熱海 徹
ニチレイのシステム障害によって、KFCの全国店舗がメニューを減らし、オンライン注文を停止し、臨時休業まで発生したというニュースを見たとき、私は強い違和感を覚えました。KFC自身は攻撃されていないにもかかわらず、顧客から見れば「ケンタッキーが止まった」という事実だけが残る。この構造は、サイバー攻撃がITの領域を超え、事業そのものを揺さぶる段階に入ったことを示しています。
多くの企業は、自社の防御を強化することに力を注いできました。EDRの導入、MFAの徹底、バックアップの整備、ゼロトラストの推進といった取り組みは、いずれも必要なものです。しかし今回のような事案では、自社の防御力はほとんど意味を持ちません。止まるのは自社ではなく委託先であり、委託先が止まれば事業は静かに、しかし確実に崩れていきます。
私は直近まで、ある大手自動車会社のアドバイザーとして事業継続の議論に関わっていましたが、そこで繰り返し語られていたのは「自社が攻撃されていなくても、委託先が止まるだけで事業が止まる」という現実でした。業種を問わず、今の日本企業が抱える脆弱性はまさにこの点にあります。
だからこそ、企業支援の現場ではまず依存している外部を見える化するところから着手します。自社のシステム構成は把握していても、事業がどこに依存しているかは意外なほど把握されていません。物流、クラウド、決済、認証、保守、SaaS、再委託先など、事業は多層構造の依存関係の上に成り立っています。まずは、自社を止める可能性がある外部依存先を十個だけ選び、事業の急所を見つける。この十個を選ぶだけで、事業の弱点は驚くほど浮かび上がります。
次に必要なのは、その依存先が止まったとき、自社のどこが、どれくらいの時間で止まるのかを具体的に描くことです。多くの企業は「止まったら困る」という抽象的な理解に留まっています。しかし事業を守るためには、もっと踏み込んだ理解が欠かせません。物流が止まれば何時間後に在庫が尽きるのか。オンライン注文は続けられるのか。顧客への案内はいつ、誰が、どの情報をもとに行うのか。こうした具体的な影響を描けるかどうかで、事業継続の質は大きく変わります。
そして最も重要なのは、止まっても続ける仕組みをつくることです。委託先が止まることを前提に、自社が止まらないよう設計する。複数事業者への分散、安全在庫、代替ルート、縮退運転、手作業への切り替えといった仕組みは、セキュリティ部門だけでは作れません。経営、事業、現場が一体となって初めて機能します。
ここで欠かせない視点がもう一つあります。それは、早期回復ができる企業はなぜ回復できたのかという点です。私はこれまで多くの復旧支援に関わってきましたが、早期回復ができた企業には必ず共通点があります。それは、バックアップがあることではなく、バックアップを戻せると判断できる状態が事前に整えられていたことです。バックアップは取っただけでは意味がありません。どの時点のデータが安全なのか、どこまで戻せば事業が再開できるのか、戻した瞬間に他システムとの整合性が崩れないか。こうした見極めができて初めて、バックアップは事業の武器になります。
ある企業では、毎月のようにバックアップの戻し訓練を行っていました。戻したときにどの業務が動くのか、どの部署がどの順番で再開するのか、そのための復旧の地図が事前に描かれていたのです。だからこそ、障害が起きたときも迷いがありませんでした。
結局のところ、事業の強さは止まる瞬間にこそ現れます。平常時にどれほど立派な仕組みを持っていても、委託先が沈黙したまま三日間を迎えると、机上のBCPは簡単にほころびます。連絡先が古い、担当者が退職している、代替手順を誰も使ったことがないといった問題は、実際に動かしてみなければ絶対に見つかりません。だからこそ、外部が丸三日間完全に止まる状況を想定し、その静かな三日間を事業としてどう耐えるかを訓練することが欠かせないのです。
今回の事案は、委託先もセキュリティを強化すべきだという表面的な話では終わりません。本質は、第三者が止まっても自社まで止まらないように設計しておくことにあります。その設計には、バックアップを戻せると判断するための見極め、復旧の順番を迷わず決められる地図、デジタルが止まっても最低限の業務を続けられる手作業への切り替えなど、確実な仕掛けが含まれています。私は、これこそが現代のサプライチェーンセキュリティの姿だと考えています。事業は、止まる瞬間にこそ強さを示すのです。