平井氏が紹介したのが、経済産業省主導で2026年度末の運用開始が予定されている「サプライチェーン・セキュリティ対策評価制度（SCS評価制度）」だ。企業のセキュリティ対策の水準を星の数で示す仕組みである。同氏は、小売企業も取引先から求められるセキュリティ水準を意識し、自社の対策状況を外部に示していく必要があると説いた。