セミナーレポート

【セミナーレポート】経営戦略としてのサイバーセキュリティ

はじめに：MSOLが支援する「戦略の実行」とサイバーセキュリティの現実

急速な生成AIの進化と高度なサイバー攻撃の台頭により、従来の「IT部門任せのセキュリティ」は限界を迎えています。本セミナーでは、元富士通の奥原雅之氏と、ID管理の普及を牽引してきた山田達司氏をゲストに招聘。国内大手企業を襲った最新のランサムウェア被害の教訓から、個人の注意力に頼らない防御への転換、そして「ゼロトラスト」や「AIエージェント時代」を見据えたこれからの組織マネジメントとガバナンスのあり方について徹底的に議論しました。単なる“守り”に留まらず、ビジネスの俊敏性（アジリティ）を加速させる経営戦略としてのセキュリティの真髄に迫ります。

【登壇者プロフィール】

ゲスト： 奥原雅之氏（東京都立産業技術大学院大学教授 / 元富士通サイバーディフェンスセンター長）
ゲスト： 山田達司氏（合同会社シンプルパーム代表エバンジェリスト / 元NTTデータグループ）
ファシリテーター： 高野秀也氏（株式会社マネジメントソリューションズ / 情報処理安全確保支援士）

AIが覆すサイバー攻撃の前提と経営陣に迫られる決断

生成AIの急速な進化により、「IT部門の努力で防げる」時代は崩壊しました。

AIの兵器化： 脆弱性を短時間で検知するAIモデル（「Claude Mythos」や「GPT-5.5 Cyber」など）の登場により、攻撃側の進化が加速しています。
国家・規制の動向： 金融庁や国土交通省が経営陣主導の対策や予算確保を要請するなど、国家レベルでの対応が始まっています。
AIエージェントのリスク： 24時間稼働する自律型AIの普及は生産性を劇的に高める一方、人間と同等のシステムアクセス権限を必要とするため、新たな経営リスクを生んでいます。

ランサムウェア被害の実態から得る経営教訓

ISMS認証を取得し、高度な体制を整えていた国内大手2社の被害事例は、「どんな企業でも突破される」冷徹な現実を示しています。

アサヒグループHD： ネットワーク機器の脆弱性とパスワード不備から管理者権限を奪われ、主要業務システムが約2ヶ月停止。
アスクル： 委託先アカウントを起点に物流システムへ潜伏され、約64万件の個人情報が漏洩。
経営陣が直視すべき現実： 近年の攻撃はバックアップも同時に暗号化するため、復旧に時間を要することが多い。

一般社員の注意力に頼る限界と、仕組みによる防御への転換

「怪しいメールを開かない」といった、個人の注意力に依存したセキュリティ対策はすでに完全に破綻しています。

巧妙な標的型メール： 過去のJTBの事例のように、取引先や実在組織を騙り、業務上「開かないという選択肢がない」巧妙な文脈で届くメールを、個人の注意力で見抜くのは不可能です。

【結論】 個人を責めるのではなく、誰が何にアクセス権を持つか「組織ガバナンス」を明確にすることで会社を防衛する仕組みへ、根本的にパラダイムを転換する必要があります。

組織マネジメント（役割・権限定義）の再設計〜ゼロトラスト導入の前提〜

アクセスごとに認証・認可を厳密にチェックする「ゼロトラスト」は、ツールを導入するだけで実現するわけではありません。

システム化を阻む日本の組織ルール：多くの日本企業では役割や権限の定義が曖昧で、現場判断の「例外プロセス」が多数存在します。ルールが未整備なままツールだけを導入しても大抵失敗に終わります。

ガバナンス定義は経営の仕事： 「誰が、どの情報に、何の権限でアクセスすべきか」というルール（ガバナンス）を定義すること自体が、高度な組織マネジメントです。業務プロセスを抜本改善する「DX」こそが、このガバナンスを見直す絶好の機会となります。

山田達司氏が提唱する「ID管理の4つの要素」は以下の通りです。

本人確認： 実在性を確認する「身元確認」と、パスキー等によるフィッシング耐性のある「当人認証」を厳密に組み合わせます。
ライフサイクル管理： 異動や退職を即座に反映させるため、最も正確な人事給与・購買システムとID管理を連動させ、退職者アカウントの放置を防ぎます。
認可とアクセス制御（最小権限）： 「全社員に一律で権限を与える」ような悪しき慣習を排除し、本当に必要な人に、最小限の権限だけを付与します。
ロールベースのアクセス制御（RBAC/ABAC）： 部署ではなく、その人の「役割（ロール）」に基づいて権限を管理します（RBAC）。さらに時間や場所などの条件を組み合わせる柔軟な制御（ABAC）を使い分けます。

AIエージェント時代における権限制御の要諦

AIエージェントの活用においても、人間の権限管理の曖昧さが最大のボトルネックになります。

アイデンティティの分離： 人の権限をそのまま引き継ぐ仕様では、AIの誤動作やAPIの悪意によって「大量の誤発注」や「赤字案件の勝手な受注」といった暴走リスクが現実化します。
AI専用のID： AI専用のIDの権限を明確に制限・制御する仕組みが必要です。
人間の権限管理の延長： AIに与える権限を設計するには、まず人間の役割や権限が明文化されていなければなりません。「よしなにやってください」という方式からの脱却を、経営層が主導する必要があります。

総括：ビジネスの俊敏性（アジリティ）とセキュリティの両立へ

適切なID・権限管理は、単なる防御策ではなく、組織のアジリティ（俊敏性）を高める強力なビジネス推進基盤です。

役割に基づくアクセス制御が確立されていれば、新規プロジェクト立ち上げ時の権限調整に何ヶ月も待たされることがなくなります。入社初日から即戦力として動け、短期の外部人材にもフルに能力を発揮してもらえます。また、新規事業の立ち上げ、M&Aに伴うシステム統合、サプライチェーンのIT連携も、最小権限を保ちながら迅速に進められます。

リスクを恐れてAI活用を禁止することは、企業の競争力を著しく損ないます。経営層自身がまずAIを使いこなし、リスクを理解すること。その上で、アクシデントを想定した「受け身」がとれる組織ルールをいち早く整備し、総力戦で戦える体制を作ること。これこそが、これからの時代を生き残る経営戦略の真髄です。

マネジメントソリューションズ（MSOL）のご支援

急速なAI進化やサイバー攻撃の高度化が進む中、個人の注意力に頼らない「組織ルール（ガバナンス）」による防衛体制の構築と、ビジネスの俊敏性（アジリティ）の両立は、企業の持続的成長に不可欠です。

株式会社マネジメントソリューションズ（MSOL）では、こうしたセキュリティ戦略やガバナンスの再設計を「実行可能な計画」へと落とし込み、現場での定着まで一気通貫で伴走支援します。経営層の意思決定から、役割・権限の明確化といった現場のマネジメント基盤（組織・人・プロセス）の構築まで、プロジェクトの確実な遂行を強力にサポートいたします。

左からMSOL高野、奥原氏、山田氏、MSOL西田