米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、内部脅威を「悪意の有無を問わず、組織へのアクセス権をもつ者がもたらすリスク全般」と定義する（CISA、Defining Insider Threats）。内部脅威とは、スパイや裏切り者の話ではない。信頼に基づく権限が、誰にも検証されないまま残っているという構造の話である。
もうひとつの問題として、北朝鮮のIT労働者が他国の国民になりすまし、オンラインプラットフォーム経由で業務を獲得するケースが挙げられる。この仕組みによる外貨獲得は年間最大8億ドル（約1200億円）規模と推計され、26年7月には日本を含む11カ国が、連名で注意喚起を発出した。
国連安保理決議に基づき、日本でも外為法などで北朝鮮側への資金提供が厳しく規制されている。相手が北朝鮮のIT労働者だと知らずに発注した場合でも、対価の支払いが制裁違反や外為法違反に問われるおそれがある。業務委託という企業にとってごく日常的な信頼の手続きが、国家の外貨獲得戦略やサイバー工作の標的になっているのだ。
「信じること」と「確認を省くこと」を混同していないか？
そして、日常に潜む「リスク認識の緩さ」が、情報流出の起点になることも多い。25年11月、原子力規制庁の職員が上海への私用渡航中に業務用スマートフォンを紛失し、公表されていない核セキュリティー担当部署の職員名や連絡先が流出した可能性が報じられた。
海外での端末紛失はもちろん、海外で公共の充電ポートにスマートフォンを差し込む、野良Wi-Fiを拾うといった何気ない行動にも、リスクが付きまとう。しかし、問題は行為そのものではなく、「情報がどこに触れているかを組織が把握していない」という構造的な脆弱性である。これを個人の不注意に帰すのは酷だ。適切な体制と教育を整えたうえで人を送り出すのは、組織の責任である。
人材の章では「信頼関係を前提に」と書き、本章では「信頼は盲点になる」と書いた。一見矛盾するが、「人を信じること」と「確認を省くこと」は別物である。健全な信頼とは、検証を不要にするものではなく、検証を可能にする関係のことだ。
その意味で、日本で25年5月に運用が始まった重要経済安保情報保護活用法に基づくセキュリティ・クリアランス制度は、企業にとって重要な示唆を与える。同制度では、政府から重要経済安保情報の提供を受ける企業が、「適合事業者」として国の認定を受ける。「情報の区分」と「アクセスの必要性」に基づいてアクセス権限を管理・検証する枠組みであり、企業に対してアクセス権限の妥当性を客観的に検証するための規範を提供するからだ。
「任せきりにしない」姿勢を現場の判断や裁量に委ねてはならない。権限の妥当性を客観的に検証する仕組みを欠いたまま「現場の信頼」に依存し続けることこそが、アクセス管理における最大の落とし穴なのだ。
「鏡の内側」を直視せよ
外の世界で起きる対立は、企業の内側にも静かに入り込む。地政学リスクとは、外の出来事が内側の前提を書き換えるプロセスにほかならない。
地政学リスクがもたらすのは、市場や物流の変化だけではない。「行動は善意に基づいて解釈される」「安全に働ける環境は保障される」「信頼関係は維持される」──こうした目に見えない前提もまた、国家間競争の圧力で揺らいでいる。
外を見るだけでは、企業は守り切れない。地政学リスクに向き合うとは、外の世界を見渡すことであると同時に、鏡に映った自らの姿を見つめ直すことでもある。最大の盲点は鏡の内側、すなわち自社の内部にある。
