YKK APのセキュリティリーダーが形骸化した施策に喝！パッチ適用・基盤刷新も“強気の姿勢”で推進

IT-BCP訓練で経営層の言葉に衝撃　顕在化した「経営層とのギャップ」

　YKK APは、技術的な防御策の強化にとどまらず、組織の有事対応力を高めるために毎年「IT-BCP訓練」を実施している。2023年度には社長や総務部長、IT統括部長が登壇するリアルな記者会見訓練を実施し、2025年度にはシナリオ非公開型のサイバー攻撃対応訓練を行ってきた。

　しかし、訓練を重ねる中で、“認識のギャップ”が浮き彫りとなったという。それは、ランサムウェア攻撃を受けた際の「身代金要求への対応判断」をめぐる問題だ。訓練の事後報告の際、経営層から投げかけられた一言が、セキュリティチームに大きな衝撃を与えた。

　「『いろいろ考えたけれど、身代金の支払いというのはやっぱり選択肢として考えなければいけないのではないか』と言われたのです。一瞬、言葉を失いました。しかし、冷静に考えると、経営の視点とセキュリティの視点では求めている基準が異なるのだと気づかされました」（齋藤氏）

　経営層から見れば、「いかなる手段を使ってでも事業を停止させず、継続させること」が最優先の責務であり、合理的判断としてあらゆる選択肢を検討対象に含めるのは当然の思考プロセスだろう。一方で、セキュリティやコンプライアンスの視点からは「身代金を支払ってもデータが復元される保証はなく、反社会的勢力への資金提供につながるため、原則として支払いは不可」という前提がある。両者の間には、共有されていない前提条件と判断基準の相違が存在していた。

　この気づきを得た齋藤氏らは、感覚的な議論で終わらせるのではなく、経営報告に提出するための「対応方針の明文化」に着手した。CROと連携し、身代金交渉・支払いに関する行動パターンを「A：一切交渉しない」「B：交渉のみを行う」「C：交渉およびやむを得ない場合の支払い」の3つに分類。各パターンについて、事業停止リスク、法的なコンプライアンスリスク、レピュテーションリスク、そしてバックアップからの復旧可能性などを多角的に評価し、自社として採るべき方針をマトリクスとして整理した。

　この整理された方針を経営層へ報告し、議論を重ねることで、同社は有事における経営判断の明確な基準を確立することに成功。訓練を通じて潜在的な認識のズレを炙り出し、それを経営レベルのガイドラインへと昇華させたこの取り組みは、組織のレジリエンスを高めるための高度なプロセスといえよう。

　齋藤氏はセッションの締めくくりとして、YKKグループの企業精神である「善の巡環」の思想的背景となった実業家アンドリュー・カーネギーの墓碑銘を引き合いに出し、参加したITリーダーたちへ問いかけた。

　「アンドリュー・カーネギーの墓碑銘には『自分より賢い者を周りに集める方法を知っていた男、ここに眠る』と刻まれています。みなさんも、1人で悩んではいないでしょうか。組織や専門性の枠を超え、周囲を巻き込んでいくことが、変革を成し遂げる道となります」（齋藤氏）