「身代金は支払うべきか」社長の一言に絶句――YKK APが7年越しに気付いた経営とセキュリティの溝

　YKK APがセキュリティ専任組織を立ち上げて7年。齋藤充宏氏がガートナーのサミットで語ったのは、予算ゼロ・専従2人から経営を動かすまでの、組織とセキュリティの「溝」を埋めてきた軌跡だった。

　「齋藤くん、先日は訓練ありがとう。大変参考になった。ただ、いろいろ考えたけれども、身代金の支払いっていうのはやっぱり考えなきゃいけないな」

　社長からそう声を掛けられたとき、YKK APのTRI統括部 テクノロジー＆イノベーション部 部長の齋藤充宏氏は、思わず「えっ」と声を漏らしたという。セキュリティ専任組織を立ち上げて7年、記者会見の模擬訓練まで作り込み経営層も巻き込んできた末に、返ってきた一言だった。

　「ガートナー セキュリティ ＆ リスク・マネジメント サミット 2026」で、齋藤氏が語ったのは、技術の話ではなく、組織をどう動かし、どう立ち回ったかという話だった。

訓練を重ねても見えなかった「35億円を払いますか」への答え

　YKK APはIT-BCP（ITシステムの事業継続計画）訓練に力を入れてきた。自然災害と並行して、サイバー攻撃によるシステム障害や情報漏えいを想定した訓練を毎年続けている。

　2023年度には記者会見訓練にまで踏み込んだ。情報漏えいを謝罪する設定で社長、副社長、総務部長が登壇し、フラッシュ球まで用意した本格的な会場で、記者役の社員数十人が厳しい質問を浴びせた。2025年度は台本を黙読する机上訓練から、ファシリテーターの問いかけにその場で対応を判断する形へ変え、「35億円の身代金が要求されていますが、どうしますか」と即座に判断を迫られる内容だった。

　訓練は年々本格化し、経営層も当事者として関わるようになっていた分、その後の社長の一言は重く響いたのだろう。もっとも、冷静に考えれば当然の視点だったのではないか、と齋藤氏は振り返る。経営には事業を止めない責任があり、復旧の手段を最初から選択肢の外に置くことはしない。一方でセキュリティ側は、支払っても復旧できるとは限らず、コンプライアンス上の問題も残る以上、原則として支払わないのが自明の答えだと考えていた。どちらも間違ってはいないが、かみ合っていなかった。

　「身代金判断に必要な基準や情報を経営に共有できていなかった。われわれも経営の考え方を理解できていなかった」（齋藤氏）。どれだけ訓練を重ねても、いざというときに経営が判断できる基準までは用意できていなかった。

予算ゼロ、専従2人で動かせなかった委員会

　YKK APのセキュリティ専任組織は、平時に生まれたものではない。2018年度末に社内でセキュリティインシデントが起き、経営指示で体制を見直すことになったのがきっかけだ。発足は2019年5月。予算策定の時期を過ぎてからの設立なので予算はなく、専従は2人。齋藤氏が「非常にハンパな時期」と自嘲する立ち上がりだった。

　2人では手が回らない。頼ったのが情報セキュリティ委員会の部会体制で、各組織から指名・推薦されたメンバーが兼務で参加し、サイバーセキュリティ対策を担う「IT部会」は10人ほどの陣容になった。

　ただ、この体制には誰もが気づく弱点があった。委員は本業の傍らなのでモチベーションが上がりにくく、委員長は2〜3年の任期制で執行役員から選ばれるため、必ずしも専門知識があるとは限らない。事業要件が優先され、セキュリティ施策は後回しになり、年頭に立てた計画が年度末になっても終わらない状態が続いていた。

委員長に送った「根回し」のメール

　転機は2020年の体制変更である。新しい委員長には、過去の仕事を通じて良い関係を築いてきたリーダーが就き、「齋藤なら安心して任せられる」とまで言ってもらえたという。

　ありがたい話ではある。ただ齋藤氏は、これでは現場の空気が変わらないのではないかと不安になった。なぁなぁの運営から抜け出せない。そう考えて、委員長に「お面」をかぶってもらうことにする。委員会の前日、こんなメールを送った。

　「明日の委員会でのIT部会の報告内容に対して、私に対して厳格に追及していただくようお願いできますでしょうか」

　専門ではない委員長が、その場で鋭い指摘をするのは難しい。そこで、昨年度のパッチ適用計画は結局どうなったのか、IPSで検出したという報告は対応まで終わっているのか、と突くべき論点まで事前に渡した。

　当日は、未対応の端末が残っているのに解消へ向かっていると報告するのはおかしいのではないか、甘く見ているのではないか、と委員長が厳しく問い詰めた。会議室は「真っ青な状態」になったそうだ。

　効果は数字に表れた。9月の委員会で計画に対して10％だったサーバパッチ適用の進捗率が、年度末の3月には90％まで進み、年度内に完了する見通しになった。例年通りなら3月時点でも10〜20％にとどまっていたのではないか、と齋藤氏は見ている。

判断のずれを、どう埋めたか

　齋藤氏の話に繰り返し出てくるのは、立場が違えば見えているものも違う、という場面だ。

2020年のテレワーク移行がそうだった。コロナ対策本部は在宅勤務を急いだが、緊急時に200人だったVPNの同時接続は常時3000人を超え、パッチが十分に当たっていない1万台の端末が社外で使われることになる。事業継続の判断は速く、セキュリティは置き去りになった。

　齋藤氏は、リスクを伝えるだけでは不十分と考え、VPNの増強やEDR（Endpoint Detection and Response：端末での検知と対応）の前倒しといった対策案をセットで用意。コロナ対策本部と情報セキュリティ委員会の責任者を集めた臨時の委員会を要請し、対策の可否を決めてもらえるまで会議を終えないと迫った。結果は予算付きの実施判断で、短期間のうちにEDRを全社へ展開している。

　パッチ配信基盤の刷新でも、部門の間でずれが起きた。PCチームは基盤の刷新をネットワークの仕事と考え、ネットワーク担当は端末側の事情を把握しておらず、セキュリティチームはリスク管理が役割だと思っていた。それぞれ役割に忠実なだけにリーダーが決まらず、結局はセキュリティチームが役割を越えて引き受け、2025年に新しい基盤が動き出した。

　そして最後が取締役会である。齋藤氏はCISO（最高情報セキュリティ責任者）と組み、身代金への対応方針を上程した。

　持ち込んだのは「A：一切交渉しない」「B：交渉のみ」「C：交渉と支払い（やむを得ない場合）」の3パターンを、暗号化解除の可能性、約束をほごにされるリスク、バックアップからの復旧の確実性、コンプライアンス上の問題や社会的信用の失墜といった観点で並べた一覧だった。

　「支払っても復旧できるとは限らない」という論点は、統計にも表れている。日本情報経済社会推進協会（JIPDEC）が2026年1月に実施した調査では、ランサムウェア被害を受けた507社のうち身代金を支払ったのは222社。復旧できたのは83社にとどまり、139社は支払っても復旧できていない。

　こうした選択肢をもとに議論を重ね、交渉・支払いへの対応方針を固めていった。原則を押し通したというより、経営が判断できる形に情報を並べ替えたことが効いたのだろう。

決まらないのは、熱意でも技術力でもなく「材料」だった

　この7年の起点は、2018年度末のインシデントだった。予算ゼロ・専従2人という不格好な出発も、経営指示という追い風があってのものだ。

　何も起きていない会社が同じ道をたどろうとすれば、もっと骨が折れる。テレワーク移行で起きたことは、生成AIの活用でも再現されうると齋藤氏は付け加えていた。事業側の判断が先に走る場面は、これからも繰り返し訪れるのだろう。

　報告はしている。資料もそろえている。それでも決まらない──こうした齋藤氏の経験に、思い当たる場面が浮かんだ人は少なくないはずだ。足りないのは熱意でも技術力でもなく、相手が判断できるだけの材料なのかもしれない。手元の動かない議題を1つ思い浮かべ、次は誰に、どう渡すか考えてみてもいいのではないだろうか。

この記事の著者

関連記事

• https://www.itmedia.co.jp/news/articles/2604/20/news070.html
• 

  DX・AXプロジェクトの成功に必要な条件とは - コスモエネルギーHD ルゾンカ氏

• 

  味の素社が挑む“dX”とAI駆動開発――“企画・開発・営業ができる人財”が新規事業を加速する

• 

  森ビルが挑む、DXを通じた「ヒルズライフ」の充実とコア領域の内製化

• 

  AI時代のチェンジリーダーに必要な条件とは？ - 世界的デザイナー Takram 田川氏

• 

  "自分事"がセキュリティを強くする――経営・現場・CSIRTの認識をそろえ、カイゼンし続ける組織へ

• 

  IT部門発! サービス創出のために断行した全社変革――セブン銀行 相原氏

• 

  「やりたくない仕事」からAI化せよ　――NEC CISOが語る、生成AIでセキュリティ防御を変えるための組織の作法

• 

  国際情勢とAI時代の企業防衛──サイバー犯罪は「世界第3位のGDP」、ウクライナに学ぶレジリエンスの本質