セキュリティインシデントはなぜ多発するのか？ RPGの王様と勇者の関係で考える「セキュリティ経営」

「しんでしまうとは なにごとだ！」RPGの王様の理不尽とセキュリティ経営

「しんでしまうとは なにごとだ！」——これは、企業経営者やマネジメント層の方であれば、幼少期において一度は見たことがあるかもしれません。有名な国民的RPGの第1作で敵であるモンスターに敗れた勇者が王様に言われるセリフです。

世界を救うという重大な使命を背負い、勇者は王様の命によって旅立ちます。草原ではスライムなどのモンスターに襲われ、洞窟には凶悪な魔物が潜み、その先には魔王や真のラスボスといった圧倒的な力を持つ敵が待ち受けています。

当然、その道のりは平坦ではありません。何度も危険な目に遭い、強敵との死闘を繰り返し、時には命を落とすこともあります。そして、ようやく王様のいる城へ戻ってくると、開口一番に言われるのが「しんでしまうとは なにごとだ！」なのです。

実際にRPGに勤しんでいた子供の頃はそれほど気にならなかったのですが、勇者の気持ちになってこの状況を考えると、とんでもない理不尽です。憐憫の情を抱かずにはいられません。

そもそも、勇者を送り出したのは王様です。しかも、多くのRPGでは最初の装備は布の服や旅人の服程度で、武器もこん棒やヒノキの棒のようなレベル。これらの材質は、どれも木綿や木であり、とても魔王を倒そうとしている者の装備ではありません。

所持金もわずかしか渡されません。十分な装備も軍資金も与えないまま危険地帯へ送り出し、負けて帰ってきたら叱責されます。現代の企業で同じことが起きていたら、かなり問題のあるマネジメントではないでしょうか。

そして、実はこの構図は、現在の企業のサイバーセキュリティに驚くほどよく似ています。

現代の勇者（セキュリティ担当者）が置かれている状況

セキュリティ担当者とは、現代の勇者です。企業のセキュリティ担当者は、まさに勇者のような存在——というと言い過ぎの気もしますが、便宜上そう捉えてください。しかし、彼らもまた毎日危険な世界に身を置いていることに変わりはない、とは言えます。

具体的なリスクとしては、「外部からの不正アクセス」「フィッシング攻撃」「ランサムウェアなどのマルウェア感染」「標的型攻撃」「クラウド設定不備の悪用」「サプライチェーン攻撃」など、枚挙にいとまがありません。そして、近年では生成AIを活用した攻撃まで登場しています。

しかも、厄介なのは相手がこちらの営業時間に合わせてくれるわけではないことです。攻撃は24時間365日続きます。それは企業が年末年始休暇であっても、セキュリティ担当者が寝ている深夜であっても、関係なく続きます。ただし、これは攻撃者が必ずしも勤勉ということを示しておらず、時差の関係やAIエージェントが活動していることが要因です。

これをゲームで例えるなら、城の外に出た瞬間から常にモンスターにエンカウントし続けるようなものです。それでも、勇者ならまだよいと言えるかもしれません。なぜなら「レベルが上がる」「仲間が増える」「装備が強くなる」という目に見えるメリットがあるからです。

しかし、企業のセキュリティ担当者はどうでしょうか。「何百台ものサーバー」「数千台のPC」「クラウドサービス」「スマートフォン」「VPN」「IoT機器」「グループ会社・委託先」と管理する（守る）べき対象だけが増えていきます。

それにもかかわらず、人員はなかなか増えません。予算も増えません。それどころか、「DXを進めろ」「クラウドを活用しろ」「スピード経営だ」という新しい要求だけが追加されます。これでは、勇者のレベルが上がらないのに、モンスターだけがどんどん強くなっているようなものです。

王様（経営者）は本当に装備を与えているだろうか

セキュリティインシデントが発生すると、多くの企業で同じような会話が行われます。「なぜ防げなかった？」「事前に分からなかったのか？」「本当に有効な対策はなかったのか？」——もちろん、このような問いは重要で、必要不可欠でもあります。

しかし、その前に経営者自身が考えるべきこともあります。それは、「十分な予算を与えていただろうか」「必要な人員を確保していただろうか」「教育の機会を提供していただろうか」「経営課題として継続的に議論していただろうか」というものです。それらを踏まえて、RPGのように勇者に最低限の装備（布の服とこん棒）しか持たせていない王様が「なぜ魔王（またはその部下）に負けたのだ」と言っている状況になっていないかという視点も重要です。

多くの経営者は「セキュリティに投資している」と考えています。しかし現場に聞くと、「古い機器が更新できない」「管理ツールを導入したいが予算がない」「24時間監視が必要だが人がいない」「担当者が一人しかいない」という話も少なくありません。

これでは、勇者に対して「鋼の鎧は高いから買わない」「薬草は贅沢だ」「宿屋代も節約しろ」と言いながら、「さて魔王はいつ倒せるのか？」と聞いているようなものです。

なぜセキュリティ担当者は評価されにくいのか

さらに問題なのは、セキュリティ担当者の成功が見えにくいことです。営業なら売り上げが見えます。マーケティングならリード獲得数が見えます。研究開発なら新製品が見えます。しかし、セキュリティ担当者の成果は、なかなか目に見えません。

唯一の目に見える成果とは「何も起きない」ことです。「夜中の攻撃を防いだ」「脆弱性を修正した」「フィッシングメールをブロックした」「設定ミスを事前に発見した」——こうした成果は、結果として事故が発生しないことで、成果とカウントされることはなく、ほとんどの場合で評価すらもされません。言わば、勇者が道中で何百匹ものモンスターを倒していても誰も見ていないというのと同じ状態です。王様は、魔王討伐の報告だけを待っているのです。

そして、企業経営においては、皮肉なことに事故が起きなかった期間が長いほど、「そんなに対策しなくても大丈夫なのでは」という空気すら生まれることがあります。防御（対策）が成功した結果、防御の価値が見えなくなる。これはセキュリティ担当者にとって永遠のジレンマです。

インシデントは敗北ではなく戦闘記録、「侵入された後にどう対応できるか」が重要

インシデントは敗北ではなく、戦闘記録です。多くの経営者は、インシデントの発生を「敗北」と考えます。しかし、本当にそうでしょうか。現代のインターネット環境において、すべての攻撃を100％防げる企業は存在しません。世界最大級のIT企業、国家機関、軍事組織、巨大金融機関など、そうした組織ですら侵入を受けています。つまり重要なのは、「侵入されたか」ではなく、「侵入された後にどう対応できるか」なのです。

RPGも同じです。優秀な勇者は、決して死なない勇者ではありません。強敵に敗れた経験から学び、装備を見直し、仲間を集め、次には勝つ勇者です。セキュリティも同じです。「インシデント対応」「原因分析」「再発防止」「セキュリティ訓練」「監視体制の強化」「堅固なバックアップ」——これらを通じて組織は強くなります。経営者が重視すべきは、「なぜ死んだのか」ではなく、「次はどう生還率を上げるのか」という点なのです。

AIによって攻撃（モンスター）は急激に強くなります。近年のサイバー攻撃を語るうえで、AIの存在は避けて通れません。かつて、攻撃には高い技術が必要でした。しかし、現在はどうでしょう。「フィッシングメールの文章作成（日本語）」「標的企業の調査」「コード生成」「既知の脆弱性への攻撃」「未知の脆弱性の発見」——こうした活動の一部が、AIによって効率化されつつあります。

AIは大きなブレークスルーになり得ます。それまでの戦い方が根本から変わるのです。これまで熟練者しか扱えなかった戦術を、多くの者が使えるようになります。攻撃側は圧倒的な効率向上を手に入れつつあります。

だからこそ、防御側も変わらなければなりません。属人的な一部の担当者に頼る戦術だけでは限界があります。AIによる「運用の自動化」「現状分析支援」「脅威インテリジェンスの活用」「リスクベースでの検証」——こうした新しい武器が必要です。

勇者が竹竿やこん棒のままで勝てる時代ではないのです。本当に問われるのは、むしろ「経営の覚悟」なのかもしれません。セキュリティはIT部門の問題だと思われがちです。しかし、インシデントが発生した際に被害を受けるのはIT部門ではありません。被害を受けるのは「顧客」であり、「株主」であり、「取引先」です。そして、最も深刻な被害を受けるのは、たいていの場合「企業ブランド」です。つまり、本質的には経営課題なのです。

勇者が世界を救うために戦うなら、王様もまた戦いの当事者です。ただ、戦場に立っていないだけです。兵たんを管理し、武器を調達し、人材を集め、戦略を決める。それが王様の役割です。ここでいう王様は、企業においては経営者であるのは言うまでもありません。

それにもかかわらず、「セキュリティ部門に任せている」という考え方では、いずれ限界が来ます。このように考えてみると、セキュリティ担当者は（もしかしたら、本当に）勇者かもしれません。しかし、勇者一人ではとても世界すべてを守れるものではありません。そもそも、一従業員に会社の命運をかけるのは、あまりにも大博打過ぎるでしょう。

経営者がセキュリティ担当者にかけるべき言葉を再考する

王様の言葉を変える時が来ました。冒頭のセリフに戻りましょう。もし、現代の優れた経営者が王様だったら、復活した勇者に何というでしょうか。おそらく、「今回の戦いで何が起きた？」「どんな敵だった？」「次に勝つためには何が必要だ？」と尋ねるべきではないでしょうか。

そして、それが分かったら不足していた装備を調達し、新たな仲間を集め、次の戦いに備えるべきです。サイバー攻撃が当たり前になった現在、企業に必要なのは犯人探しではありません。セキュリティ担当者を責めることでもありません。組織全体としてどう戦うかを考えることです。

「しんでしまうとは なにごとだ！」と勇者を叱る王様の時代は終わりました。これから必要なのは、「よく戻った。次はどう勝つか、一緒に考えよう」と言える経営者なのかもしれません。世の中がこのような経営者ばかりになれば、ちまたで騒がれている「AI時代の新たな脅威」なども、それほど怖くなくなるのではないでしょうか。