もっと言うと、前回の記事でも言及した通り、経営層の理解が得られず予算承認が降りないために、対策上の課題を解決できずに困窮している現場責任者も依然として少なくない。海外での対策や事故報告の義務化には、経営責任の明確化も背景の1つにあるのが特徴だ。経営者個人の責任にすることで、積極的な具体策の実装を求めているのだ。法的拘束力があれば、自ずとセキュリティ投資が促されることが期待されているといえる。
続発する被害公表を受けて、AIの悪用に注目が集まっているが、もっと注目してもらいたい事実がある。セキュリティインシデントの9割は、予防が十分可能なはずの対策上の不備が原因で起きているという実態だ。
例えば、管理者アカウントで簡易なパスワードを使っていた、権限管理が行われていなかった、脆弱性が放置され続けていたといったものだ。もっと言えば、「脆弱性が悪用された」だけで片付けられる風潮があるが、それは初期侵入の手口であり、サーバーへの対策未実装、権限管理やセキュリティ監視の不備など、実害を招いた要因はSK Telecomの事例のように1つではないケースがほとんどだ。
ビジネスが広くグローバル化する中で、サイバーセキュリティの法的拘束力は世界標準として進化を続けている。日本には世界的にも誇れるネームバリューを持つ企業が依然として数多く存在する。しかし、欧米と比較して法規制も緩く対策が遅れている日本が、サイバーセキュリティのグローバル基準になることに海外拠点が反発するケースも見られる。事実、欧米拠点のサイバーセキュリティ施策の方が進んでいるというケースは珍しくない。
個人情報の主体や株主といったステークホルダーの権利を毀損しないためはもちろんのこと、サイバーセキュリティの世界で日本がガラパゴス化しないためにも、サイバーセキュリティにおける法的拘束力の確保は、国内でも広く議論されるべきテーマではないだろうか。
経営者の怠慢によるセキュリティへの投資不足が、第三者の権利侵害をもたらしたのであれば厳しく向き合うべきだ。逆に、説明責任が果たせるセキュリティ対策を講じ、透明性のある事故報告が行われれば、その企業や経営者、セキュリティ従事者は咎められるのではなく報われるべきだ。
連載：「あの」インシデントから紐解く企業セキュリティの本質
過去記事はこちら>>
