先日、GMOインターネットグループ代表・熊谷正寿さんの発信を読みました。同社のサービスで起きた不正アクセスについて、謝罪と補償、そしてAI時代のサイバー攻撃への危機感が、まとめて語られています。問題提起には賛成です。ただ、事件の本質と、そこから導かれる主張の間には、少しズレがあるように感じました。以下は、公表されている説明を読んだ上での、私の意見です。事実関係は、今後の調査結果を待つ必要があります。
最大の問題は、AIの脅威より「経営判断」では
特に気になったのは、「社内のホワイトハッカーから、改善すべき課題が事前に現場へ指摘されていた。しかし、可用性や優先順位を考慮した結果、対応が十分な速度と深さで進まなかった」という趣旨の説明です。ここが、この発信の中で、いちばん重要な部分だと思います。
熊谷さんは、AIによってサイバー攻撃が高度化し、防御側が圧倒される時代になった、と主張しています。これは、十分に理解できます。でも、本人が認めている事実は、別の問題を示しています。危険を認識していた。専門家も警告していた。それでも、十分な対応ができなかった。これは、技術力の問題というより、組織運営と経営判断の問題ではないでしょうか。しかも、グループ内には、大規模なセキュリティ専門人材がいると語られています。専門家がいなかったわけでも、知識がなかったわけでもない。それでも防げなかった。
もちろん、事前に指摘されていた課題と、実際の侵入経路が一致するかどうかは、まだ分かりません。ただ、少なくとも、今回の説明から浮かび上がるのは、正しい警告が、正しい組織的対応につながらなかった可能性です。これは、AIがどれだけ進化しても、組織に残り続ける問題だと思います。
官民連携には賛成。ただし、論理が飛んでいる
サイバー攻撃が、国民生活や金融資産を脅かす以上、政府が積極的に関与すべきだ、という訴えにも、方向性としては賛成です。サイバー犯罪は国境を越えますし、民間企業だけでは対処できない領域があります。
ただ、区別すべきことがあります。ひとつは、国家レベルのサイバー防衛体制を強化する必要性。もうひとつは、今回の件に、能動的サイバー防御（攻撃元に先手を打つ措置）を適用する必要性。この2つは、別の話です。前者に賛成したからといって、後者が自動的に正当化されるわけではありません。能動的サイバー防御は、通常の捜査協力や情報共有よりも、はるかに慎重な法的判断が必要な領域です。なぜ今回の件で必要なのか、通常の捜査や国際協力では何が足りないのか。その具体的な説明は、乏しいと感じました。
AIは「増幅装置」であって、原因のすべてではない
AIが攻撃者の能力を引き上げ、低コストで大規模な攻撃ができるようになる。これは、現実的な脅威です。ただ、発信全体からは、AIの登場で状況が一変したかのような印象も受けます。実際には、脆弱性の放置、認証管理の不備、権限の集中、更新の遅れ、組織内の情報共有不足などは、AI以前からある問題です。AIは、それらを突く攻撃の速度と規模を増やす。つまり、脅威の増幅装置であって、事件の原因をすべて説明するものではありません。ここを混同すると、再発防止の焦点がぼやけてしまいます。
評価すべき点もある
公平に見ておきます。確認された不正取引による損失について、全額を補償すると明言していること。システムの抜本的な刷新や、外部専門家による原因究明を約束していること。そして、自分の名前で発信し、金銭的な責任を負うと宣言したこと。これは、評価できます。
ただし、謝罪と補償は、責任の履行であって、判断の妥当性を証明するものではありません。本当に評価が決まるのは、これからです。事前の警告がどのような内容で、誰が認識し、誰が対応の優先順位を決め、なぜ間に合わなかったのか。そこまで明らかにできるかどうか、だと思います。
もうひとつ、文章の構成にも、触れておきます。前半で謝罪と補償、中盤でAIによる社会的な危機、後半で国家的な対応の必要性。非常によくできた構成です。ただ、その流れで、読む人の関心が「なぜ防げなかったのか」から「日本はサイバー犯罪にどう立ち向かうべきか」へ移っていきます。意図的な責任回避だとまでは言いません。けれど、結果として、自社の判断の問題が、国家的な危機の物語に包まれて見える。そこには、少し警戒心を持ちました。
これは、システム開発をする人間にも他人事ではない
いちばん考えさせられたのは、ここです。技術者が問題を見つけ、危険性を説明しても、事業の都合や優先順位で、対応が先送りされる。これは、どんな規模の会社でも起こり得ます。技術者は、リスクを指摘できます。でも、そのリスクを受け入れるかどうかを最終的に決めるのは、組織の責任者です。今回の件は、専門的な知見を、判断に反映できる組織だったのか、という問いを突きつけているように思います。
「備えあれば憂いなし」と言いますが、備えがあっても、それを使う人がいなければ、憂いは残ります。そして、優先順位を考慮して後回しにする、というのは、誰もが一度は経験があるはずです。夏休みの宿題を、優先順位を考慮した結果、8月31日に回した、というやつです。あれも、先生に警告されていたのに、動けなかった事例のひとつでした。
結論
熊谷さんの問題意識や、覚悟そのものを否定するつもりはありません。官民連携も必要だと思います。ただ、私はこの発信を読んで、「AI時代のサイバー防衛の難しさ」以上に、「経営判断と、組織の機能」というテーマを強く感じました。技術が進歩するほど、最後に問われるのは、人間の判断力になる。そして、いちばん皮肉なのは、AIが攻撃を高度化させる一方で、防御側には、すでにリスクを見抜いていた人間がいた、という点です。その知見を生かせなかったのであれば、必要なのは、最新の防御技術だけではありません。組織そのものの改善です。
ちなみに、「二段階認証は、あとで設定する」。この「あとで」ほど、危険な言葉はありません。この記事を書き終えたら、念のため、自分の設定も確認しておこうと思います。……あとで。