システムは止まる前提の時代、経営は何を備えるか - 相次ぐ基盤への攻撃が日本に突きつけたもの

2026年のこの秋、日本ではサイバー攻撃による大規模なシステム停止、情報漏えいが相次いでいます。 Splunk Services Japan合同会社 社長執行役員を務める内山 純一郎にインタビューしました。

聞き手： 自治体の窓口から教育機関まで、生活のあらゆる場所が影響を受けています。まずは、復旧に当たっている現場の皆さまに敬意を表したいところですが、この状況をどう見ていらっしゃいますか？

三つの変化が同時に起きている

聞き手： 「防ぎ切る」ことが難しいとは、具体的にどういう変化が起きているのでしょうか。

内山： 一つ目は「速さ」です。最先端のAIを使えば、ソフトウェアの弱点を見つけて攻撃を仕掛けるまで、わずか1日足らずです。対して、多くの組織は修正適用に数週間から数か月を要している。この時間軸のズレは致命的です。

二つ目は「集中」です。効率化を突き詰めた結果、多くの組織が同じクラウド基盤や委託先に集約されています。攻撃者にとって、これは一つを突破すれば数百の組織を人質に取れる「一対多」の格好の標的となりました。

三つ目は「担い手の変化」です。組織内でAIエージェントが自律的に業務を代行するようになり、その数は人間を上回ろうとしています。権限を持つ「人以外の存在」が増えることは、もし乗っ取られた際の内部被害経路が激増することを意味します。

これら三つが重なった結果、「侵入を防ぐこと」だけに全力を注いでも不十分になりました。いま問われているのは、「抜かれた時、止まった時に、自ら把握し、食い止め、立ち直れるか」という能力なのです。

なぜ、日本でこの問題の根が深いのか

聞き手： 世界中で起きている変化かと思いますが、なぜ特に日本で被害が深刻化しやすいのでしょうか。

内山： 私たちの経営構造に、構造的な弱点があるからです。第一に、依存先の集中を誰も管理できていません。個々の判断は合理的でも、社会全体で見れば「一点が倒れると全滅する」構造が、誰の管理下にもなく出来上がってしまいました。

第二に、「任せる」が「委ねきり」になっています。IT人材がユーザー企業側に不足しているため、専門性をベンダーに頼るのは必然です。しかし、運用だけでなく「何が起きているかを知る力」まで手放してしまった。基盤が止まった際、事業者の発表をただ待つしかできなかった組織が多かったのはその証左です。

第三に、有事の判断を平時に決めていないことです。機械のような速さで進む攻撃に対し、事後の合議制で対応を練っていては到底間に合いません。稟議と合意形成は日本企業の強みですが、有事の際は平時に決めた権限と手順で動くしかないのです。

「全部を一か所に集める」は答えにならない

聞き手： 対策として「一つの基盤に集約して管理を強化する」という方向は間違っているのでしょうか。

内山： 逆です。この秋の事案は、集約が最大の脆弱性になることを証明しました。すべてを同じ場所に置けば、そこが止まった時にすべてを失います。原因究明のための記録さえ、止まった基盤の中に閉じ込められてしまうのです。

重要なのは、分けたうえで「横断して見渡せる」こと。手元に持つべきは持ち、全体を一つの視点で把握する。強靭さとは、後付けの機能ではなく、最初の設計思想に組み込むものです。

経営が持つべき、四つの力

聞き手： 経営層が具体的にどのような能力を養うべきか、整理していただけますか。

内山： 「防ぎ切る」から「立ち直る」への転換として、四つの力を提唱します。

1. 見える力： 依存先を把握し、発表を待たずに自ら状況を確かめる力。
2. 止める力： 被害を局所化し、一部を切り離して事業を継続する力。
3. 戻す力： バックアップが「戻せること」を定期的に証明し、復旧時間を経営が知っていること。
4. 任せきらない力： AIや外部の力を借りつつも、判断の主導権は決して手放さないこと。

経営会議で、問うていただきたいこと

聞き手： 技術に詳しくない経営陣でも、何を確認すべきでしょうか。

内山： 次の五つを問いかけてみてください。

• 「自社の重要業務の依存関係を一枚の絵で説明できるか」
• 「事業者の発表より早く状況を掴めるか」
• 「戻せることを実際に確かめたか」
• 「誰がどういう権限で決断するかを決めてあるか」
• 「AIエージェントにどの程度の権限を与えているか」

これらは技術の議論ではなく、経営そのものの議論です。投資についても「保険」と考えるのではなく、「事業を続けるための経営判断」として再定義すべきです。

止まらない日本ではなく、止まっても立ち直れる日本へ

聞き手： 最後に、今後社会全体でどう取り組むべきか、メッセージをお願いします。

内山： この課題は一社の努力では解けません。産業界、行政、そして私たちベンダーが教訓を持ち寄り、強靭さを底上げする必要があります。私たちSplunkとシスコも、組織が自らの状態を把握し、立ち直るための基盤作りに注力していきます。

攻撃をゼロにはできません。しかし、止まった後にどう動けるかは経営の意思次第です。「止まらない日本」を追い求めるのではなく、「止まっても立ち直れる日本」をつくる。その覚悟をいま、私たちは共有すべきではないでしょうか。