アクセンチュアが提言：フロンティアAIが暴く脆弱性対応に追われる現場を救え！経営直下の司令塔の作り方とは

経営の危機感は高まったのに、CIO・CISO・現場ほど動けなくなる

　経営層の受け止め方は、この1年で明らかに動いた。アクセンチュアがCxOを対象に実施した調査では、AIやサイバーセキュリティを含む技術変化への準備度について「非常に準備できている」と答えた割合が、日本で56.2％から39.0％へ17.2ポイント下がった。グローバルの下げ幅9.2ポイントを上回る。

　藤井氏はこれを、準備が後退したというより、経営者が自社を厳しい目で見始めた表れとみている。「大事ですよね」と応じるだけの経営者はもういない、と言う。

　ところが、危機感が上がるほど下の層は重くなる。対策を指示するCIO・CISOの階層では、予定していなかった予算と人材の確保が壁になる。しかも資産管理やパッチ適用はセキュリティ予算というよりIT予算を食う性質のもので、誰が負担するのかという整理が必要だ。年度計画の引き直しも重なる。

　部長・課長級まで下りると、負荷は悲鳴に変わる。あれもこれも必要だと説明を受けた担当者が、そこで手が止まってしまう場面を藤井氏は何度も見てきたという。

　「『もうどうしたらいいんだろう』という風になってしまう方もいらっしゃいます」（藤井氏）

　動くには予算と人が要り、それを得るには上に申請しなければならない。ところがその申請を書く時間も人手もない。危機感だけが全階層で高まり、意思決定だけが止まる。

打開策は経営直下の司令塔、部門横断のSWATチームをいま組成する

　こうした行き詰まりを抜けた企業には、共通する形があった。経営層の直下に全体を統括する横断組織を置き、そこに各部門から人を出させるやり方である。藤井氏はこれを「司令塔（SWATチーム）」と呼ぶ。

　対策が進んでいる企業ほど、この組織を自力で立ち上げている。セキュリティ部門だけでは完結しないからだ。経営、リスク管理、法務、事業部門、海外子会社まで巻き込まなければ、優先順位も止める判断も決まらない。

　司令塔を置く意味は、作業を集約することではなく、階層ごとにばらけた認識を一本に束ねることにある。危機感を持ちながら対策状況を把握しきれない経営者、ITコスト増の説明責任を負うCIO、管轄外との連携に苦しむCISO、考慮事項の多さに固まる現場。この四者を同じ絵の前に座らせない限り、予算も人も動かない。

　いま組成すべきだ、と言い切ってよい。ツールの選定や製品比較は司令塔ができてからでも間に合うが、逆の順番で進めてしまうと、導入したツールを誰がどう使うのかを決める主体が存在しないまま話が進む。

　体制のモデルケースでは、経営層の直下に全体統括を置き、方針とロードマップ、官民連携、グループ会社との調整を担わせている。その下にワーキンググループを並べる。

　機器・アプリのパッチ適用を担うチーム、脅威検知とインシデントレスポンスを強化するチーム、フロンティアAIモデルで脆弱性スキャンを回すチーム。これにサイバーBCP（事業継続計画）の策定チームと高リスク取引先への対応チームが並ぶ。人材は事業部門やリスク管理部門、経営企画、法務から拠出し、バーチャルなチームとして動かす。

　BCPを司令塔の中に据えている点は見落とされやすい。公式パッチが提供されない領域は残り続けるからだ。修正案の作成をAIが助けられるとしても、妥当性の確認と本番適用の判断は人が担保するしかない。仮想パッチや隔離でしのげなければ、システムを能動的に止める選択肢が浮上する。

　従来のサイバーBCPは、攻撃を受けた後に被害を最小化する設計だった。これから求められるのは、攻撃がまだ来ていない段階で予防的に止める判断になる。誰がどの基準でどの範囲で止め、どの条件で戻すのか。経営と事業部門の合意が要る以上、これは司令塔の議題になる。具体的なプランを立てて経営層に説明し、サイバー訓練まで実施した企業も出始めている。